Dvě zařízení, jedna Wi-Fi, různé výstupy VPN: co to rozhoduje

Dva notebooky na stejném domácím routeru mohou na internet vycházet různými výstupy VPN a sdílená Wi-Fi k tomu nemá co říct. Výsledek určuje, kde tunel běží a která politika vybírá cestu pro každý požadavek. Opačné přesvědčení je stejně rozšířené a stejně mylné: dvě zařízení s oddělenými profily automaticky nevytvářejí dvě veřejné adresy. Obě chyby pramení z toho, že se jedna adresa bere jako tři.

Tři adresy a jen jedna z nich vychází

Notebook má adresu v domácí LAN, která ho identifikuje v místním segmentu, a může mít i adresu tunelu přidělenou uvnitř VPN. Ani jedna z nich není pro vzdálenou službu viditelná. Ta služba si zaznamenává veřejnou výstupní adresu zařízení, které paket nakonec odešle, po jakémkoli překladu na cestě.

RFC 3022 vytyčuje rozdíl, který vysvětluje většinu zmatení zde. Tradiční NAT mapuje vnitřní adresy na veřejné, zatímco překlad portů umožňuje mnoha vnitřním adresám sdílet jednu veřejnou adresu současně. Domácnost s jednou veřejnou adresou a několika zařízeními je druhý případ a je to téměř všude výchozí stav.

Počítejte veřejné adresy, ne profily. Dva klienti s různými adresami tunelu a stejnou výstupní politikou dají jednu pozorovanou adresu a jediný klient s jinak směrovaným výstupem může dát jinou. To jediné srovnání je celý test. Všechno ostatní je předpoklad o vzdálené straně.

Co dělá dva výstupy skutečně odlišnými

Výstup je jiný, když poslední zařízení před internetem používá pro ten provoz jinou veřejnou adresu. Může se to stát proto, že VPN končí na jiném místě, protože výstupní fond přiděluje jinou adresu, nebo protože poskytovatel směruje požadavek přes jiný výstup. Všechny tři jsou politická rozhodnutí učiněná na vzdálené straně a žádné z nich není z domácího routeru vidět.

Dvě zařízení, z nichž každé provozuje vlastního klienta se stejným profilem, obvykle skončí ve stejném fondu a často dostanou pro danou relaci stejný výstup. Není to chyba, je to normální chování sdíleného fondu. Získat odlišné výstupy obvykle znamená požádat službu o odlišná přidělení, nikoli konfigurovat klienta dvakrát.

Přečtěte si podmínky služby o současných připojeních, než budete stavět na záruce. Druhé přihlášení je povolení se připojit, nikoli slib výhradní adresy. Pokud podmínky mlčí, zeptejte se poskytovatele, místo abyste předpokládali. Odpověď mění návrh víc než jakékoli nastavení klienta.

Proč oddělené profily nejsou oddělené výstupy

Profil popisuje, jak dosáhnout VPN a jak se ověřit, a téměř nic neříká o tom, co se stane potom. Výstup vybírá vzdálená strana, kde žije směrování, fondy adres a politika překladu. Duplikování profilu na druhém stroji duplikuje konfiguraci klienta, ne rozhodnutí serveru.

Platí to i obráceně. Jeden server VPN může představovat víc než jeden veřejný výstup, když je jeho směrování a politika překladu tak postavená, zatímco oddělené servery mohou napájet jediný výstup po proudu. Počet jmen serverů ve vaší konfiguraci tedy nic neříká o počtu adres. Proto je konfigurace špatné místo, kde tuto odpověď hledat.

Jediná spolehlivá odpověď přichází z požadavku provedeného přes uspořádání, které hodláte použít. Všechno ostatní je odvození.

Kam umístit oddělení

Tunel na routeru pokrývá celou domácnost, což je pohodlné a dává přesně jeden sdílený výstup pro každé zařízení za ním. Klient na každém zařízení vám dává kontrolu po zařízeních, ale vyžaduje, aby každé zařízení bylo zřízeno a zůstalo zřízené. Router s podporou politik stojí mezi tím a vybírá cestu pro každé zařízení, a funguje jen tehdy, když dokáže zařízení spolehlivě rozpoznat napříč opětovnými připojeními a změnami DHCP.

Vytvoření dalšího soukromého DHCP pronájmu na routeru není totéž jako vytvoření další veřejné adresy. Mění místní pohled a výstup nechává nedotčený. Oddělení žije ve výstupní politice, ať už je tato politika na routeru nebo ve službě VPN.

Ať zvolíte jakýkoli tvar, zapište vlastnictví: kdo zařízení zřizuje, kdo obměňuje jeho přihlašovací údaje a kdo si všimne, když přestane používat zamýšlenou cestu.

Zkontrolujte výstup, který jste skutečně dostali

Kontrolu dělejte z aplikace, na které záleží, a porovnejte stejnou rodinu adres na obou zařízeních. Výsledek IPv4 z jednoho a výsledek IPv6 z druhého nic nedokazuje ani o jednom. Potom kontrolu zopakujte po opětovném připojení, protože přidělení z fondu se může mezi relacemi změnit.

Spouštějte to z terminálu uvnitř politiky tunelu, ne ze zařízení, které ji obchází. Špatný hostitel dává sebejistou špatnou odpověď.

curl -4 -sS https://api.ipify.org; echo
curl -6 -sS https://api64.ipify.org; echo
ip route get 1.1.1.1

Pokud obě zařízení vypisují stejnou adresu IPv4, sdílejí výstup bez ohledu na to, kolik tunelů je zvednutých. Pak rozhodněte, co se stane, když tunel selže: klient, který se vrátí na přímou cestu, vrátí obě zařízení na domácí adresu a oddělení zmizí bez chyby. Potvrďte toto chování návratu, než uspořádání popíšete jako dva výstupy, a pamatujte, že různé adresy jsou síťový výsledek, ne dvě anonymní identity.