二台目のルーターをVPNゲートウェイにする：解決しないこと

メインのルーターの後ろに二台目のルーターを置くのは、一部の端末に別の出口を与えるきれいな方法です。同時に、機器が提供する以上の分離を期待してしまう場所でもあります。メインのネットワークは通常の経路を保ち、下流のネットワークは二台目のルーターの方針に従います。両者の間で何が起きるか、そしてトンネルが落ちたときに何が起きるかが、計画しておくべき部分です。

構成は機能します。神話が問うのは、何を守るかです。それでも有用な設計ですが、それ自体がセキュリティ境界ではありません。

神話：二台目のルーターはトンネルを完全に分離する

二台目のゲートウェイの背後にある端末は、その方針に従います。メインのネットワークの端末はそのトンネルを引き継がず、そこが要点です。しかし二台目のルーターには一台目を通る上流の経路が依然としてあり、その経路は管理すべき関係です。

二台目のルーターにはVPNクライアントプロファイルも必要です。受信のVPN接続だけを受け付ける機能はプロバイダーへの外向きトンネルを作りません。ハードウェアを買う前にファームウェアのクライアント対応を確認してください。

下流のネットワークには重複しないサブネットを割り当ててください。既存のネットワークを確認せずにサンプルの範囲をコピーするのは、ルーティングのパズルを作る確実な方法です。

神話：二重NATはVPNのカプセル化にすぎない

ルーティングされた二つのゲートウェイは二重NATを作り得ますが、それはVPN自体のカプセル化とは別の問題です。通常の外向き通信はたいてい動きます。受信のサービスアクセスには意図的な設計が必要で、多くの場合、両方の機器でのポート転送か、まったく別のアプローチになります。

余分な変換層はログの読みやすさも損ないます。メインのルーターのログにある送信元アドレスは、デバッグ中の端末ではなく二台目のルーターのものかもしれません。幽霊のような端末を追う前に知っておく価値があります。

何かを電源に接続する前に、アドレス計画を書き留めてください。

神話：両方のLANが問題なくブラウズできるから検出も通る

両方のネットワークがインターネットをブラウズできる一方で、両者間の検出は失敗します。メインのWi-Fi上のスマートフォンがVPNゲートウェイ背後のテレビを見つけられないことがあるのは、マルチキャスト検出が既定ではルーティング境界を越えないためです。それが重要なら、リフレクターか別のトポロジーが必要です。ブラウズの成功はローカル検出の証拠ではありません。

二台目のルーターの管理画面をWANに公開せず、許可された経路から到達できるようにしておいてください。ルートを変更する前に両方のゲートウェイの設定を保存してください。

見える出口アドレスだけでなく、DNSとIPv6もテストしてください。IPv4だけを運ぶトンネルはもう一方のファミリーを漏らす可能性があります。両方の結果を変更記録に書いてください。

二台目のゲートウェイが実際に与えるもの

範囲を可視化します。一台の端末を指して、どのネットワークがトンネルに従うかを言え、家庭は通常の経路を保ちます。その明快さは多くの家庭にとって追加のハードウェアに値します。

それでも資格情報、ファームウェア、復旧手順を伴う、もう一台の保守対象の機器です。VPNが落ちたときに下流の端末が停止すべきか切り戻すべきかを決め、その挙動をテストしてください。ゲートウェイは運用の手間をなくすのではなく、集約します。pfSense WireGuardクライアントのレシピは、よく使われる一つのプラットフォームでトンネル側を扱っています。