Две устройства, един Wi-Fi, различни изходи на VPN: какво решава

Два лаптопа на един и същ домашен рутер могат да достигнат до интернет през различни изходи на VPN, а споделената Wi-Fi мрежа няма думата по въпроса. Изходът се решава от това къде работи тунелът и коя политика избира пътя за всяка заявка. Обратното убеждение е също толкова разпространено и също толкова погрешно: две устройства с отделни профили не създават автоматично два публични адреса. И двете грешки идват от това, че един адрес се приема за три.

Три адреса, а само един от тях излиза

Лаптопът има адрес в домашната LAN мрежа, който го идентифицира в локалния сегмент, и може да има и адрес на тунел, зададен вътре във VPN. Нито един от двата не се вижда от отдалечена услуга. Услугата записва публичния адрес на изхода на устройството, което в крайна сметка изпраща пакета, след всякакво преобразуване по пътя.

RFC 3022 прави разграничението, което обяснява по-голямата част от объркването тук. Традиционният NAT преобразува вътрешни адреси в публични, докато преобразуването на портове позволява на много вътрешни адреси да споделят един публичен адрес едновременно. Домакинство с един публичен адрес и няколко устройства е вторият случай и той е подразбиране почти навсякъде.

Бройте публичните адреси, не профилите. Два клиента с различни адреси на тунел и една политика на изхода дават един наблюдаван адрес, а един клиент с различно маршрутизиран изход може да даде друг. Това едно сравнение е целият тест. Всичко останало е предположение за далечната страна.

Какво прави два изхода наистина различни

Един изход е различен, когато последното устройство преди интернет използва различен публичен адрес за този трафик. Това може да стане, защото VPN завършва на друго място, защото пулът от изходи задава различен адрес или защото доставчикът насочва заявката през друг изход. И трите са политически решения, взети в далечната страна, и никое от тях не се вижда от домашния рутер.

Две устройства, всяко със свой клиент и един и същ профил, обикновено попадат в един пул и често получават един и същ изход за дадена сесия. Това не е дефект, това е нормалното поведение на споделен пул. Различните изходи обикновено означават да поискате от услугата различни назначения, а не да конфигурирате клиента два пъти.

Прочетете условията на услугата за едновременни връзки, преди да проектирате около гаранция. Вторият вход е разрешение за свързване, а не обещание за ексклузивен адрес. Ако условията мълчат, попитайте доставчика, вместо да предполагате. Отговорът променя проекта повече от всяка настройка на клиента.

Защо отделните профили не са отделни изходи

Профилът описва как да се достигне VPN и как да се удостовери, и почти не казва какво се случва след това. Изходът се избира от далечната страна, където живеят маршрутизацията, пуловете от адреси и политиката за преобразуване. Дублирането на профил на втора машина дублира конфигурацията на клиента, а не решението на сървъра.

Обратното също е вярно. Един сървър на VPN може да представи повече от един публичен изход, когато маршрутизацията и политиката за преобразуване са изградени така, докато отделни сървъри могат да захранват един изход надолу по веригата. Затова броят на имената на сървъри в конфигурацията не казва нищо за броя на адресите. Точно затова конфигурацията е грешното място за този отговор.

Единственият надежден отговор идва от заявка, направена през схемата, която възнамерявате да използвате. Всичко останало е извод.

Къде да поставим разделението

Тунел на рутера покрива цялото домакинство, което е удобно и дава точно един споделен изход за всяко устройство зад него. Клиент на всяко устройство ви дава контрол за всяко устройство, но изисква всяко устройство да бъде настроено и да остане настроено. Рутер с поддръжка на политики стои по средата и избира път за всяко устройство, а работи само ако може надеждно да разпознава устройствата през повторни свързвания и промени в DHCP.

Създаването на още един частен DHCP лийз на рутера не е същото като създаването на още един публичен адрес. То променя локалната картина и оставя изхода непокътнат. Разделението живее в политиката на изхода, независимо дали тази политика е на рутера, или в услугата VPN.

Каквато и форма да изберете, запишете собствеността: кой настройва устройство, кой сменя идентификационните му данни и кой забелязва, когато то спре да използва предвидения път.

Проверете изхода, който действително получихте

Правете проверката от приложението, което има значение, и сравнявайте същото семейство адреси на двете устройства. Резултат IPv4 от едното и резултат IPv6 от другото не доказва нищо за нито едно от двете. След това повторете проверката след повторно свързване, защото назначението от пула може да се промени между сесиите.

Стартирайте го от терминал вътре в политиката на тунела, а не от устройство, което я заобикаля. Грешен хост дава уверен грешен отговор.

curl -4 -sS https://api.ipify.org; echo
curl -6 -sS https://api64.ipify.org; echo
ip route get 1.1.1.1

Ако двете устройства показват един и същ адрес IPv4, те споделят изход, независимо колко тунела са вдигнати. След това решете какво става при отказ на тунела: клиент, който се връща към директния път, връща двете устройства на домашния адрес и разделението изчезва без грешка. Потвърдете това поведение на връщане, преди да опишете схемата като два изхода, и помнете, че различните адреси са мрежов резултат, а не две анонимни самоличности.