Tweede router als VPN-gateway: wat het niet oplost

Een tweede router achter de hoofdrouter zetten is een nette manier om een paar apparaten een andere uitgang te geven. Het is ook waar mensen meer isolatie verwachten dan het apparaat levert. Het hoofdnetwerk houdt zijn gewone pad, en het netwerk stroomafwaarts volgt het beleid van de tweede router. Wat er tussen hen gebeurt, en wat er gebeurt als de tunnel uitvalt, is het deel dat planning verdient.

De opstelling werkt. De mythes gaan over wat het beschermt. Het is nog steeds een bruikbaar ontwerp; het is alleen geen beveiligingsgrens op zichzelf.

Mythe: de tweede router isoleert de tunnel volledig

Apparaten achter de tweede gateway volgen zijn beleid. Apparaten op het hoofdnetwerk erven die tunnel niet, en dat is het punt. Maar de tweede router heeft nog steeds een opwaarts pad via de eerste, en dat pad is een relatie die je moet beheren.

De tweede router heeft ook een VPN-clientprofiel nodig. Een functie die alleen inkomende VPN-verbindingen accepteert, maakt geen uitgaande tunnel naar een provider. Controleer de clientondersteuning van de firmware voordat je de hardware koopt.

Geef het netwerk stroomafwaarts een subnet dat niet overlapt. Een voorbeeldbereik kopiëren zonder bestaande netwerken te controleren is een betrouwbare manier om een routingpuzzel te maken.

Mythe: dubbel NAT is alleen de inkapseling van de VPN

Twee gerouteerde gateways kunnen dubbel NAT creëren, en dat staat los van de eigen inkapseling van de VPN. Gewoon uitgaand verkeer werkt meestal. Inkomende diensttoegang vereist een bewust ontwerp, vaak port forwarding op beide apparaten of een heel andere aanpak.

De extra vertaallaag maakt logboeken ook moeilijker leesbaar. Een bronadres in het logboek van de hoofdrouter kan bij de tweede router horen in plaats van bij het apparaat dat je aan het debuggen bent. Dat is goed om te weten voordat je een spookapparaat achtervolgt.

Schrijf het adresplan op voordat je iets aanzet.

Mythe: ontdekking gaat door omdat beide LAN’s goed browsen

Beide netwerken kunnen op internet browsen terwijl ontdekking tussen hen mislukt. Een telefoon op de hoofd-Wi-Fi vindt misschien geen tv achter de VPN-gateway, omdat multicast-ontdekking standaard geen gerouteerde grens oversteekt. Als dat belangrijk is, heb je een reflector of een andere topologie nodig. Succes met browsen is geen bewijs van lokale ontdekking.

Houd de beheerinterface van de tweede router bereikbaar vanaf een geautoriseerd pad zonder die op de WAN te publiceren. Sla de configuratie van beide gateways op voordat je routes wijzigt.

Test DNS en IPv6 en ook het zichtbare uitgangsadres. Een tunnel die alleen IPv4 draagt, kan de andere familie lekken. Schrijf beide resultaten in het wijzigingsrecord.

Wat de tweede gateway je echt oplevert

Het maakt de omvang zichtbaar. Je kunt een apparaat aanwijzen en zeggen welk netwerk de tunnel volgt, en het huishouden houdt zijn gewone pad. Die duidelijkheid is voor veel huishoudens de extra hardware waard.

Het is nog steeds een extra apparaat dat onderhouden moet worden, met inloggegevens, firmware en een herstelproces. Bepaal of apparaten stroomafwaarts moeten stoppen of terugvallen als de VPN uitvalt, en test dat gedrag. De gateway haalt het operationele werk niet weg; het concentreert het. Het pfSense WireGuard-clientrecept dekt de tunnelkant op één gangbaar platform.