Twee toestelle, een Wi-Fi, verskillende VPN-uitgange: wat die deurslag gee

Twee skootrekenaars op dieselfde tuisrouter kan die internet deur verskillende VPN-uitgange bereik, en die gedeelde Wi-Fi het niks daaroor te sê nie. Wat die uitkoms bepaal, is waar die tonnel loop en watter beleid die pad vir elke versoek kies. Die teenoorgestelde oortuiging is net so algemeen en net so verkeerd: twee toestelle met afsonderlike profiele lewer nie outomaties twee publieke adresse nie. Albei foute kom daarvan dat 'n mens een adres behandel asof dit drie is.

Drie adresse, en net een van hulle vertrek

'n Skootrekenaar het 'n tuis-LAN-adres wat dit op die plaaslike segment identifiseer, en dit kan ook 'n tonneladres he wat binne die VPN toegeken is. Nie een van die twee is vir 'n afgeleë diens sigbaar nie. Wat daardie diens aanteken, is die publieke uitgangsadres van watter toestel die pakkie uiteindelik stuur, na enige vertaling op die pad.

RFC 3022 maak die onderskeid wat die meeste verwarring hier verduidelik. Tradisionele NAT beeld interne adresse op publieke af, terwyl poortvertaling baie interne adresse terselfdertyd een publieke adres laat deel. 'n Huishouding met een publieke adres en verskeie toestelle is die tweede geval, en dit is byna oral die standaard.

Tel die publieke adresse, nie die profiele nie. Twee kliënte met verskillende tonneladresse en dieselfde uitgangsbeleid lewer een waargenome adres, en 'n enkele kliënt met 'n anders geroteerde uitgang kan 'n ander lewer. Daardie enkele vergelyking is die hele toets. Alles anders is 'n aanname oor die verre kant.

Wat twee uitgange werklik anders maak

'n Uitgang is anders wanneer die laaste toestel voor die internet 'n ander publieke adres vir daardie verkeer gebruik. Dit kan gebeur omdat die VPN op 'n ander plek eindig, omdat die uitgangpoel 'n ander adres toeken, of omdat die verskaffer die versoek deur 'n ander uitgang stuur. Al drie is beleidsbesluite wat aan die verre kant geneem word, en nie een daarvan is van die tuisrouter af sigbaar nie.

Twee toestelle wat elk hul eie kliënt met dieselfde profiel laat loop, beland gewoonlik in dieselfde poel en kry dikwels dieselfde uitgang vir 'n gegewe sessie. Dit is nie 'n fout nie, dit is die normale gedrag van 'n gedeelde poel. Om afsonderlike uitgange te kry, beteken gewoonlik om die diens om afsonderlike toekennings te vra eerder as om die kliënt twee keer op te stel.

Lees die diensvoorwaardes oor gelyktydige verbindings voordat jy rondom 'n waarborg beplan. 'n Tweede aanmelding is toestemming om te verbind, nie 'n belofte van 'n eksklusiewe adres nie. As die voorwaardes niks sê nie, vra die verskaffer eerder as om aan te neem. Die antwoord verander die ontwerp meer as enige kliëntinstelling.

Waarom afsonderlike profiele nie afsonderlike uitgang is nie

'n Profiel beskryf hoe om die VPN te bereik en hoe om te verifieer, en dit sê byna niks oor wat daarna gebeur nie. Die uitgang word aan die verre kant gekies, waar die routing, adrespoele en vertaalbeleid woon. Om 'n profiel op 'n tweede masjien te dupliseer, dupliseer die kliëntkonfigurasie, nie die bediener se besluit nie.

Die omgekeerde geld ook. Een VPN-bediener kan meer as een publieke uitgang bied wanneer sy routing- en vertaalbeleid so gebou is, terwyl afsonderlike bedieners 'n enkele stroomaf uitgang kan voed. Die aantal bedienername in jou konfigurasie sê dus niks oor die aantal adresse nie. Daarom is die konfigurasie die verkeerde plek om hierdie antwoord te soek.

Die enigste betroubare antwoord kom uit 'n versoek wat deur die reëling gemaak word wat jy van plan is om te gebruik. Alles anders is afleiding.

Waar om die skeiding te plaas

'n Routertonnel dek die hele huishouding, wat gerieflik is en presies een gedeelde uitgang vir elke toestel daar agter lewer. 'n Kliint op elke toestel gee jou beheer per toestel, maar vereis dat elke toestel ingerig word en ingerig bly. 'n Router met beleidvermoës sit tussenin en kies 'n pad per toestel, en dit werk net as dit toestelle betroubaar kan identifiseer oor herverbindings en DHCP-veranderinge heen.

Om nog 'n private DHCP-huurkontrak op die router te skep, is nie dieselfde as om nog 'n publieke adres te skep nie. Dit verander die plaaslike beeld en laat die uitgang onaangeraak. Die skeiding woon in die uitgangsbeleid, of daardie beleid nou op die router of by die VPN-diens is.

Watter vorm jy ook al kies, skryf die eienaarskap neer: wie rig 'n toestel in, wie roteer sy geloofsbriewe, en wie merk op wanneer dit ophou om die beoogde pad te gebruik.

Kontroleer die uitgang wat jy werklik gekry het

Maak die kontrole vanuit die toepassing wat saak maak, en vergelyk dieselfde adresfamilie op albei toestelle. 'n IPv4-resultaat van die een en 'n IPv6-resultaat van die ander bewys niks omtrent enigeen nie. Herhaal dan die kontrole na 'n herverbinding, want poeltoekenning kan tussen sessies verander.

Voer dit uit vanaf 'n terminaal binne die tonnelbeleid, nie vanaf 'n toestel wat dit omseil nie. Die verkeerde gasheer lewer 'n selfversekerde verkeerde antwoord.

curl -4 -sS https://api.ipify.org; echo
curl -6 -sS https://api64.ipify.org; echo
ip route get 1.1.1.1

As albei toestelle dieselfde IPv4-adres druk, deel hulle 'n uitgang ongeag hoeveel tonnele op is. Besluit dan wat gebeur wanneer die tonnel misluk: 'n kliënt wat na die direkte pad terugval, plaas albei toestelle terug op die tuisadres, en die skeiding verdwyn sonder 'n fout. Bevestig daardie terugvalgedrag voordat jy die reëling as twee uitgange beskryf, en onthou dat verskillende adresse 'n netwerkresultaat is eerder as twee anonieme identiteite.