Telefoon buiten de VPN? Routertunnel versus client per apparaat

De laptop is met de VPN verbonden, de telefoon zit op dezelfde wifi en surft toch via het ISP-adres. Dat is geen clientfout: een tunnel leeft op het apparaat dat hem beëindigt, en niets anders erft hem door nabijheid. Dekking spreidt zich alleen als de router zelf de client draait, of als een machine opzettelijk als gateway voor het LAN wordt ingericht. Welk model u wilt, bepalen drie dingen: het protocol dat uw provider echt spreekt, hoe verschillend de apparaten behandeld moeten worden, en welke storing u om negen uur 's avonds kunt hebben.

Wat een routertunnel werkelijk dekt

Als de tunnel op de router eindigt, delen alle apparaten die erdoor routeren dezelfde uitgang. Dat is de aantrekkingskracht voor een televisie, een console of een apparaat dat nooit een client draait: niets te installeren, niets bij te houden en één plek om van provider te wisselen.

De dekking is voorwaardelijk op manieren die mensen verrassen. Een gastnetwerk of een tweede SSID met eigen beleid volgt het pad dat dat beleid bepaalt, niet de tunnel. Een IPv6-pad kan een tunnel omzeilen die alleen IPv4 draagt. Een apparaat met een eigen VPN-app of een eigen versleutelde resolver negeert de router volledig. En het eigen verkeer van de router, updates en DNS inbegrepen, volgt zijn uitgangsbeleid, een ander pad dan het doorgestuurde verkeer van het LAN.

De controle is in beide modellen gelijk en kost een minuut: vraag twee apparaten welk adres de wereld ziet en kijk dan in de verbindingslijst van de router naar de tunnel. Als de telefoon het ISP-adres meldt terwijl de router een opgezette tunnel toont, wordt de telefoon er niet doorheen gerouteerd, en opnieuw verbinden verandert dat niet.

Waar een client per apparaat wint

Clients per apparaat winnen zodra de eisen uiteenlopen. Een werklaptop heeft misschien een bedrijfstunnel nodig waar de telefoon niet bij mag; een providerclient biedt misschien split-tunnelling per toepassing, wat een router niet kan uitdrukken; een console moet misschien buiten blijven om zijn NAT-type te behouden. Elk apparaat faalt ook op zichzelf, dus één verlopen abonnement legt niet het hele huis stil.

Inloggegevens zijn het scherpere argument. Een router die voor iedereen verbindt, houdt één account, en iedereen op dat netwerk erft de toegang. Als de bedoeling authenticatie per persoon vóór internettoegang is, kan een routertunnel dat alleen niet. Het gebruikelijke ontwerp is een captive portal die het account controleert en de client dan in een al opgezette tunnel loslaat, wat meer bewegende delen zijn dan de meeste huishoudens willen.

Protocolondersteuning beslist meer gevallen dan voorkeur

Consumentenrouters bieden alleen de protocollen die de fabrikant meeleverde. Een router met PPTP, L2TP of gewone IPsec kan niet verbinden met een provider die uitsluitend OpenVPN of WireGuard-profielen publiceert, en geen configuratie verandert dat. De eerlijke opties zijn een provider die een ondersteund protocol spreekt, een router met OpenWrt of andere firmware met de client die u nodig hebt, of een client op elk apparaat.

Het omgekeerde geval is net zo gewoon: een OpenVPN-capabele router kan geen provider gebruiken wiens dienst van een eigen client en eigen routingtrucs afhangt. Lees de pagina over ondersteunde protocollen van de provider voordat u hardware koopt, en controleer de firmwareversie, want 'ondersteunt WireGuard' op een productpagina betekent vaak één specifieke firmwaregeneratie.

Een reisrouter met WireGuard-client is de goedkope versie van het routermodel en een redelijk antwoord voor een handvol apparaten die geen client kunnen draaien. Het blijft een routertunnel, dus alles hierboven over gastnetwerken, IPv6 en gedeeld falen geldt onveranderd.

De derde optie: een machine als gateway

Een client vanaf een laptop delen kan, en dat bedoelen mensen meestal met de laptop in een router veranderen.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Het werkt tot de machine slaapt, de client opnieuw verbindt in een ander profiel, of de eigen firewall van de machine doorgestuurde pakketten laat vallen. Dan verliezen alle apparaten erachter tegelijk de verbinding, en de storing lijkt een dood netwerk in plaats van een VPN-probleem.

Voor een lab of een tijdelijke opstelling is het prima. Als vaste regeling maakt het één laptop het enige storingspunt voor een huishouden, en het eindigt meestal met iemand die zich afvraagt waarom de televisie stopte toen een deksel dichtging.

Inkomende poorten, DNS en het falen dat u deelt

Inkomende diensten bewegen mee met de tunnel. Een router-VPN breekt meestal port forwarding voor een LAN-server, en een dynamische DNS-naam moet naar de VPN-uitgang wijzen in plaats van naar het ISP-adres als de dienst via de tunnel bereikbaar moet zijn. Sommige providers bieden helemaal geen routeerbaar inkomend adres, wat elk plan dat daarop leunde stil beëindigt.

DNS volgt de router als de router de tunnel bezit, wat handig is tot één apparaat een andere resolver nodig heeft. Een client per apparaat kan dat uitdrukken; een routerbeleid niet zonder het netwerk in tweeën te splijten. Het falen is ook gedeeld, want één crash, één verlopen abonnement of één slechte gepushte route verbreekt elk apparaat op hetzelfde moment.

Kies het routermodel als de apparaten geen clients kunnen draaien en één uitgang acceptabel is. Kies clients per apparaat als het beleid verschilt, als de provider een protocol nodig heeft dat de router mist, of als het account niet gedeeld mag worden. Als een machine de gateway is, schrijf op welke interface welk netwerk deelt en test het geval 'tunnel weg', want dat is de toestand waarin de meeste van deze ontwerpen onjuist blijken.