Cliente VPN no roteador ou modo servidor: o que cada um permite

Você entra no roteador, abre a página de VPN e encontra duas abas que parecem a mesma função descrita duas vezes: uma quer um arquivo de perfil de outro lugar, a outra quer que você gere certificados e escolha uma porta. Não são duas visões de um mesmo ajuste. Um papel faz o roteador ligar para fora, o outro faz respondê-lo, e um equipamento pode fazer as duas coisas sem que uma ajude a outra. Aqui está como ler o menu e decidir de que lado você está antes de ativar qualquer coisa.

Abra o menu de VPN e leia os nomes dos papéis

Comece pelos títulos das seções, não pelos interruptores. Uma aba rotulada como cliente ou «conectar a um serviço VPN» espera um perfil importado, um arquivo de configuração ou um conjunto de credenciais emitidas por outra pessoa. Uma aba rotulada como servidor espera que você crie as identidades, escolha um protocolo e uma porta e normalmente exporte um perfil para cada dispositivo que for se conectar.

Trate a frase de marketing da caixa como não verificada até que o menu corresponda a ela. «Suporta VPN» pode significar um cliente, um servidor, um auxiliar de passagem de protocolo que apenas encaminha pacotes para um dispositivo atrás do roteador, ou um aplicativo de acesso remoto proprietário sem qualquer perfil padrão. Só a documentação do firmware distingue esses casos, e o número do modelo na etiqueta não.

Modo cliente: sua LAN sai pela saída de outra pessoa

No modo cliente o roteador se comporta como um notebook executando um aplicativo de VPN. Precisa de um protocolo compatível, de um perfil ou credenciais do operador remoto e de uma decisão de roteamento sobre quais dispositivos a jusante usam o túnel. Muitos firmwares oferecem uma lista de políticas em que você nomeia os endereços de origem ou as interfaces que devem ser enviadas pelo túnel e deixa o restante na conexão normal.

A parte que falha em silêncio é o lado remoto. O ponto de extremidade ao qual você se conecta precisa encaminhar o tráfego de internet por você e fornecer um caminho de retorno, e isso é uma política do provedor, não um ajuste no seu roteador. Um menu que só oferece o modo servidor não consegue construir esse serviço para fora, por mais que seja configurado, e um provedor que só suporta links entre sites pode conectar o túnel com sucesso mas descartar tudo o que você enviar por ele.

Depois verifique como o túnel lida com o DNS. Se o perfil empurra um resolver, o roteador deveria repassar esse resolver aos clientes a jusante; se não o fizer, os clientes continuam usando o resolver do provedor e resolvem nomes fora do túnel embora os pacotes passem por dentro. Uma verificação rápida a partir de um notebook conectado: o endereço que você vê numa página de eco de IP deveria ser a saída, e o endereço do resolver em uso deveria ser o que o túnel forneceu.

Modo servidor: alguém entra na sua LAN

O modo servidor inverte a direção. O roteador escuta, o dispositivo em viagem se conecta, e então o roteador decide quais recursos da casa essa conexão pode alcançar. Este é o papel que você quer para um NAS, uma máquina de laboratório ou uma impressora, e ele tem uma precondição que o papel de cliente não tem: algo de fora precisa conseguir alcançar o ouvinte.

É nessa precondição que a maioria das instalações domésticas trava. Se o roteador está atrás do próprio gateway do provedor, a porta VPN tem de ser encaminhada a partir desse gateway, ou o roteador tem de ser colocado em modo ponte ou DMZ. Atrás de NAT de nível de operadora não há nenhuma porta de entrada para encaminhar, então o projeto tem de mudar: um túnel de saída do roteador para um relé, um ponto de extremidade hospedado ou um produto de malha. Um servidor que não pode ser alcançado não está mal configurado, ele é inalcançável.

As identidades também diferem conforme o papel. Um perfil de cliente doméstico que manda tudo para uma saída paga é um único segredo compartilhado, enquanto um servidor que admite três telefones e um notebook precisa de quatro identidades que você possa revogar separadamente. Certificados e chaves são por dispositivo, e a página de exportação do roteador deveria dar a você um arquivo por dispositivo em vez de um arquivo para toda a casa.

Verifique a implementação exata antes de se comprometer

A documentação da Netgate sobre como escolher um papel de VPN separa os papéis dessa forma, e vale a pena ler a página equivalente para o seu firmware em vez de deduzi-la dos nomes das abas. Procure três fatos concretos: quais protocolos o cliente sabe falar, se o servidor suporta o protocolo que seus dispositivos usam e se a política de roteamento cobre endereços de origem, interfaces inteiras ou nada.

Depois olhe o limite de suporte. Um roteador de consumo com aba de cliente mas sem lista de políticas enviará todos os dispositivos pelo túnel, o que é bom para um aparelho de streaming e errado para um notebook de trabalho que precisa do túnel do escritório. Um roteador com aba de servidor mas um único perfil compartilhado é uma ferramenta de laboratório razoável e uma má escolha para uma família, porque revogar um dispositivo significa mudar a configuração de todos.

Escolha o papel conforme onde o tráfego começa

Percorra a linha escolhida do começo ao fim antes de mudar qualquer outra coisa. Ative o papel, conecte um cliente, confirme o endereço com que ele aparece, confirme qual resolver ele usa e confirme o caminho de retorno na direção oposta. Se o roteador também tem uma página de firewall, verifique se a nova interface não está bloqueada por uma regra padrão escrita quando o túnel ainda não existia.

Quando os dois papéis estão disponíveis e o requisito é realmente ambos, execute-os como funções separadas com documentação separada. Um roteador pode ligar para fora para a televisão e aceitar ao mesmo tempo uma conexão de telefone para o NAS, mas as duas políticas não devem compartilhar uma sub-rede, um ajuste de DNS ou uma zona de firewall, ou a primeira mudança que você fizer para uma quebrará a outra.