VPN pe router sau VPN pe dispozitiv: care acoperă ce

Punerea tunelului pe router pare alegerea mai ordonată până când un laptop pleacă din casă. O aplicaţie pe dispozitiv pare mai simplă până când un televizor are nevoie de acoperire şi nu poate rula una. Cele două aranjamente răspund la întrebări diferite. Comparaţia utilă este despre unde intră traficul în tunel, nu despre care este mai sigur.

Ce rol joacă routerul

Un router poate acţiona ca server VPN pentru cei care se conectează de acasă, ca client pentru a ajunge la un serviciu extern sau ca ambele simultan. Sunt funcţii separate cu pagini de configurare separate, iar serverul singur nu trimite nimic nicăieri. Navigarea din casă schimbă ieşirea doar când un client este configurat cu un profil compatibil. Citirea rolului înaintea protocolului economiseşte o după-amiază inutilă.

Nici numele funcţiilor nu fac protocoalele interschimbabile. O intrare de meniu etichetată VPN nu vă spune nimic despre ce aşteaptă celălalt capăt.

Unde intră traficul în tunel

Un router aplică politica sa traficului care traversează interfeţele şi regulile pe care le deţine, aşa că Wi-Fi-ul pentru oaspeţi, o a doua poartă sau IPv6 se pot comporta fiecare diferit faţă de reţeaua principală. Testaţi dispozitivele pe care intenţionaţi să le acoperiţi cu o verificare a adresei publice, în loc să presupuneţi că toată casa este inclusă. Traficul traversează şi reţeaua locală înainte de a ajunge la router, aşa că securitatea Wi-Fi şi HTTPS-ul propriu al aplicaţiei îşi păstrează greutatea obişnuită. Tunelul începe la poartă, nu la dispozitiv.

În afara casei imaginea se schimbă complet, pentru că un telefon pe date mobile nu mai este deloc în spatele acelui router. Un laptop pe Wi-Fi-ul unei cafenele are nevoie de propriul client dacă cerinţa urmează persoana, nu clădirea. Nimic din ce face routerul nu călătoreşte cu dispozitivul odată ce acesta pleacă.

Aceasta este împărţirea care decide majoritatea cazurilor: acoperirea dispozitivelor fixe favorizează routerul, iar acoperirea unei persoane favorizează o aplicaţie. Orice amestecă cele două are nevoie de ambele, iar ambele au nevoie de întreţinere.

curl --silent https://api.ipify.org
ip -brief address show
traceroute -n -m 5 203.0.113.25

Cântăriţi întreţinerea şi identitatea

O instalare pe router mută secretele, actualizările de firmware şi politica de rutare la administratorul porţii şi tinde să dea fiecărui dispozitiv acoperit o identitate comună. O aplicaţie dă fiecărui dispozitiv propria autentificare, propriile jurnale şi propriul profil, cu preţul gestionării mai multor clienţi. Identitatea comună şi identitatea pe dispozitiv sunt propuneri diferite când ceva trebuie revocat.

Capacitatea de procesare intră şi ea aici, pentru că un router care serveşte mai mulţi utilizatori poate ajunge la limită mult înainte ca ratingul său Wi-Fi să sugereze asta. Numărul obişnuit de debit de pe cutie nu este un număr de debit al tunelului.

Decideţi şi ce trebuie să se întâmple când tunelul eşuează. Oprirea traficului şi revenirea la conexiunea obişnuită sunt ambele justificabile, iar configuraţia DNS şi de firewall trebuie să corespundă celei alese.

Planificaţi întreruperea

Păstraţi o copie de siguranţă securizată a configuraţiei porţii şi o modalitate de a restabili administrarea care să nu depindă de faptul că tunelul funcţionează. O politică ce vă încuie în afara propriului router este o problemă mai grea decât scurgerea pe care trebuia să o prevină.

Echipamentele administrate de muncă pot cere în continuare propriul client aprobat, indiferent ce face routerul de acasă. O ieşire de acasă nu poate oferi acces la o reţea de birou, orice ar spune tabelul de rutare.

Combinarea celor două aranjamente este posibilă şi uneori corectă, dar fiecare cale suplimentară este încă un lucru de configurat şi diagnosticat. Documentaţia OpenWrt despre rolurile de server şi client VPN este o referinţă utilă pentru a le ţine separate.