VPN no router ou VPN no dispositivo: qual cobre o quê

Colocar o túnel no router parece a opção mais arrumada até um portátil sair de casa. Uma aplicação no dispositivo parece mais simples até uma televisão precisar de cobertura e não conseguir executar nenhuma. As duas soluções respondem a perguntas diferentes. A comparação útil é sobre onde o tráfego entra no túnel, não sobre qual é mais segura.

Que papel desempenha o router

Um router pode funcionar como servidor VPN para quem se liga de casa, como cliente para alcançar um serviço externo ou como ambos ao mesmo tempo. São funções separadas com páginas de configuração separadas, e o servidor sozinho não envia nada para lado nenhum. A navegação doméstica só muda a saída quando um cliente está configurado com um perfil compatível. Ler o papel antes do protocolo poupa uma tarde inútil.

Os nomes das funções também não tornam os protocolos intercambiáveis. Uma entrada de menu com a etiqueta VPN não lhe diz nada sobre o que o outro lado espera.

Onde o tráfego entra no túnel

Um router aplica a sua política ao tráfego que atravessa as interfaces e as regras que possui, pelo que o Wi-Fi de convidados, um segundo gateway ou IPv6 podem comportar-se cada um de forma diferente da rede principal. Teste os dispositivos que pretende cobrir com uma verificação do endereço público em vez de assumir que a casa toda está incluída. O tráfego também atravessa a rede local antes de chegar ao router, pelo que a segurança do Wi-Fi e o HTTPS próprio da aplicação continuam a ter o seu peso habitual. O túnel começa no gateway, não no dispositivo.

Fora de casa o quadro muda por completo, porque um telemóvel em dados móveis já não está atrás desse router. Um portátil no Wi-Fi de um café precisa do seu próprio cliente se o requisito seguir a pessoa e não o edifício. Nada do que o router faz viaja com o dispositivo quando este sai.

É esta a divisão que decide a maioria dos casos: a cobertura de dispositivos fixos favorece o router, e a cobertura de uma pessoa favorece uma aplicação. Tudo o que mistura as duas coisas precisa das duas, e ambas precisam de manutenção.

curl --silent https://api.ipify.org
ip -brief address show
traceroute -n -m 5 203.0.113.25

Pesar manutenção e identidade

Uma instalação com router transfere segredos, atualizações de firmware e política de encaminhamento para o administrador do gateway, e tende a dar a cada dispositivo coberto uma identidade partilhada. Uma aplicação dá a cada dispositivo o seu próprio início de sessão, os seus registos e o seu perfil, ao preço de gerir mais clientes. A identidade partilhada e a identidade por dispositivo são propostas diferentes quando algo tem de ser revogado.

A capacidade de processamento também conta, porque um router que serve vários utilizadores pode atingir o seu limite muito antes do que a sua classificação Wi-Fi sugere. O número de débito habitual na caixa não é um número de débito do túnel.

Decida também o que deve acontecer quando o túnel falha. Parar o tráfego e voltar à ligação habitual são ambas opções defensáveis, e a configuração de DNS e firewall tem de corresponder à que escolheu.

Planear a falha

Mantenha uma cópia de segurança segura da configuração do gateway e uma forma de restaurar a administração que não dependa de o túnel estar ativo. Uma política que o deixa fora do seu próprio router é um problema mais difícil do que a fuga que devia evitar.

O equipamento gerido pela empresa pode ainda exigir o seu próprio cliente aprovado, independentemente do que o router de casa faz. Uma saída doméstica não pode dar acesso a uma rede de escritório, diga o que disser a tabela de encaminhamento.

Combinar as duas soluções é possível e por vezes correto, mas cada caminho adicional é mais uma coisa a configurar e a diagnosticar. A documentação do OpenWrt sobre os papéis de servidor e cliente VPN é uma referência útil para manter os dois separados.