Ruter-VPN eller enhets-VPN: hva dekker hva

Å legge tunnelen på ruteren høres ut som det ryddigere valget, helt til en bærbar PC forlater huset. En app på enheten høres enklere ut, helt til et fjernsyn trenger dekning og ikke kan kjøre en. De to oppsettene svarer på forskjellige spørsmål. Den nyttige sammenligningen handler om hvor trafikken kommer inn i tunnelen, ikke om hvilken som er sikrere.

Hvilken rolle ruteren spiller

En ruter kan fungere som VPN-server for folk som kobler til hjemmefra, som klient for å nå en ekstern tjeneste, eller som begge samtidig. Dette er separate funksjoner med separate konfigurasjonssider, og serveren alene sender ingenting noe sted. Hjemmebruk endrer først utgang når en klient er satt opp med en kompatibel profil. Å lese rollen før protokollen sparer en unyttig ettermiddag.

Funksjonsnavn gjør heller ikke protokoller utbyttbare. Et menyelement merket VPN forteller deg ingenting om hva den andre enden forventer.

Hvor trafikken kommer inn i tunnelen

En ruter anvender policyen sin på trafikk som krysser grensesnittene og reglene den eier, så gjeste-Wi-Fi, en ekstra gateway eller IPv6 kan hver oppføre seg annerledes enn hovednettet. Test enhetene du vil dekke med en sjekk av den offentlige adressen i stedet for å anta at hele huset er inkludert. Trafikken krysser også det lokale nettet før den når ruteren, så Wi-Fi-sikkerhet og applikasjonens egen HTTPS bærer fortsatt sin vanlige vekt. Tunnelen begynner ved gatewayen, ikke på enheten.

Utenfor huset endrer bildet seg helt, for en telefon på mobildata er ikke lenger bak den ruteren i det hele tatt. En bærbar PC på kafé-Wi-Fi trenger sin egen klient hvis kravet følger personen og ikke bygningen. Ingenting ruteren gjør reiser med enheten når den forlater stedet.

Det er denne delingen som avgjør de fleste tilfeller: dekning av faste enheter taler for ruteren, og dekning av en person taler for en app. Alt som blander de to trenger begge, og begge må vedlikeholdes.

curl --silent https://api.ipify.org
ip -brief address show
traceroute -n -m 5 203.0.113.25

Veie vedlikehold og identitet

Et ruteroppsett flytter hemmeligheter, fastvareoppdateringer og rutingpolicy til gateway-administratoren, og gir vanligvis hver dekkede enhet én delt identitet. En app gir hver enhet sin egen innlogging, sine egne logger og sin egen profil, mot prisen av å administrere flere klienter. Delt og per-enhet identitet er forskjellige tilbud når noe må tilbakekalles.

Prosesseringskapasitet hører også med her, for en ruter som betjener flere brukere kan nå grensen sin lenge før Wi-Fi-vurderingen antyder. Det vanlige gjennomstrømningstallet på esken er ikke et tunnelgjennomstrømningstall.

Bestem også hva som skal skje når tunnelen svikter. Å stoppe trafikken og å falle tilbake til den vanlige forbindelsen er begge forsvarlige, og DNS- og brannmurkonfigurasjonen må passe til det du valgte.

Planlegge avbruddet

Hold en sikker sikkerhetskopi av gateway-konfigurasjonen og en måte å gjenopprette administrasjonen på som ikke avhenger av at tunnelen er oppe. En policy som låser deg ute fra din egen ruter er et vanskeligere problem enn lekkasjen den skulle forhindre.

Utstyr som administreres av jobben kan fortsatt kreve sin egen godkjente klient, uansett hva hjemmeruteren gjør. En hjemmeutgang kan ikke gi tilgang til et kontornettverk, uansett hva rutingtabellen sier.

Å kombinere begge oppsettene er mulig og noen ganger riktig, men hver ekstra vei er enda en ting å konfigurere og diagnostisere. OpenWrts dokumentasjon om VPN-server- og klientroller er en nyttig referanse for å holde de to fra hverandre.