Telemóvel fora da VPN? Túnel no router ou cliente por dispositivo

O portátil está ligado à VPN, o telemóvel está na mesma Wi-Fi e, ainda assim, o telemóvel navega a partir do endereço do ISP. Não é uma falha do cliente: um túnel vive na máquina que o termina e nada mais o herda por proximidade. A cobertura só se estende quando o router executa o cliente, ou quando uma máquina é deliberadamente transformada em gateway para a LAN. Qual modelo quer decide-se por três coisas: o protocolo que o seu fornecedor fala de facto, quão diferente é preciso tratar os dispositivos e que falha consegue suportar às nove da noite.

O que um túnel no router cobre de facto

Quando o túnel termina no router, todos os dispositivos que encaminham através dele partilham a saída. É esse o atrativo para uma televisão, uma consola ou um eletrodoméstico que nunca executará um cliente: nada para instalar, nada para manter atualizado e um único lugar onde mudar de fornecedor.

A cobertura é condicional de formas que surpreendem. Uma rede de convidados ou um segundo SSID com a sua própria política segue o caminho que essa política define, não o túnel. Um caminho IPv6 pode contornar um túnel que só transporta IPv4. Um dispositivo com a sua própria aplicação VPN ou o seu próprio resolvedor cifrado ignora o router por completo. E o tráfego do próprio router, atualizações e DNS incluídos, segue a sua política de saída, que é um caminho diferente do tráfego reencaminhado da LAN.

A verificação é a mesma nos dois modelos e demora um minuto: pergunte a dois dispositivos que endereço o mundo vê e depois veja na lista de ligações do router se o túnel existe. Se o telemóvel reporta o endereço do ISP enquanto o router mostra um túnel estabelecido, o telemóvel não está a ser encaminhado por ele, e nenhuma reconexão muda isso.

Onde o cliente por dispositivo ganha

Os clientes por dispositivo ganham assim que os requisitos divergem. Um portátil de trabalho pode precisar de um túnel corporativo ao qual o telemóvel não deve juntar-se; um cliente de fornecedor pode oferecer túnel dividido por aplicação, algo que um router não consegue exprimir; uma consola pode precisar de ficar de fora para manter o seu tipo de NAT. Além disso, cada dispositivo falha por si, por isso uma subscrição caducada não silencia a casa toda.

As credenciais são o argumento mais afiado. Um router que se liga em nome de todos detém uma única conta, e cada pessoa nessa rede herda o seu acesso. Se a intenção é autenticar cada pessoa antes do acesso à internet, um túnel no router sozinho não o consegue fazer. O desenho habitual é um portal cativo que valida a conta e depois deixa o cliente entrar num túnel já estabelecido, o que são mais peças móveis do que a maioria das casas quer.

O suporte de protocolos decide mais casos do que a preferência

Os routers de consumo só expõem os protocolos que o fabricante incluiu. Um router com PPTP, L2TP ou IPsec simples não consegue ligar-se a um fornecedor que só publica perfis OpenVPN ou WireGuard, e nenhuma configuração muda isso. As opções honestas são um fornecedor que fale um protocolo suportado, um router com OpenWrt ou outro firmware com o cliente de que precisa, ou um cliente em cada dispositivo.

O caso inverso é igualmente comum: um router compatível com OpenVPN não consegue usar um fornecedor cujo serviço depende de um cliente proprietário e dos seus próprios truques de encaminhamento. Leia a página de protocolos suportados do fornecedor antes de comprar hardware e confirme a versão do firmware, porque «suporta WireGuard» numa página de produto costuma significar uma geração específica de firmware.

Um router de viagem com cliente WireGuard é a versão barata do modelo de router e uma resposta razoável para um punhado de dispositivos que não conseguem executar um cliente. Continua a ser um túnel no router, por isso tudo o que foi dito sobre redes de convidados, IPv6 e falha partilhada aplica-se sem alterações.

A terceira opção: uma máquina como gateway

Partilhar um cliente a partir de um portátil é possível, e é o que as pessoas costumam querer dizer com transformar o portátil num router.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Funciona até a máquina suspender, o cliente se reconectar noutro perfil ou a firewall da máquina descartar pacotes reencaminhados. Então tudo o que está por trás perde a conectividade de uma vez, e a falha parece uma rede morta em vez de um problema de VPN.

Para um laboratório ou uma montagem temporária serve. Como arranjo permanente torna um portátil no único ponto de falha de uma casa, e costuma acabar com alguém a perguntar-se porque é que a televisão deixou de funcionar quando uma tampa se fechou.

Portas de entrada, DNS e a falha que partilha

Os serviços de entrada movem-se com o túnel. Uma VPN no router costuma quebrar o reencaminhamento de portas para um servidor da LAN, e um nome DNS dinâmico tem de apontar para a saída da VPN em vez do endereço do ISP se o serviço deve ser acessível através do túnel. Alguns fornecedores não oferecem qualquer endereço de entrada encaminhável, o que acaba em silêncio com qualquer plano que dependesse de um.

O DNS segue o router quando o router é dono do túnel, o que é cómodo até um dispositivo precisar de outro resolvedor. Um cliente por dispositivo consegue exprimi-lo; uma política de router não consegue sem dividir a rede em duas. A falha também é partilhada, porque um crash, uma subscrição caducada ou uma rota empurrada defeituosa desligam todos os dispositivos no mesmo instante.

Escolha o modelo de router quando os dispositivos não conseguem executar clientes e uma única saída é aceitável. Escolha clientes por dispositivo quando as políticas diferem, quando o fornecedor precisa de um protocolo que o router não tem ou quando a conta não deve ser partilhada. Se uma máquina for a gateway, anote que interface partilha que rede e teste o caso de túnel em baixo, porque é nesse estado que a maioria destes desenhos se revela errada.