VPN na routerze czy VPN na urządzeniu: które co obejmuje

Umieszczenie tunelu na routerze brzmi jak schludniejszy wybór, dopóki laptop nie opuści domu. Aplikacja na urządzeniu brzmi prościej, dopóki telewizor nie potrzebuje zasięgu i nie potrafi uruchomić żadnej. Oba rozwiązania odpowiadają na różne pytania. Użyteczne porównanie dotyczy tego, gdzie ruch wchodzi do tunelu, a nie tego, które jest bezpieczniejsze.

Jaką rolę pełni router

Router może działać jako serwer VPN dla osób łączących się z domu, jako klient do osiągnięcia usługi zewnętrznej albo jako jedno i drugie naraz. To osobne funkcje z osobnymi stronami konfiguracji, a sam serwer niczego nigdzie nie wysyła. Przeglądanie w domu zmienia wyjście dopiero wtedy, gdy klient jest skonfigurowany ze zgodnym profilem. Przeczytanie roli przed protokołem oszczędza bezsensowne popołudnie.

Nazwy funkcji też nie czynią protokołów wymiennymi. Pozycja menu z etykietą VPN nie mówi nic o tym, czego oczekuje drugi koniec.

Gdzie ruch wchodzi do tunelu

Router stosuje swoją politykę do ruchu przechodzącego przez interfejsy i reguły, które posiada, więc Wi-Fi dla gości, druga brama lub IPv6 mogą zachowywać się inaczej niż sieć główna. Przetestuj urządzenia, które chcesz objąć, sprawdzeniem adresu publicznego, zamiast zakładać, że cały dom jest uwzględniony. Ruch przechodzi też przez sieć lokalną, zanim dotrze do routera, więc bezpieczeństwo Wi-Fi i własny HTTPS aplikacji nadal mają zwykłą wagę. Tunel zaczyna się na bramie, a nie na urządzeniu.

Poza domem obraz zmienia się całkowicie, bo telefon na danych komórkowych nie jest już w ogóle za tym routerem. Laptop w Wi-Fi kawiarni potrzebuje własnego klienta, jeśli wymóg podąża za osobą, a nie za budynkiem. Nic, co robi router, nie podróżuje z urządzeniem, gdy ono wychodzi.

To ten podział rozstrzyga większość przypadków: zasięg stałych urządzeń przemawia za routerem, a zasięg osoby za aplikacją. Wszystko, co miesza oba, potrzebuje obu, a oba wymagają konserwacji.

curl --silent https://api.ipify.org
ip -brief address show
traceroute -n -m 5 203.0.113.25

Zważyć konserwację i tożsamość

Konfiguracja routera przenosi sekrety, aktualizacje firmware i politykę routingu na administratora bramy i zwykle daje każdemu objętemu urządzeniu jedną wspólną tożsamość. Aplikacja daje każdemu urządzeniu własne logowanie, własne dzienniki i własny profil, za cenę zarządzania większą liczbą klientów. Wspólna tożsamość i tożsamość na urządzenie to różne propozycje, gdy coś trzeba unieważnić.

Zdolność przetwarzania też tu należy, bo router obsługujący kilku użytkowników może osiągnąć swój limit znacznie wcześniej, niż sugeruje jego ocena Wi-Fi. Zwykła liczba przepustowości na pudełku nie jest liczbą przepustowości tunelu.

Zdecyduj też, co ma się stać, gdy tunel zawiedzie. Zatrzymanie ruchu i powrót do zwykłego połączenia są oba uzasadnione, a konfiguracja DNS i zapory musi pasować do wybranej opcji.

Zaplanować awarię

Trzymaj bezpieczną kopię konfiguracji bramy i sposób przywrócenia administracji, który nie zależy od tego, czy tunel działa. Polityka, która zamyka cię poza twoim własnym routerem, to trudniejszy problem niż wyciek, któremu miała zapobiec.

Sprzęt zarządzany przez pracę może nadal wymagać własnego zatwierdzonego klienta, niezależnie od tego, co robi router domowy. Wyjście domowe nie może zapewnić dostępu do sieci biurowej, cokolwiek mówi tabela routingu.

Łączenie obu rozwiązań jest możliwe i czasem słuszne, ale każda dodatkowa ścieżka to kolejna rzecz do skonfigurowania i zdiagnozowania. Dokumentacja OpenWrt o rolach serwera i klienta VPN to użyteczne źródło, jak trzymać je osobno.