VPN trên router hay VPN trên thiết bị: cái nào phủ cái gì

Đặt đường hầm trên router nghe có vẻ là lựa chọn gọn gàng hơn cho đến khi một laptop rời khỏi nhà. Ứng dụng trên thiết bị nghe đơn giản hơn cho đến khi một chiếc tivi cần được phủ và không thể chạy ứng dụng. Hai cách sắp xếp trả lời những câu hỏi khác nhau. So sánh hữu ích là về nơi lưu lượng đi vào đường hầm, không phải về cái nào an toàn hơn.

Router đang đóng vai gì

Router có thể hoạt động như máy chủ VPN cho người kết nối từ nhà, như máy khách để tới một dịch vụ bên ngoài, hoặc cả hai cùng lúc. Đây là những tính năng riêng với trang cấu hình riêng, và riêng máy chủ thì không gửi gì đi đâu cả. Duyệt web trong nhà chỉ đổi đường ra khi máy khách được cấu hình với hồ sơ tương thích. Đọc vai trò trước giao thức tiết kiệm một buổi chiều vô ích.

Tên tính năng cũng không làm các giao thức thay thế được cho nhau. Một mục menu có nhãn VPN không cho bạn biết gì về điều đầu bên kia mong đợi.

Lưu lượng đi vào đường hầm ở đâu

Router áp dụng chính sách của nó cho lưu lượng đi qua các giao diện và quy tắc mà nó sở hữu, nên Wi-Fi khách, một cổng thứ hai hay IPv6 đều có thể hoạt động khác mạng chính. Hãy kiểm tra các thiết bị bạn định phủ bằng cách xem địa chỉ công cộng thay vì cho rằng cả nhà đều được bao gồm. Lưu lượng cũng đi qua mạng cục bộ trước khi tới router, nên bảo mật Wi-Fi và HTTPS của chính ứng dụng vẫn mang trọng lượng thường lệ. Đường hầm bắt đầu tại cổng, không phải tại thiết bị.

Bên ngoài ngôi nhà bức tranh thay đổi hoàn toàn, vì một chiếc điện thoại dùng dữ liệu di động không còn ở sau router đó nữa. Một laptop trên Wi-Fi quán cà phê cần máy khách riêng nếu yêu cầu đi theo người chứ không theo tòa nhà. Không gì router làm đi theo thiết bị khi nó rời đi.

Chính sự phân chia này quyết định phần lớn trường hợp: phạm vi phủ thiết bị cố định nghiêng về router, còn phủ một người nghiêng về ứng dụng. Bất cứ thứ gì trộn cả hai đều cần cả hai, và cả hai đều cần bảo trì.

curl --silent https://api.ipify.org
ip -brief address show
traceroute -n -m 5 203.0.113.25

Cân nhắc bảo trì và danh tính

Việc thiết lập router chuyển bí mật, bản cập nhật firmware và chính sách định tuyến sang quản trị viên cổng, và thường cho mỗi thiết bị được phủ một danh tính dùng chung. Ứng dụng cho mỗi thiết bị đăng nhập riêng, nhật ký riêng và hồ sơ riêng, với cái giá là quản lý nhiều máy khách hơn. Danh tính dùng chung và danh tính theo thiết bị là những đề xuất khác nhau khi cần thu hồi điều gì đó.

Năng lực xử lý cũng thuộc về đây, vì một router phục vụ nhiều người dùng có thể đạt giới hạn sớm hơn nhiều so với mức xếp hạng Wi-Fi của nó gợi ý. Con số thông lượng thông thường trên hộp không phải là con số thông lượng của đường hầm.

Cũng hãy quyết định điều gì sẽ xảy ra khi đường hầm hỏng. Dừng lưu lượng và quay lại kết nối thông thường đều có thể biện hộ được, và cấu hình DNS và tường lửa phải khớp với lựa chọn của bạn.

Lên kế hoạch cho gián đoạn

Giữ một bản sao lưu an toàn của cấu hình cổng và một cách khôi phục quản trị không phụ thuộc vào việc đường hầm có hoạt động hay không. Một chính sách khóa bạn ra khỏi router của chính mình là vấn đề khó hơn so với rò rỉ mà nó lẽ ra phải ngăn.

Thiết bị do công việc quản lý có thể vẫn yêu cầu máy khách được phê duyệt riêng, bất kể router ở nhà làm gì. Một lối ra tại nhà không thể cho truy cập vào mạng văn phòng, dù bảng định tuyến nói gì.

Kết hợp cả hai cách là khả thi và đôi khi đúng, nhưng mỗi đường đi thêm là một thứ nữa phải cấu hình và chẩn đoán. Tài liệu của OpenWrt về vai trò máy chủ và máy khách VPN là tài liệu tham khảo hữu ích để giữ hai thứ tách biệt.