Um segundo router como gateway VPN: o que ele não resolve
Um segundo router dá a dispositivos selecionados uma saída diferente. Ele não elimina o NAT duplo, não corrige a descoberta local e não se mantém sozinho quando o túnel falha.
Colocar um segundo router atrás do principal é uma forma limpa de dar a alguns dispositivos uma saída diferente. É também onde as pessoas esperam mais isolamento do que o dispositivo entrega. A rede principal mantém o seu caminho habitual, e a rede a jusante segue a política do segundo router. O que acontece entre elas, e o que acontece quando o túnel falha, é a parte que merece planeamento.
A configuração funciona. Os mitos são sobre o que ela protege. Continua a ser um desenho útil; simplesmente não é uma fronteira de segurança por si só.
Mito: o segundo router isola o túnel completamente
Os dispositivos atrás do segundo gateway seguem a sua política. Os dispositivos da rede principal não herdam esse túnel, e é esse o objetivo. Mas o segundo router ainda tem um caminho ascendente através do primeiro, e esse caminho é uma relação que tem de gerir.
O segundo router também precisa de um perfil de cliente VPN. Uma funcionalidade que só aceita ligações VPN de entrada não cria um túnel de saída para um fornecedor. Verifique o suporte de cliente do firmware antes de comprar o hardware.
Dê à rede a jusante uma sub-rede que não se sobreponha. Copiar um intervalo de exemplo sem verificar as redes existentes é uma forma fiável de criar um quebra-cabeças de encaminhamento.
Mito: o NAT duplo é apenas a encapsulação da VPN
Dois gateways encaminhados podem criar NAT duplo, e isso é separado da encapsulação da própria VPN. O tráfego de saída normal costuma funcionar. O acesso a serviços de entrada exige um desenho deliberado, muitas vezes um encaminhamento de portas nos dois dispositivos ou uma abordagem completamente diferente.
A camada extra de tradução também torna os registos mais difíceis de ler. Um endereço de origem no registo do router principal pode pertencer ao segundo router em vez do dispositivo que está a depurar. Vale a pena saber isso antes de perseguir um dispositivo fantasma.
Escreva o plano de endereços antes de ligar seja o que for.
Mito: a descoberta atravessa porque ambas as LAN navegam bem
Ambas as redes podem navegar na internet enquanto a descoberta entre elas falha. Um telefone no Wi-Fi principal pode não encontrar uma televisão atrás do gateway VPN, porque a descoberta multicast não atravessa uma fronteira encaminhada por predefinição. Se isso for importante, precisa de um refletor ou de uma topologia diferente. O sucesso na navegação não é prova de descoberta local.
Mantenha a interface de gestão do segundo router acessível a partir de um caminho autorizado sem a publicar na WAN. Guarde a configuração de ambos os gateways antes de alterar rotas.
Teste DNS e IPv6, além do endereço de saída visível. Um túnel que só transporta IPv4 pode deixar escapar a outra família. Escreva ambos os resultados no registo de alterações.
O que o segundo gateway lhe dá realmente
Torna o âmbito visível. Pode apontar um dispositivo e dizer que rede segue o túnel, e a casa mantém o seu caminho habitual. Essa clareza vale o hardware extra em muitas casas.
É ainda outro dispositivo a manter, com credenciais, firmware e um processo de recuperação. Decida se os dispositivos a jusante devem parar ou voltar quando a VPN falha, e teste esse comportamento. O gateway não elimina o trabalho operacional; concentra-o. A receita do cliente pfSense WireGuard cobre o lado do túnel numa plataforma comum.