Dva uređaja, jedna Wi-Fi mreža, različiti VPN izlazi: šta odlučuje

Dva laptopa na istom kućnom ruteru mogu doći na internet kroz različite VPN izlaze, a zajednička Wi-Fi mreža o tome nema šta reći. Ishod određuje gdje tunel radi i koja politika bira put za svaki zahtjev. Suprotno uvjerenje jednako je često i jednako pogrešno: dva uređaja s odvojenim profilima ne proizvode automatski dvije javne adrese. Obje greške dolaze iz toga što se jedna adresa tretira kao tri.

Tri adrese, a samo jedna od njih izlazi

Laptop ima adresu u kućnoj LAN mreži koja ga identificira na lokalnom segmentu, a može imati i adresu tunela dodijeljenu unutar VPN-a. Nijedna od njih nije vidljiva udaljenoj usluzi. Ono što ta usluga bilježi jest javna izlazna adresa uređaja koji na kraju pošalje paket, nakon bilo kakvog prevođenja na putu.

RFC 3022 povlači razliku koja objašnjava većinu zabune ovdje. Tradicionalni NAT preslikava interne adrese na javne, dok prevođenje portova omogućava mnogim internim adresama da istovremeno dijele jednu javnu adresu. Domaćinstvo s jednom javnom adresom i nekoliko uređaja drugi je slučaj, i to je podrazumijevano gotovo svuda.

Brojite javne adrese, ne profile. Dva klijenta s različitim adresama tunela i istom izlaznom politikom daju jednu posmatranu adresu, a jedan klijent s drukčije rutiranim izlazom može dati drugu. To jedno poređenje cijeli je test. Sve ostalo je pretpostavka o udaljenoj strani.

Šta dva izlaza zaista čini različitim

Izlaz je različit kada posljednji uređaj prije interneta koristi drugu javnu adresu za taj saobraćaj. To se može dogoditi jer VPN završava na drugom mjestu, jer izlazni bazen dodjeljuje drugu adresu ili jer provajder usmjerava zahtjev kroz drugi izlaz. Sve tri su političke odluke donesene na udaljenoj strani i nijedna nije vidljiva s kućnog rutera.

Dva uređaja koja svaki pokreću vlastiti klijent s istim profilom obično završe u istom bazenu i često dobiju isti izlaz za datu sesiju. To nije greška, to je normalno ponašanje zajedničkog bazena. Dobijanje različitih izlaza obično znači tražiti od usluge različite dodjele, a ne konfigurisati klijent dvaput.

Pročitajte uslove usluge o istovremenim vezama prije nego što dizajnirate oko garancije. Druga prijava je dozvola za povezivanje, a ne obećanje ekskluzivne adrese. Ako uslovi ćute, pitajte provajdera umjesto da pretpostavljate. Odgovor mijenja dizajn više od bilo koje postavke klijenta.

Zašto odvojeni profili nisu odvojeni izlazi

Profil opisuje kako doći do VPN-a i kako se autentificirati, a gotovo ništa ne govori o tome šta se događa poslije. Izlaz bira udaljena strana, gdje žive rutiranje, bazeni adresa i politika prevođenja. Umnožavanje profila na drugom računaru umnožava konfiguraciju klijenta, a ne odluku servera.

Vrijedi i obrnuto. Jedan VPN server može predstaviti više od jednog javnog izlaza kada su njegovo rutiranje i politika prevođenja tako građeni, dok odvojeni serveri mogu napajati jedan nizvodni izlaz. Zato broj imena servera u vašoj konfiguraciji ne govori ništa o broju adresa. Zato je konfiguracija pogrešno mjesto za traženje ovog odgovora.

Jedini pouzdan odgovor dolazi iz zahtjeva upućenog kroz raspored koji namjeravate koristiti. Sve ostalo je zaključivanje.

Gdje smjestiti razdvajanje

Tunel na ruteru pokriva cijelo domaćinstvo, što je zgodno i daje tačno jedan zajednički izlaz za svaki uređaj iza njega. Klijent na svakom uređaju daje vam kontrolu po uređaju, ali zahtijeva da se svaki uređaj pripremi i da ostane pripremljen. Ruter s podrškom za politike stoji između, bira put po uređaju i radi samo ako pouzdano prepoznaje uređaje kroz ponovna povezivanja i promjene DHCP-a.

Stvaranje još jednog privatnog DHCP zakupa na ruteru nije isto što i stvaranje još jedne javne adrese. Ono mijenja lokalnu sliku i ostavlja izlaz netaknutim. Razdvajanje živi u izlaznoj politici, bilo da je ta politika na ruteru ili u VPN usluzi.

Koju god formu odabrali, zapišite vlasništvo: ko priprema uređaj, ko mijenja njegove vjerodajnice i ko primijeti kada prestane koristiti predviđeni put.

Provjerite izlaz koji ste zaista dobili

Provjeru radite iz aplikacije koja je važna i uporedite istu porodicu adresa na oba uređaja. Rezultat IPv4 s jednog i rezultat IPv6 s drugog ne dokazuje ništa ni o jednom. Zatim ponovite provjeru nakon ponovnog povezivanja, jer se dodjela iz bazena može promijeniti između sesija.

Pokrenite to iz terminala unutar politike tunela, a ne s uređaja koji je zaobilazi. Pogrešan host daje samouvjeren pogrešan odgovor.

curl -4 -sS https://api.ipify.org; echo
curl -6 -sS https://api64.ipify.org; echo
ip route get 1.1.1.1

Ako oba uređaja ispisuju istu IPv4 adresu, dijele izlaz bez obzira na to koliko je tunela podignuto. Zatim odlučite šta se događa kad tunel padne: klijent koji se vrati na direktan put vraća oba uređaja na kućnu adresu i razdvajanje nestaje bez greške. Potvrdite to ponašanje vraćanja prije nego raspored opišete kao dva izlaza i zapamtite da su različite adrese mrežni rezultat, a ne dva anonimna identiteta.