Rutar-VPN eller eining-VPN: kva dekkjer kva

Å leggje tunnelen på rutaren høyrest ut som det ryddigare valet, heilt til ein berbar PC forlèt huset. Ein app på eininga høyrest enklare ut, heilt til eit fjernsyn treng dekking og ikkje kan køyre ein. Dei to oppsetta svarar på ulike spørsmål. Den nyttige samanlikninga handlar om kvar trafikken kjem inn i tunnelen, ikkje om kva som er tryggare.

Kva rolle rutaren spelar

Ein ruter kan fungere som VPN-tenar for folk som koplar til heimanfrå, som klient for å nå ei ekstern teneste, eller som begge samtidig. Dette er separate funksjonar med separate konfigurasjonssider, og tenaren åleine sender ingenting nokon stad. Heimebruk endrar først utgang når ein klient er sett opp med ein kompatibel profil. Å lese rolla før protokollen sparer ein unyttig ettermiddag.

Funksjonsnamn gjer heller ikkje protokollar utbyttbare. Eit menyelement merkt VPN fortel deg ingenting om kva den andre enden ventar.

Kvar trafikken kjem inn i tunnelen

Ein ruter nyttar policyen sin på trafikk som kryssar grensesnitta og reglane han eig, så gjeste-Wi-Fi, ein ekstra gateway eller IPv6 kan kvar oppføre seg annleis enn hovudnettet. Test einingane du vil dekkje med ein sjekk av den offentlege adressa i staden for å tru at heile huset er med. Trafikken kryssar òg det lokale nettet før han når rutaren, så Wi-Fi-tryggleik og applikasjonen sin eigen HTTPS ber framleis si vanlege vekt. Tunnelen byrjar ved gatewayen, ikkje på eininga.

Utanfor huset endrar bildet seg heilt, for ein telefon på mobildata er ikkje lenger bak den rutaren i det heile. Ein berbar PC på kafé-Wi-Fi treng sin eigen klient om kravet følgjer personen og ikkje bygningen. Ingenting rutaren gjer reiser med eininga når ho forlèt staden.

Det er denne delinga som avgjer dei fleste tilfelle: dekking av faste einingar talar for rutaren, og dekking av ein person talar for ein app. Alt som blandar dei to treng begge, og begge må vedlikehaldast.

curl --silent https://api.ipify.org
ip -brief address show
traceroute -n -m 5 203.0.113.25

Vega vedlikehald og identitet

Eit ruteroppsett flyttar løyndommar, fastvareoppdateringar og rutingpolicy til gateway-administratoren, og gjev vanlegvis kvar dekte eining éin delt identitet. Ein app gjev kvar eining si eiga innlogging, sine eigne loggar og sin eigen profil, mot prisen av å administrere fleire klientar. Delt og per-eining identitet er ulike tilbod når noko må kallast tilbake.

Prosesseringskapasitet høyrer òg med her, for ein ruter som tener fleire brukarar kan nå grensa si lenge før Wi-Fi-vurderinga tilseier. Det vanlege gjennomstrøymingstalet på eska er ikkje eit tunnelgjennomstrøymingstal.

Bestem òg kva som skal skje når tunnelen sviktar. Å stoppe trafikken og å falle tilbake til den vanlege sambandet er begge forsvarlege, og DNS- og brannmurkonfigurasjonen må passe til det du valde.

Planleggje avbrotet

Hald ein sikker tryggingskopi av gateway-konfigurasjonen og ein måte å gjenopprette administrasjonen på som ikkje er avhengig av at tunnelen er oppe. Ein policy som låser deg ute frå din eigen ruter er eit vanskelegare problem enn lekkasjen han skulle hindre.

Utstyr som blir administrert av jobben kan framleis krevje sin eigen godkjende klient, uansett kva heimerutaren gjer. Ein heimeutgang kan ikkje gje tilgang til eit kontornettverk, uansett kva rutingtabellen seier.

Å kombinere begge oppsetta er mogleg og stundom rett, men kvar ekstra veg er enda ein ting å konfigurere og diagnostisere. Dokumentasjonen til OpenWrt om VPN-tenar- og klientroller er ei nyttig tilvising for å halde dei to frå kvarandre.