Un secondo router come gateway VPN: cosa non risolve

Mettere un secondo router dietro quello principale è un modo pulito per dare a pochi dispositivi un’uscita diversa. È anche il punto in cui le persone si aspettano più isolamento di quanto il dispositivo offra. La rete principale conserva il suo percorso abituale, e la rete a valle segue la politica del secondo router. Ciò che accade tra loro, e ciò che accade quando il tunnel fallisce, è la parte che merita pianificazione.

La configurazione funziona. I miti riguardano ciò che protegge. È ancora un progetto utile; semplicemente non è una frontiera di sicurezza da solo.

Mito: il secondo router isola completamente il tunnel

I dispositivi dietro il secondo gateway seguono la sua politica. I dispositivi sulla rete principale non ereditano quel tunnel, ed è proprio il punto. Ma il secondo router ha ancora un percorso a monte attraverso il primo, e quel percorso è una relazione che va gestita.

Il secondo router necessita anche di un profilo client VPN. Una funzione che accetta solo connessioni VPN in entrata non crea un tunnel in uscita verso un provider. Controlla il supporto client del firmware prima di acquistare l’hardware.

Assegna alla rete a valle una sottorete che non si sovrapponga. Copiare un intervallo di esempio senza controllare le reti esistenti è un modo affidabile per creare un rompicapo di routing.

Mito: il doppio NAT è solo l’incapsulamento della VPN

Due gateway instradati possono creare doppio NAT, e questo è separato dall’incapsulamento della VPN stessa. Il traffico in uscita ordinario di solito funziona. L’accesso ai servizi in entrata richiede un progetto deliberato, spesso un port forwarding su entrambi i dispositivi o un approccio del tutto diverso.

Lo strato di traduzione aggiuntivo rende anche i log più difficili da leggere. Un indirizzo di origine nel log del router principale può appartenere al secondo router invece che al dispositivo che stai correggendo. Vale la pena saperlo prima di inseguire un dispositivo fantasma.

Scrivi il piano degli indirizzi prima di accendere qualsiasi cosa.

Mito: l’individuazione attraversa perché entrambe le LAN navigano bene

Entrambe le reti possono navigare in internet mentre l’individuazione tra loro fallisce. Un telefono sul Wi-Fi principale potrebbe non trovare un televisore dietro il gateway VPN, perché l’individuazione multicast non attraversa una frontiera instradata per impostazione predefinita. Se questo conta, serve un riflettore o una topologia diversa. Il successo nella navigazione non è prova di individuazione locale.

Mantieni l’interfaccia di gestione del secondo router raggiungibile da un percorso autorizzato senza pubblicarla sulla WAN. Salva la configurazione di entrambi i gateway prima di cambiare le rotte.

Prova DNS e IPv6 oltre all’indirizzo di uscita visibile. Un tunnel che trasporta solo IPv4 può far trapelare l’altra famiglia. Scrivi entrambi i risultati nel registro delle modifiche.

Cosa ti dà davvero il secondo gateway

Rende visibile l’ambito. Puoi indicare un dispositivo e dire quale rete segue il tunnel, e la casa conserva il suo percorso abituale. Quella chiarezza vale l’hardware extra per molte case.

È ancora un altro dispositivo da mantenere, con credenziali, firmware e una procedura di ripristino. Decidi se i dispositivi a valle debbano fermarsi o tornare indietro quando la VPN fallisce, e prova questo comportamento. Il gateway non elimina il lavoro operativo; lo concentra. La ricetta del client pfSense WireGuard copre il lato tunnel su una piattaforma comune.