Dau ddyfais, un Wi-Fi, allanfeydd VPN gwahanol: beth sy'n penderfynu

Gall dau liniadur ar yr un llwybrydd cartref gyrraedd y rhyngrwyd drwy allanfeydd VPN gwahanol, ac nid oes gan y Wi-Fi a rennir unrhyw beth i'w ddweud am hynny. Yr hyn sy'n penderfynu'r canlyniad yw lle mae'r tiwnel yn rhedeg a pha bolisi sy'n dewis y llwybr ar gyfer pob cais. Mae'r gred gyferbyniol yr un mor gyffredin ac yr un mor anghywir: nid yw dwy ddyfais â phroffiliau ar wahân yn cynhyrchu dau gyfeiriad cyhoeddus yn awtomatig. Daw'r ddau gamgymeriad o drin un cyfeiriad fel petai'n dri.

Tri chyfeiriad, a dim ond un ohonynt sy'n gadael

Mae gan liniadur gyfeiriad LAN cartref sy'n ei adnabod ar y segment lleol, ac efallai fod ganddo gyfeiriad tiwnel a neilltuir o fewn y VPN. Nid yw'r naill na'r llall yn weladwy i wasanaeth pell. Yr hyn y mae'r gwasanaeth hwnnw'n ei gofnodi yw cyfeiriad allanfa gyhoeddus y ddyfais sy'n anfon y pecyn o'r diwedd, ar ôl unrhyw gyfieithu ar y ffordd.

Mae RFC 3022 yn nodi'r gwahaniaeth sy'n esbonio'r rhan fwyaf o'r dryswch yma. Mae NAT traddodiadol yn mapio cyfeiriadau mewnol i rai cyhoeddus, tra bod cyfieithu porth yn caniatáu i lawer o gyfeiriadau mewnol rannu un cyfeiriad cyhoeddus ar yr un pryd. Aelwyd ag un cyfeiriad cyhoeddus a sawl dyfais yw'r ail achos, a dyna'r rhagosodiad bron ym mhobman.

Cyfrwch y cyfeiriadau cyhoeddus, nid y proffiliau. Mae dau gleient â chyfeiriadau tiwnel gwahanol a'r un polisi allanfa yn cynhyrchu un cyfeiriad a welwyd, a gall un cleient ag allanfa a lwybrir yn wahanol gynhyrchu un arall. Y gymhariaeth unigol honno yw'r prawf cyfan. Mae popeth arall yn dybiaeth am y pen pell.

Beth sy'n gwneud dau allanfa yn wirioneddol wahanol

Mae allanfa yn wahanol pan fo'r ddyfais olaf cyn y rhyngrwyd yn defnyddio cyfeiriad cyhoeddus gwahanol ar gyfer y traffig hwnnw. Gall hynny ddigwydd oherwydd bod y VPN yn terfynu mewn lle gwahanol, oherwydd bod y gronfa allanfa yn dyrannu cyfeiriad gwahanol, neu oherwydd bod y darparwr yn llwybro'r cais drwy allanfa wahanol. Mae'r tri yn benderfyniadau polisi a wneir yn y pen pell, ac nid oes yr un ohonynt yn weladwy o'r llwybrydd cartref.

Mae dwy ddyfais sy'n rhedeg eu cleient eu hunain â'r un proffil fel arfer yn glanio yn yr un gronfa ac yn aml yn cael yr un allanfa ar gyfer sesiwn benodol. Nid nam yw hynny, dyna ymddygiad arferol gronfa a rennir. Mae cael allanfeydd ar wahân fel arfer yn golygu gofyn i'r gwasanaeth am ddyrannu gwahanol yn hytrach na ffurfweddu'r cleient ddwywaith.

Darllenwch delerau'r gwasanaeth am gysylltiadau ar yr un pryd cyn dylunio o amgylch gwarant. Mae ail fewngofnodi yn ganiatâd i gysylltu, nid yn addewid am gyfeiriad unigryw. Os yw'r telerau'n dawel, gofynnwch i'r darparwr yn hytrach na thybio. Mae'r ateb yn newid y dyluniad yn fwy nag unrhyw osodiad cleient.

Pam nad yw proffiliau ar wahân yn allanfeydd ar wahân

Mae proffil yn disgrifio sut i gyrraedd y VPN a sut i ddilysu, ac nid yw'n dweud fawr ddim am yr hyn sy'n digwydd wedyn. Y pen pell sy'n dewis yr allanfa, lle mae llwybro, cronfeydd cyfeiriadau a pholisi cyfieithu yn byw. Mae dyblygu proffil ar ail beiriant yn dyblygu ffurfwedd y cleient, nid penderfyniad y gweinydd.

Mae'r gwrthwyneb yn dal hefyd. Gall un gweinydd VPN gyflwyno mwy nag un allanfa gyhoeddus pan fo ei lwybro a'i bolisi cyfieithu wedi'u hadeiladu felly, tra gall gweinyddion ar wahân fwydo un allanfa i lawr y gris. Felly nid yw nifer enwau gweinyddion yn eich ffurfwedd yn dweud dim am nifer y cyfeiriadau. Dyna pam mai'r ffurfwedd yw'r lle anghywir i chwilio am yr ateb hwn.

Daw'r un ateb dibynadwy o gais a wneir drwy'r trefniant rydych yn bwriadu ei ddefnyddio. Mae popeth arall yn gasgliad.

Lle i roi'r gwahanu

Mae tiwnel llwybrydd yn gorchuddio'r aelwyd gyfan, sy'n gyfleus ac yn cynhyrchu'n union un allanfa a rennir ar gyfer pob dyfais y tu ôl iddo. Mae cleient ar bob dyfais yn rhoi rheolaeth fesul dyfais i chi ond mae'n gofyn bod pob dyfais yn cael ei darparu ac yn aros felly. Mae llwybrydd â gallu polisi yn eistedd yn y canol, yn dewis llwybr fesul dyfais, ac nid yw'n gweithio oni all adnabod dyfeisiau'n ddibynadwy ar draws ailgysylltu a newidiadau DHCP.

Nid yw creu prydles DHCP breifat arall ar y llwybrydd yr un peth â chreu cyfeiriad cyhoeddus arall. Mae'n newid y darlun lleol ac yn gadael yr allanfa heb ei chyffwrdd. Mae'r gwahanu yn byw ym mholisi'r allanfa, boed y polisi hwnnw ar y llwybrydd neu yn y gwasanaeth VPN.

Pa bynnag siâp a ddewiswch, nodwch y perchnogaeth: pwy sy'n darparu dyfais, pwy sy'n cylchdroi ei dilysiadau, a phwy sy'n sylwi pan fydd yn rhoi'r gorau i ddefnyddio'r llwybr a fwriadwyd.

Gwiriwch yr allanfa a gawsoch mewn gwirionedd

Gwnewch y gwiriad o'r rhaglen sy'n bwysig, a chymharwch yr un teulu cyfeiriad ar y ddwy ddyfais. Nid yw canlyniad IPv4 o'r naill a chanlyniad IPv6 o'r llall yn profi dim am y naill na'r llall. Yna ailadroddwch y gwiriad ar ôl ailgysylltu, oherwydd gall dyrannu'r gronfa newid rhwng sesiynau.

Rhedwch ef o derfynell y tu mewn i bolisi'r tiwnel, nid o ddyfais sy'n ei osgoi. Mae'r gwesteiwr anghywir yn cynhyrchu ateb anghywir hyderus.

curl -4 -sS https://api.ipify.org; echo
curl -6 -sS https://api64.ipify.org; echo
ip route get 1.1.1.1

Os yw'r ddwy ddyfais yn argraffu'r un cyfeiriad IPv4, maent yn rhannu allanfa waeth faint o diwneli sydd i fyny. Yna penderfynwch beth sy'n digwydd pan fydd y tiwnel yn methu: mae cleient sy'n cwympo'n ôl i'r llwybr uniongyrchol yn rhoi'r ddwy ddyfais yn ôl ar gyfeiriad y cartref, ac mae'r gwahanu yn diflannu heb wall. Cadarnhewch yr ymddygiad cwympo'n ôl hwnnw cyn disgrifio'r trefniant fel dwy allanfa, a chofiwch mai canlyniad rhwydwaith yw cyfeiriadau gwahanol yn hytrach na dwy hunaniaeth ddienw.