جهازان وشبكة Wi-Fi واحدة ومخارج VPN مختلفة: ما الذي يحسم الأمر

يمكن لحاسوبين محمولين على الموجّه المنزلي نفسه أن يصلا إلى الإنترنت عبر مخرجي VPN مختلفين، ولا علاقة لشبكة Wi-Fi المشتركة بذلك. ما يحسم النتيجة هو مكان تشغيل النفق، والسياسة التي تختار المسار لكل طلب. والاعتقاد المعاكس شائع وباطل بالقدر نفسه: جهازان بملفّي تعريف منفصلين لا ينتجان تلقائيًا عنوانين عامّين. والخطأان معًا ينبعان من معاملة عنوان واحد كأنه ثلاثة عناوين.

ثلاثة عناوين، وواحد فقط منها يغادر

للحاسوب المحمول عنوان على الشبكة المحلية يعرّفه داخل القطاع المحلي، وقد يكون له أيضًا عنوان نفق مُسنَد داخل الـ VPN. لا يظهر أيٌّ من هذين لخدمة بعيدة. ما تسجّله تلك الخدمة هو عنوان المخرج العام للجهاز الذي يرسل الحزمة في النهاية، بعد أي ترجمة على الطريق.

يرسم RFC 3022 التمييز الذي يفسّر معظم الالتباس هنا. تربط NAT التقليدية العناوين الداخلية بالعناوين العامة، بينما تتيح ترجمة المنافذ لعناوين داخلية كثيرة أن تشترك في عنوان عام واحد في الوقت نفسه. والأسرة التي تملك عنوانًا عامًا واحدًا وأجهزة عدة تنتمي إلى الحالة الثانية، وهي الوضع الافتراضي في كل مكان تقريبًا.

عُدّ العناوين العامة، لا ملفّات التعريف. عميلان بعنواني نفق مختلفين وسياسة مخرج واحدة ينتجان عنوانًا مرصودًا واحدًا، وقد ينتج عميل واحد بمخرج مُوجَّه بشكل مختلف عنوانًا آخر. تلك المقارنة الواحدة هي الاختبار كله. وكل ما عداها افتراض عن الطرف البعيد.

ما الذي يجعل مخرجين مختلفين فعلًا

يكون المخرج مختلفًا عندما يستخدم آخر جهاز قبل الإنترنت عنوانًا عامًا مختلفًا لذلك التراسل. وقد يحدث ذلك لأن النفق ينتهي في موقع مختلف، أو لأن مجموعة المخارج تُسنِد عنوانًا مختلفًا، أو لأن المزوّد يوجّه الطلب عبر مخرج مختلف. القرارات الثلاثة كلها سياسات تُتخذ في الطرف البعيد، ولا شيء منها مرئي من الموجّه المنزلي.

الجهازان اللذان يشغّل كل منهما عميله بملف التعريف نفسه يقعان عادةً في المجموعة نفسها، وغالبًا يحصلان على المخرج نفسه في الجلسة الواحدة. هذا ليس عيبًا، بل هو السلوك الطبيعي لمجموعة مشتركة. والحصول على مخارج متمايزة يعني عادةً أن تطلب من الخدمة إسنادات متمايزة بدلًا من تهيئة العميل مرتين.

اقرأ شروط الخدمة بشأن الاتصالات المتزامنة قبل أن تبني تصميمك على ضمان. تسجيل الدخول الثاني إذن بالاتصال، وليس وعدًا بعنوان حصري. وإذا كانت الشروط صامتة، فاسأل المزوّد بدلًا من أن تفترض. والجواب يغيّر التصميم أكثر من أي إعداد في العميل.

لماذا لا تكون ملفّات التعريف المنفصلة مخارج منفصلة

يصف ملف التعريف كيفية الوصول إلى الـ VPN وكيفية المصادقة، ولا يقول تقريبًا شيئًا عمّا يحدث بعد ذلك. يختار الطرف البعيد المخرج، وهناك تعيش سياسة التوجيه ومجموعات العناوين وسياسة الترجمة. وتكرار ملف تعريف على جهاز ثانٍ يكرّر إعداد العميل، لا قرار الخادم.

والعكس صحيح أيضًا. يمكن لخادم VPN واحد أن يقدّم أكثر من مخرج عام واحد عندما تُبنى سياسة التوجيه والترجمة على هذا النحو، بينما قد تغذّي خوادم منفصلة مخرجًا واحدًا في المصبّ. لذا فإن عدد أسماء الخوادم في إعدادك لا يقول شيئًا عن عدد العناوين. ولهذا فإن الإعداد هو المكان الخطأ للبحث عن هذا الجواب.

الجواب الموثوق الوحيد يأتي من طلب يُجرى عبر الترتيب الذي تنوي استخدامه. وكل ما عدا ذلك استنتاج.

أين تضع الفصل

نفق الموجّه يغطي الأسرة كلها، وهو مريح وينتج مخرجًا مشتركًا واحدًا بالضبط لكل جهاز خلفه. والعميل على كل جهاز يمنحك تحكمًا لكل جهاز، لكنه يتطلب تهيئة كل جهاز وبقاءه مهيأً. والموجّه القادر على السياسات يقف بينهما، ويختار مسارًا لكل جهاز، ولا يعمل إلا إذا استطاع التعرف على الأجهزة بموثوقية عبر إعادة الاتصال وتغيّرات DHCP.

إنشاء عقد DHCP خاص آخر على الموجّه ليس مثل إنشاء عنوان عام آخر. إنه يغيّر الصورة المحلية ويترك المخرج كما هو. الفصل يسكن في سياسة المخرج، سواء كانت تلك السياسة على الموجّه أو عند خدمة الـ VPN.

أي شكل تختار، اكتب الملكية: من يهيّئ الجهاز، ومن يدوّر اعتماده، ومن يلاحظ عندما يتوقف عن استخدام المسار المقصود.

تحقّق من المخرج الذي حصلت عليه فعلًا

أجرِ التحقق من التطبيق الذي يهمّ، وقارن عائلة العناوين نفسها على الجهازين. نتيجة IPv4 من أحدهما ونتيجة IPv6 من الآخر لا تثبت شيئًا عن أيٍّ منهما. ثم أعد التحقق بعد إعادة الاتصال، لأن إسناد المجموعة قد يتغير بين الجلسات.

شغّله من طرفية داخل سياسة النفق، لا من جهاز يتجاوزها. المضيف الخطأ ينتج جوابًا خطأً واثقًا.

curl -4 -sS https://api.ipify.org; echo
curl -6 -sS https://api64.ipify.org; echo
ip route get 1.1.1.1

إذا طبع الجهازان عنوان IPv4 نفسه، فهما يشتركان في مخرج بصرف النظر عن عدد الأنفاق المفتوحة. ثم قرّر ما يحدث عند فشل النفق: العميل الذي يرتد إلى المسار المباشر يعيد الجهازين إلى عنوان المنزل، ويختفي الفصل دون أي خطأ. أكّد سلوك الارتداد هذا قبل أن تصف الترتيب بأنه مخرجان، وتذكّر أن اختلاف العناوين نتيجة شبكية لا هويتان مجهولتان.