Router-VPN of apparaat-VPN: wat dekt wat

Een routertunnel dekt elk apparaat dat hem gebruikt, en een app op het apparaat volgt u. Dekking, onderhoud en gedrag bij storing bepalen welke u wilt.

De tunnel op de router zetten klinkt als de nettere keuze tot een laptop het huis verlaat. Een app op het apparaat klinkt eenvoudiger tot een televisie dekking nodig heeft en er geen kan draaien. De twee opstellingen beantwoorden verschillende vragen. De nuttige vergelijking gaat over waar het verkeer de tunnel in gaat, niet over welke veiliger is.

Welke rol de router speelt

Een router kan dienen als VPN-server voor mensen die thuis verbinden, als client om een externe dienst te bereiken, of als beide tegelijk. Dat zijn aparte functies met aparte configuratiepagina’s, en de server alleen verstuurt niets naar nergens. Thuis browsen verandert de uitgang pas wanneer een client met een compatibel profiel is ingesteld. De rol lezen vóór het protocol bespaart een nutteloze middag.

Functienamen maken protocollen ook niet onderling uitwisselbaar. Een menu-item met het label VPN zegt niets over wat de andere kant verwacht.

Waar het verkeer de tunnel in gaat

Een router past zijn beleid toe op verkeer dat de interfaces en regels die hij bezit passeert, dus gast-Wi-Fi, een tweede gateway of IPv6 kunnen zich elk anders gedragen dan het hoofdnetwerk. Test de apparaten die u wilt dekken met een controle van het openbare adres in plaats van aan te nemen dat het hele huis is inbegrepen. Verkeer passeert ook het lokale netwerk voordat het de router bereikt, dus Wi-Fi-beveiliging en de eigen HTTPS van de applicatie dragen nog steeds hun gebruikelijke gewicht. De tunnel begint bij de gateway, niet bij het apparaat.

Buiten het huis verandert het beeld volledig, want een telefoon op mobiele data zit helemaal niet meer achter die router. Een laptop op café-Wi-Fi heeft zijn eigen client nodig als de eis de persoon volgt en niet het gebouw. Niets wat de router doet reist mee met het apparaat wanneer het vertrekt.

Dit is de splitsing die de meeste gevallen beslist: dekking van vaste apparaten pleit voor de router, en dekking van een persoon pleit voor een app. Alles wat beide mengt heeft beide nodig, en beide moeten worden onderhouden.

curl --silent https://api.ipify.org
ip -brief address show
traceroute -n -m 5 203.0.113.25

Onderhoud en identiteit afwegen

Een routeropstelling verplaatst geheimen, firmware-updates en routeringsbeleid naar de gateway-beheerder, en geeft meestal elk gedekt apparaat één gedeelde identiteit. Een app geeft elk apparaat zijn eigen aanmelding, zijn eigen logboeken en zijn eigen profiel, tegen de prijs van meer clients beheren. Gedeelde en per-apparaat identiteit zijn verschillende voorstellen wanneer iets moet worden ingetrokken.

Verwerkingscapaciteit hoort hier ook bij, want een router die meerdere gebruikers bedient kan zijn limiet bereiken lang voordat zijn Wi-Fi-beoordeling dat suggereert. Het gewone doorvoergetal op de doos is geen tunnel-doorvoergetal.

Bepaal ook wat er moet gebeuren wanneer de tunnel uitvalt. Verkeer stoppen en terugvallen op de gewone verbinding zijn beide verdedigbaar, en de DNS- en firewallconfiguratie moet passen bij wat u hebt gekozen.

Op de storing voorbereiden

Houd een veilige back-up van de gatewayconfiguratie en een manier om het beheer te herstellen die niet afhangt van een werkende tunnel. Een beleid dat u buiten uw eigen router sluit is een moeilijker probleem dan het lek dat het moest voorkomen.

Apparatuur die door het werk wordt beheerd kan nog steeds zijn eigen goedgekeurde client vereisen, ongeacht wat de thuisrouter doet. Een uitgang thuis kan geen toegang tot een kantoornetwerk bieden, wat de routeringstabel ook zegt.

Beide opstellingen combineren is mogelijk en soms juist, maar elk extra pad is weer iets om te configureren en te diagnosticeren. De OpenWrt-documentatie over VPN-server- en clientrollen is een nuttige verwijzing om de twee gescheiden te houden.

Gerelateerde artikelen