Router-VPN eller enhets-VPN: vad täcker vad

Att lägga tunneln på routern låter som det snyggare valet tills en bärbar dator lämnar huset. En app på enheten låter enklare tills en tv behöver täckning och inte kan köra en. De två uppläggen svarar på olika frågor. Den användbara jämförelsen handlar om var trafiken kommer in i tunneln, inte om vilken som är säkrare.

Vilken roll routern spelar

En router kan fungera som VPN-server för folk som ansluter hemifrån, som klient för att nå en extern tjänst eller som båda samtidigt. Det är separata funktioner med separata konfigurationssidor, och servern ensam skickar ingenting någonstans. Hemmabruk byter först utgång när en klient är inställd med en kompatibel profil. Att läsa rollen före protokollet sparar en onödig eftermiddag.

Funktionsnamn gör inte heller protokoll utbytbara. Ett menyval märkt VPN säger ingenting om vad den andra sidan förväntar sig.

Var trafiken kommer in i tunneln

En router tillämpar sin policy på trafik som korsar de gränssnitt och regler den äger, så gäst-Wi-Fi, en andra gateway eller IPv6 kan var och en bete sig annorlunda än huvudnätet. Testa de enheter du vill täcka med en kontroll av den offentliga adressen i stället för att anta att hela huset ingår. Trafiken korsar också det lokala nätet innan den når routern, så Wi-Fi-säkerhet och applikationens egen HTTPS bär fortfarande sin vanliga vikt. Tunneln börjar vid gatewayen, inte på enheten.

Utanför huset ändras bilden helt, eftersom en telefon på mobildata inte längre ligger bakom den routern alls. En bärbar dator på kafé-Wi-Fi behöver sin egen klient om kravet följer personen och inte byggnaden. Ingenting routern gör reser med enheten när den lämnar platsen.

Det är den här delningen som avgör de flesta fall: täckning av fasta enheter talar för routern, och täckning av en person talar för en app. Allt som blandar de två behöver båda, och båda måste underhållas.

curl --silent https://api.ipify.org
ip -brief address show
traceroute -n -m 5 203.0.113.25

Väg underhåll och identitet

En routerinstallation flyttar hemligheter, firmwareuppdateringar och routingpolicy till gateway-administratören och ger vanligtvis varje täckt enhet en delad identitet. En app ger varje enhet sin egen inloggning, sina egna loggar och sin egen profil, till priset av att hantera fler klienter. Delad och per-enhet identitet är olika erbjudanden när något behöver återkallas.

Bearbetningskapacitet hör också hit, för en router som betjänar flera användare kan nå sin gräns långt innan dess Wi-Fi-betyg antyder det. Det vanliga genomströmningstalet på lådan är inte ett tunnnels genomströmningstal.

Bestäm också vad som ska hända när tunneln fallerar. Att stoppa trafiken och att falla tillbaka på den vanliga anslutningen är båda försvarbara, och DNS- och brandväggskonfigurationen måste matcha det du valde.

Planera för avbrottet

Håll en säker säkerhetskopia av gatewaykonfigurationen och ett sätt att återställa administrationen som inte beror på att tunneln är igång. En policy som låser dig ute från din egen router är ett svårare problem än läckan den skulle förhindra.

Utrustning som hanteras av jobbet kan fortfarande kräva sin egen godkända klient, oavsett vad hemroutern gör. En hemutgång kan inte ge åtkomst till ett kontorsnät, vad routingtabellen än säger.

Att kombinera båda uppläggen är möjligt och ibland rätt, men varje extra väg är ännu en sak att konfigurera och diagnostisera. OpenWrts dokumentation om VPN-server- och klientroller är en användbar referens för att hålla de två åtskilda.