Keenetic: Parte 3 — Cliente VPN para toda la red

Por qué un cliente VPN en el router

Configurar VPN en cada dispositivo es incómodo, y los televisores, consolas de juego y dispositivos de hogar inteligente a menudo ni siquiera lo soportan. Si el cliente VPN se ejecuta en el router, el túnel puede ser usado por todos los dispositivos de la red —o solo por los seleccionados.

Un segundo escenario frecuente es la conexión con la oficina: el router de una sucursal o del hogar del empleado está conectado permanentemente a la red corporativa, y sus recursos son accesibles sin ejecutar programas en los ordenadores.

Qué conexiones se soportan

• WireGuard — protocolo moderno y rápido; sirve tanto para conectarse a un servicio VPN como para enlazar con otro router.
• IKEv1/IKEv2 — cliente para servidores IPsec corporativos y comerciales.
• L2TP/IPsec y PPTP/L2TP — para compatibilidad con servidores existentes; no usar PPTP para esquemas nuevos.
• SSTP — conexión vía HTTPS, incluso a otro Keenetic a través de la nube KeenDNS.
• OpenConnect — cliente para servidores compatibles con Cisco AnyConnect.
• OpenVPN — la opción más flexible, pero con requisitos de configuración (más abajo).
• Cliente proxy — desde KeeneticOS 3.9 el router puede salir a Internet a través de un proxy HTTP, HTTPS o SOCKS5. El fabricante recomienda activar DNS-over-TLS o DNS-over-HTTPS al mismo tiempo; de lo contrario, parte de los sitios pueden abrirse incorrectamente.
• ZeroTier — conexión del router a la red mesh de ZeroTier (más detalles en la primera parte de la serie).
• Túneles GRE, IPIP, EoIP — para conectar redes entre routers. IPIP y GRE por sí solos no cifran el tráfico. Ejemplo de uso — redirigir el tráfico de una subred a través de un servidor remoto por IPIP.

Particularidades de OpenVPN en Keenetic

• La configuración es un solo archivo, con certificados y claves integrados en él.
• Se soportan parámetros de la documentación de OpenVPN 2.4; no se soportan parámetros relacionados con IPv6.
• La clave privada debe estar sin contraseña: no hay campo en la interfaz para introducirla.
• El archivo OpenVPN no se guarda en el archivo principal de configuración del router, por lo que hay que conservar su copia de seguridad por separado.
• En modelos antiguos todas las configuraciones VPN juntas no deben superar los 24 KB; en modelos modernos con índice KN-XXXX el almacenamiento es mayor.

Ejemplo paso a paso — OpenVPN-server en Ubuntu y cliente Keenetic.

Qué túnel para quién: políticas de conexión

La principal capacidad del router como cliente VPN son las políticas de conexión (enrutamiento por reglas). Una política es un conjunto de conexiones con prioridades al que se asignan dispositivos o segmentos de red. Se pueden crear hasta 16 políticas.

Ejemplo: toda la casa navega por Internet mediante el proveedor, y la consola de juegos usa la VPN.

1. Configure la conexión VPN en la página «Otras conexiones» y active para ella «Usar para salida a Internet».
2. En la página de políticas de conexión (Connection Policies), en la pestaña de configuración de políticas, pulse «Agregar política» y marque en ella solo la conexión VPN.
3. En la pestaña de asignaciones de políticas arrastre el dispositivo deseado a la nueva política. El dispositivo debe estar registrado en la lista de clientes.

Todos los dispositivos no registrados de los segmentos doméstico y de invitados permanecen en la política por defecto. Puede comprobar qué política aplica a un dispositivo en la lista de clientes.

Además de la asignación de dispositivos, existen rutas por nombres de dominio: el tráfico a sitios concretos se puede dirigir a la conexión deseada.

Qué ocurre cuando se interrumpe el túnel

El comportamiento lo determina la composición de la política; en la documentación de Keenetic no hay un conmutador independiente «Kill Switch».

• En la política por defecto al fallar la conexión con mayor prioridad el router pasa a la siguiente disponible. Si la VPN está primero y el proveedor segundo, al romperse el túnel el tráfico irá directamente.
• En la política solo con la conexión VPN no hay otras vías a Internet. Mientras el túnel no se recupere, los dispositivos de esa política quedan sin Internet —el tráfico no sale por otro camino.

La elección depende del objetivo: para dispositivos de trabajo que no pueden salir a Internet fuera del VPN, usar una política solo con túnel; para comodidad — túnel con proveedor de reserva.

DNS y políticas

A la política solo entran los servidores DNS de las conexiones que están incluidas en ella. Esto protege contra la situación en la que el tráfico va por la VPN, pero las consultas DNS van por el proveedor. Pero si el servicio VPN no proporciona servidores DNS, los dispositivos de la política pueden quedarse sin resolución de nombres —entonces se añade manualmente un servidor DNS vinculado a la interfaz.

Errores típicos

• No está activada la salida a Internet para la conexión VPN. El túnel está establecido, pero no participa en las políticas.
• El dispositivo no está registrado. Un cliente no registrado permanece en la política por defecto y las reglas no se le aplican.
• No hay copia de seguridad de la configuración de OpenVPN. Tras resetear el router habrá que restaurarla desde cero.
• Subredes superpuestas. Si la red al otro lado del túnel coincide con la doméstica, las rutas entran en conflicto. Más problemas típicos — en el análisis del enlace MikroTik y Keenetic.