Guida
Come configurare una VPN su un router
Quando il router è il posto giusto per il tunnel e quando non lo è, il file di configurazione del fornitore nella pagina del client VPN del firmware, il DNS per tutta la casa e i controlli da un dispositivo collegato dietro di esso. Scritto per un router il cui firmware dispone di una pagina per il client VPN; questa guida non sostituisce alcun firmware.
Prima di iniziare
Questa guida non sceglie per te
Ogni passaggio qui sotto è uguale, qualunque sia il fornitore che usi; per questo qui non ne viene nominato nessuno. La scelta è un compito distinto e va fatta nel registro, dove si parte da un punteggio pubblicato e non da una pagina di download.
I file di configurazione provengono dall'area personale del fornitore e da nessun'altra parte. Un file preso da un forum contiene la chiave di qualcun altro o il server di qualcun altro.
Il router è il posto giusto per il tunnel quando i dispositivi collegati dietro di esso non possono eseguire un client autonomo — un televisore, una console, un altoparlante intelligente — oppure quando l'obiettivo è coprire tutti i dispositivi insieme senza installare nulla. È il posto sbagliato quando la casa deve uscire dal tunnel a volte: dietro un router nessun dispositivo può farlo, e tutti condividono una sola uscita, un solo Paese e un solo processore. Quel processore è il limite superiore della velocità e ha prestazioni molto inferiori a quelle di un laptop’s. Se il problema riguarda uno o due dispositivi, installa il client direttamente su quelli; le pagine delle piattaforme indicano quali fornitori supportano ciascuna piattaforma.
Questa guida non sostituisce il firmware di un router. Sostituire il firmware con uno dei comuni firmware di terze parti offre al router un client VPN migliore della maggior parte di quelli installati di serie, ma è anche l'unico passaggio nelle guide di questo sito che può trasformare l'hardware in un dispositivo inutilizzabile. Se il firmware del tuo router dispone di una pagina per il client VPN, i passaggi qui sotto sono sufficienti. Se non la possiede, la decisione di sostituire il firmware spetta a te, mentre le istruzioni sono del progetto del firmware, non nostre.
Caricare la configurazione
- Accedi al sito web del fornitore e apri la sezione del router o della configurazione manuale nell'area personale. Genera un file di configurazione per il protocollo supportato dal firmware e per l'uscita che vuoi usare; un file corrisponde a una sola uscita. Il file contiene la tua chiave — trattala come una password.
- Apri la pagina di amministrazione del router da un dispositivo collegato alla rete cablata o domestica e trova la pagina del client VPN. Il nome varia — VPN client, VPN Fusion, WAN › VPN — ma deve essere una pagina client, che stabilisce connessioni verso l'esterno, non una pagina server, che permette di collegarsi dall'esterno. Le due pagine si assomigliano, ma solo una è quella descritta da questa guida.
- Importa il file oppure incolla uno per uno i suoi campi dove il firmware lo richiede. Dai al profilo il nome dell'uscita, così in seguito sarà distinguibile da un secondo profilo.
- Scegli quali dispositivi devono passare dal tunnel se la pagina lo consente e, per ora, includili tutti; l'elenco delle eccezioni è una modifica successiva. Poi attiva il profilo.
- Non fermarti qui. Il DNS e il kill switch si trovano nella stessa pagina o in quella successiva, ed entrambi sono disattivati per impostazione predefinita.
Le impostazioni da controllare
Le pagine dei firmware sono diverse, ma le impostazioni no. Ognuna ha una voce nel glossario se il nome non ti è familiare.
DNS per tutta la casa
Ogni dispositivo collegato al router chiede al router dove si trovano le risorse, e il router lo chiede al resolver che gli è stato indicato. Se è il resolver del fornitore internet, ogni richiesta DNS della casa esce dal tunnel: il fornitore internet può così sapere quali siti visita la casa e nasconde soltanto ciò che vi viene fatto. Imposta il DNS del router — nella pagina del client VPN, se dispone di un campo apposito, altrimenti nella pagina WAN — sul resolver indicato dal file del fornitore, e configura il router perché fornisca ai dispositivi il proprio indirizzo come resolver, così nessun dispositivo riceverà quello del fornitore internet. Il funzionamento di una fuga è spiegato nella pagina sulle fughe DNS.
Il kill switch
Su un router è una regola del firewall: quando il tunnel è inattivo, nulla proveniente dai dispositivi instradati nel tunnel può uscire attraverso il percorso ordinario. Alcuni firmware offrono l'interruttore come casella di spunta, alcuni lo chiamano block routed clients if tunnel goes down e alcuni non lo hanno affatto. Se è disponibile, attivalo; in caso di interruzione del tunnel, la casa resterà senza connessione fino alla riconnessione, che è esattamente il suo scopo. Se non è disponibile, devi sapere che un'interruzione del tunnel restituisce silenziosamente ogni dispositivo alla connessione normale. Lo scopo dell'interruttore è spiegato nella pagina dedicata.
IPv6
La maggior parte dei tunnel dei router trasporta soltanto IPv4. Se il fornitore internet assegna alla casa anche IPv6, i dispositivi lo useranno per qualsiasi sito che lo supporti e quel traffico aggirerà il tunnel. A meno che il file del fornitore non configuri IPv6 all'interno del tunnel, disattiva IPv6 sul lato WAN mentre il tunnel è in uso.
Il protocollo
Scegli quello moderno quando il firmware lo offre — la pagina sui protocolli indica quali sono attuali e quali obsoleti — sia per il motivo per cui il registro gli assegna un punteggio, sia perché sul processore di un router è diverse volte più veloce di quello precedente. Un vecchio router che offre soltanto il protocollo obsoleto sarà lento oltre che contrassegnato.
Verificare che funzioni davvero
Fai i controlli da un dispositivo collegato dietro il router, non dalla pagina di stato del router, che indica soltanto ciò che il router ritiene. Esegui tre controlli, in quest'ordine:
- L'indirizzo è cambiato, su un dispositivo senza un client autonomo. Apri una pagina del tipo “qual è il mio IP” su un laptop o un telefono collegato al Wi-Fi del router, con i dati mobili disattivati e senza app VPN in esecuzione. Il Paese dovrebbe essere quello dell'uscita scelta.
- Le richieste DNS passano dal tunnel. Esegui un test delle fughe DNS dallo stesso dispositivo. Se compare qualcosa appartenente al tuo fornitore internet, l'impostazione DNS precedente non è stata applicata oppure a un dispositivo è stato assegnato il resolver sbagliato.
- Il kill switch fa ciò che dichiara. Con un download in corso su quel dispositivo, disattiva il profilo VPN dalla pagina del router oppure scollega per un momento il cavo WAN del router e ricollegalo. Durante l'interruzione il download dovrebbe fermarsi completamente e, quando la connessione torna, non dovrebbe riprendere finché non torna attivo il tunnel. Se continua, l'interruttore non è presente oppure è disattivato.
La serie completa di controlli e ciò che ciascuno può o non può mostrare sono descritti nella guida dedicata.
Cosa dimostrano questi controlli
+Ogni dispositivo su quella rete esce attraverso il server di uscita, nel Paese selezionato, senza aver installato nulla
+Il fornitore internet vede una sola connessione cifrata dalla casa e nessuna richiesta DNS
+Un tunnel interrotto blocca la connessione dell'intera casa, se il firmware dispone dell'interruttore
Cosa non dimostrano
−Non dicono nulla su ciò che conserva il fornitore — è una questione documentale, a cui rispondono le pagine sulla conservazione
−Non rendono anonimo nessuno: ogni account su ogni dispositivo resta autenticato; vedi da cosa una VPN non ti protegge
−Un test superato su un dispositivo non dice nulla su un dispositivo collegato a un'altra rete o su uno con una propria app
Una casa, due reti
La lamentela sul tunnel di un router è sempre la stessa: qualcosa deve restarne fuori. La soluzione più ordinata è usare due reti invece di una con delle eccezioni. Puoi usare un secondo router dietro al primo, con il tunnel attivo, collegando alla sua rete Wi-Fi i dispositivi che devono stare al suo interno e lasciando tutto il resto sulla rete del primo; oppure, se il firmware consente di usare una VPN per rete, una rete ospiti o secondaria che sia quella instradata nel tunnel. Un dispositivo sceglie in base alla rete a cui si collega: il televisore resta dentro, la console resta fuori e nessuno deve disattivare il tunnel per tutta la casa.
Il secondo router risolve anche il problema della velocità: gestisce soltanto i dispositivi che hanno bisogno del tunnel, quindi il suo processore costituisce un limite solo per quelli.
Quando non funziona
Tutto in casa è diventato più lento
Ora il router cifra ogni byte inviato dalla casa, usando un processore progettato per inoltrare pacchetti anziché cifrarli. Questo limite dipende dal router, non dal fornitore, e viene raggiunto molto prima di quanto riesca a fare un laptop con lo stesso abbonamento.
Il protocollo moderno è molto più leggero di quello precedente, quindi usalo quando il firmware lo offre. Oltre a questo, la soluzione è un router più veloce o un tunnel su meno dispositivi: vedi l'ultima sezione.
Un dispositivo deve restare fuori dal tunnel
Un'app bancaria che rifiuta un indirizzo estero, una console per videogiochi, un altoparlante intelligente: c'è sempre qualcosa che ne ha bisogno. Alcuni firmware consentono di escludere un dispositivo tramite il suo indirizzo; è lo split tunnelling a livello di router. Se il firmware non lo permette, la soluzione è nell'ultima sezione: una seconda rete per il tunnel, così il dispositivo deve semplicemente collegarsi all'altra.
Non disattivare il tunnel per tutta la casa solo per servire un dispositivo.
Il tunnel si interrompe e nulla si riconnette
La maggior parte dei firmware si riconnette autonomamente; alcuni lo fanno soltanto se configurati. Cerca nella pagina del client VPN un'impostazione di keep-alive, riconnessione automatica o watchdog e attivala. Se il firmware dispone di un kill switch e questo è attivo, un'interruzione del tunnel porta la casa offline fino alla riconnessione: significa che l'interruttore sta funzionando.
Se il tunnel si interrompe ogni giorno alla stessa ora, il fornitore internet sta rinnovando il tuo indirizzo e il router se ne accorge lentamente. Un keep-alive più breve può aiutare.
Alcuni dispositivi mostrano il mio Paese reale e altri no
Quei dispositivi non stanno passando dal tunnel del router: può trattarsi di un telefono con i dati mobili attivi, di un dispositivo con una propria app VPN o di un dispositivo collegato a una seconda rete che il tunnel non copre. Controlla a quale rete è collegato ciascuno.
Se un dispositivo è sulla rete instradata nel tunnel e mostra comunque il tuo Paese reale, il suo DNS o IPv6 sta raggiungendo internet aggirando il router. La sezione sui controlli spiega come interpretare il risultato.
Stessi passaggi, altre macchine
Il resto delle piattaforme
Ogni piattaforma ha una guida propria anziché una scheda su questa. I passaggi divergono non appena si apre il programma di installazione, e una pagina che risponde a tre piattaforme insieme non risponde bene a nessuna.