ルーターVPNか端末VPNか：どちらが何をカバーするか

トンネルをルーターに置くほうが整った選択に思えますが、ノートPCが家を出た時点でそうではなくなります。端末のアプリのほうが単純に思えますが、テレビがカバーを必要とし、アプリを動かせない時点でそうではなくなります。二つの構成は別の問いに答えます。役に立つ比較は、トラフィックがトンネルのどこに入るかについてであり、どちらがより安全かではありません。

ルーターが担う役割

ルーターは、自宅から接続する人にとってのVPNサーバーにも、外部サービスに到達するためのクライアントにも、同時にその両方にもなれます。これらは別々の設定ページを持つ別々の機能であり、サーバーだけではどこにも何も送りません。家庭内のブラウジングは、互換性のあるプロファイルでクライアントが設定されて初めて出口を変えます。プロトコルの前に役割を読めば、無駄な午後を節約できます。

機能名もプロトコルを互換にはしません。VPNと表示されたメニュー項目は、相手側が何を期待しているかを何も教えてくれません。

トンネルにトラフィックが入る場所

ルーターは、自身が持つインターフェースとルールを通過するトラフィックにポリシーを適用するため、ゲストWi-Fi、二台目のゲートウェイ、IPv6はそれぞれメインネットワークと違う挙動になり得ます。家全体が含まれると決めつけず、カバーしたい端末を公開アドレスの確認でテストしてください。トラフィックはルーターに届く前にローカルネットワークも通過するため、Wi-Fiのセキュリティとアプリ自身のHTTPSは従来どおりの重みを持ちます。トンネルは端末ではなくゲートウェイで始まります。

家の外では、モバイルデータを使うスマートフォンがもはやそのルーターの背後にはいないため、状況が一変します。カフェのWi-Fi上のノートPCは、要件が建物ではなく人についていくなら、自分自身のクライアントが必要です。ルーターが行うことのどれも、端末が離れた後にその端末と一緒に移動しません。

ほとんどのケースを決めるのはこの分割です：固定端末のカバーはルーターに有利で、人をカバーするのはアプリに有利です。両方を混ぜるものには両方が必要で、両方とも保守が必要です。

curl --silent https://api.ipify.org
ip -brief address show
traceroute -n -m 5 203.0.113.25

保守と識別情報を天秤にかける

ルーターの設定は、秘密、ファームウェア更新、ルーティングポリシーをゲートウェイ管理者に移し、カバーされた各端末に共通の識別情報を一つ与える傾向があります。アプリは各端末に固有のサインイン、固有のログ、固有のプロファイルを与えますが、その代償はより多くのクライアントの管理です。何かを取り消す必要があるとき、共通の識別情報と端末ごとの識別情報は別の提案です。

処理能力もここに含まれます：複数の利用者を扱うルーターは、Wi-Fiの定格が示唆するよりはるかに早く限界に達することがあります。箱に書かれた通常のスループット数値はトンネルのスループット数値ではありません。

トンネルが失敗したときに何が起きるべきかも決めてください。トラフィックを止めることと通常の接続に戻ることはどちらも擁護でき、DNSとファイアウォールの設定は選んだほうに合わせる必要があります。

停止に備える

ゲートウェイ設定の安全なバックアップと、トンネルが動いていることに依存しない管理の復元手段を用意してください。自分のルーターから自分を締め出すポリシーは、それが防ごうとした漏洩よりも難しい問題です。

仕事で管理された機器は、家庭のルーターが何をしようと、独自の承認済みクライアントを要求することがあります。家庭の出口は、ルーティングテーブルが何と言おうと、オフィスのネットワークへのアクセスを提供できません。

両方の構成を組み合わせることは可能で、時に正しい選択ですが、追加の経路はそれぞれ設定と診断が必要なもう一つのものです。OpenWrtのVPNサーバーとクライアントの役割に関するドキュメントは、両者を切り離しておくための有用な参照先です。