VPN на роутере или VPN на устройстве: что что покрывает

Туннель на роутере охватывает каждое устройство, которое его использует, а приложение на устройстве следует за вами. Охват, обслуживание и поведение при сбое определяют, что вам нужно.

Перенести туннель на роутер кажется более аккуратным выбором, пока ноутбук не покидает дом. Приложение на устройстве кажется проще, пока телевизору не нужен охват, а запустить его он не может. Два варианта отвечают на разные вопросы. Полезное сравнение касается того, где трафик входит в туннель, а не того, какой из них безопаснее.

Какую роль играет роутер

Роутер может быть VPN-сервером для тех, кто подключается из дома, клиентом для доступа к внешнему сервису или и тем и другим одновременно. Это отдельные функции с отдельными страницами настройки, и сам сервер ничего никуда не отправляет. Домашний просмотр меняет выход только тогда, когда клиент настроен с совместимым профилем. Чтение роли до протокола экономит бессмысленный день.

Названия функций тоже не делают протоколы взаимозаменяемыми. Пункт меню с надписью VPN ничего не говорит о том, чего ждёт другая сторона.

Где трафик входит в туннель

Роутер применяет свою политику к трафику, пересекающему интерфейсы и правила, которыми он владеет, поэтому гостевой Wi-Fi, второй шлюз или IPv6 могут вести себя иначе, чем основная сеть. Проверяйте устройства, которые собираетесь охватить, проверкой публичного адреса, а не предположением, что включён весь дом. Трафик также пересекает локальную сеть до того, как достигнет роутера, поэтому безопасность Wi-Fi и собственный HTTPS приложения по-прежнему несут обычный вес. Туннель начинается на шлюзе, а не на устройстве.

За пределами дома картина полностью меняется, потому что телефон на мобильных данных уже не находится за этим роутером. Ноутбуку в Wi-Fi кафе нужен собственный клиент, если требование следует за человеком, а не за зданием. Ничто из того, что делает роутер, не путешествует с устройством после того, как оно уходит.

Именно это разделение решает большинство случаев: охват стационарных устройств говорит в пользу роутера, а охват человека — в пользу приложения. Всё, что смешивает оба, требует обоих, и оба нужно обслуживать.

curl --silent https://api.ipify.org
ip -brief address show
traceroute -n -m 5 203.0.113.25

Взвесьте обслуживание и идентичность

Настройка роутера переносит секреты, обновления прошивки и политику маршрутизации на администратора шлюза и обычно даёт каждому охваченному устройству одну общую идентичность. Приложение даёт каждому устройству собственный вход, собственные журналы и собственный профиль — ценой управления большим числом клиентов. Общая и отдельная для устройства идентичность — разные предложения, когда что-то нужно отозвать.

Сюда же относится вычислительная мощность, потому что роутер, обслуживающий нескольких пользователей, может достичь своего предела намного раньше, чем предполагает его рейтинг Wi-Fi. Обычное число пропускной способности на коробке — не число пропускной способности туннеля.

Решите также, что должно происходить при отказе туннеля. Остановка трафика и возврат к обычному соединению одинаково оправданны, и настройка DNS и брандмауэра должна соответствовать выбранному варианту.

Спланируйте простой

Держите защищённую резервную копию конфигурации шлюза и способ восстановить администрирование, не зависящий от работы туннеля. Политика, которая запирает вас вне вашего собственного роутера, — более трудная проблема, чем утечка, которую она должна была предотвратить.

Оборудование, управляемое работой, может по-прежнему требовать собственного одобренного клиента независимо от того, что делает домашний роутер. Домашний выход не может обеспечить доступ к офисной сети, что бы ни говорила таблица маршрутизации.

Сочетать оба варианта возможно и иногда правильно, но каждый дополнительный путь — это ещё одна вещь для настройки и диагностики. Документация OpenWrt о ролях VPN-сервера и клиента — полезная справка, чтобы держать их раздельно.

Похожие статьи