VPN на роутері чи VPN на пристрої: що що покриває

Тунель на роутері охоплює кожен пристрій, який його використовує, а застосунок на пристрої йде за вами. Охоплення, обслуговування та поведінка під час збою визначають, що вам потрібно.

Перенести тунель на роутер здається охайнішим вибором, доки ноутбук не залишає дім. Застосунок на пристрої здається простішим, доки телевізору не потрібне охоплення, а запустити його він не може. Два варіанти відповідають на різні питання. Корисне порівняння стосується того, де трафік входить у тунель, а не того, який із них безпечніший.

Яку роль відіграє роутер

Роутер може бути VPN-сервером для тих, хто підключається з дому, клієнтом для доступу до зовнішнього сервісу або обома ролями одночасно. Це окремі функції з окремими сторінками налаштування, і сам сервер нічого нікуди не надсилає. Домашній перегляд змінює вихід лише тоді, коли клієнт налаштований із сумісним профілем. Читання ролі до протоколу економить безглуздий день.

Назви функцій теж не роблять протоколи взаємозамінними. Пункт меню з написом VPN нічого не говорить про те, чого очікує інший бік.

Де трафік входить у тунель

Роутер застосовує свою політику до трафіку, що перетинає інтерфейси й правила, якими він володіє, тому гостьовий Wi-Fi, другий шлюз або IPv6 можуть поводитися інакше, ніж основна мережа. Перевіряйте пристрої, які збираєтеся охопити, перевіркою публічної адреси, а не припущенням, що включено весь дім. Трафік також перетинає локальну мережу до того, як досягне роутера, тому безпека Wi-Fi і власний HTTPS застосунку по-прежньому несуть звичайну вагу. Тунель починається на шлюзі, а не на пристрої.

За межами дому картина повністю змінюється, бо телефон на мобільних даних уже не перебуває за цим роутером. Ноутбуку в Wi-Fi кафе потрібен власний клієнт, якщо вимога йде за людиною, а не за будівлею. Ніщо з того, що робить роутер, не подорожує з пристроєм після того, як він виходить.

Саме це розділення вирішує більшість випадків: охоплення стаціонарних пристроїв схиляє до роутера, а охоплення людини — до застосунку. Усе, що змішує обидва, потребує обох, і обидва потребують обслуговування.

curl --silent https://api.ipify.org
ip -brief address show
traceroute -n -m 5 203.0.113.25

Зважте обслуговування та ідентичність

Налаштування роутера переносить секрети, оновлення прошивки й політику маршрутизації на адміністратора шлюзу і зазвичай дає кожному охопленому пристрою одну спільну ідентичність. Застосунок дає кожному пристрою власний вхід, власні журнали й власний профіль, ціною керування більшою кількістю клієнтів. Спільна і окрема для пристрою ідентичність — різні пропозиції, коли щось треба відкликати.

Сюди ж належить обчислювальна потужність, бо роутер, що обслуговує кількох користувачів, може досягти своєї межі значно раніше, ніж підказує його оцінка Wi-Fi. Звичайне число пропускної здатності на коробці — не число пропускної здатності тунелю.

Вирішіть також, що має відбуватися, коли тунель відмовляє. Зупинка трафіку й повернення до звичайного з’єднання однаково виправдані, а налаштування DNS і брандмауера має відповідати обраному варіанту.

Сплануйте простій

Тримайте захищену резервну копію конфігурації шлюзу й спосіб відновити адміністрування, що не залежить від роботи тунелю. Політика, яка замикає вас поза вашим власним роутером, — складніша проблема, ніж витік, який вона мала запобігти.

Обладнання, яким керує робота, може й далі вимагати власного схваленого клієнта, незалежно від того, що робить домашній роутер. Домашній вихід не може забезпечити доступ до офісної мережі, що б не казала таблиця маршрутизації.

Поєднувати обидва варіанти можливо і часом правильно, але кожен додатковий шлях — це ще одна річ для налаштування й діагностики. Документація OpenWrt про ролі VPN-сервера і клієнта — корисна довідка, щоб тримати їх окремо.

Схожі статті