Zwei Geräte, ein WLAN, verschiedene VPN-Ausgänge: was entscheidet

Zwei Laptops am selben Heimrouter können über verschiedene VPN-Ausgänge ins Internet gelangen, und das gemeinsam genutzte WLAN hat dazu nichts zu sagen. Was das Ergebnis entscheidet, ist, wo der Tunnel läuft und welche Richtlinie den Weg für jede Anfrage wählt. Die gegenteilige Überzeugung ist genauso verbreitet und genauso falsch: Zwei Geräte mit getrennten Profilen erzeugen nicht automatisch zwei öffentliche Adressen. Beide Irrtümer entstehen daraus, eine Adresse zu behandeln, als wären es drei.

Drei Adressen, und nur eine davon geht hinaus

Ein Laptop hat eine Heim-LAN-Adresse, die ihn im lokalen Segment kennzeichnet, und er kann zusätzlich eine Tunneladresse haben, die innerhalb des VPN vergeben wird. Keine von beiden ist für einen entfernten Dienst sichtbar. Was dieser Dienst festhält, ist die öffentliche Ausgangsadresse des Geräts, das das Paket letztlich sendet, nach jeder Übersetzung auf dem Weg.

RFC 3022 zieht die Unterscheidung, die den größten Teil der Verwirrung hier erklärt. Traditionelles NAT bildet interne Adressen auf öffentliche ab, während Portübersetzung es vielen internen Adressen erlaubt, gleichzeitig eine einzige öffentliche Adresse zu teilen. Ein Haushalt mit einer öffentlichen Adresse und mehreren Geräten ist der zweite Fall, und er ist fast überall der Standard.

Zähle die öffentlichen Adressen, nicht die Profile. Zwei Clients mit unterschiedlichen Tunneladressen und derselben Ausgangsrichtlinie ergeben eine beobachtete Adresse, und ein einzelner Client mit anders geroutetem Ausgang kann eine andere ergeben. Dieser eine Vergleich ist der ganze Test. Alles andere ist eine Annahme über die ferne Seite.

Was zwei Ausgänge wirklich verschieden macht

Ein Ausgang ist anders, wenn das letzte Gerät vor dem Internet für diesen Verkehr eine andere öffentliche Adresse verwendet. Das kann geschehen, weil das VPN an einem anderen Ort endet, weil der Ausgangspool eine andere Adresse vergibt oder weil der Anbieter die Anfrage über einen anderen Ausgang leitet. Alle drei sind Richtlinienentscheidungen auf der fernen Seite, und keine davon ist vom Heimrouter aus sichtbar.

Zwei Geräte, die jeweils ihren eigenen Client mit demselben Profil betreiben, landen meist im selben Pool und erhalten für eine gegebene Sitzung oft denselben Ausgang. Das ist kein Fehler, sondern das normale Verhalten eines gemeinsamen Pools. Unterschiedliche Ausgänge zu bekommen heißt meist, den Dienst um unterschiedliche Zuweisungen zu bitten, statt den Client zweimal zu konfigurieren.

Lies die Nutzungsbedingungen zu gleichzeitigen Verbindungen, bevor du um eine Garantie herum planst. Eine zweite Anmeldung ist eine Erlaubnis zur Verbindung, kein Versprechen einer exklusiven Adresse. Schweigen die Bedingungen, frag den Anbieter, statt anzunehmen. Die Antwort ändert das Design stärker als jede Client-Einstellung.

Warum getrennte Profile keine getrennten Ausgänge sind

Ein Profil beschreibt, wie das VPN erreicht und wie authentifiziert wird, und es sagt fast nichts darüber, was danach geschieht. Der Ausgang wird auf der fernen Seite gewählt, wo Routing, Adresspools und Übersetzungsrichtlinie liegen. Ein Profil auf einer zweiten Maschine zu duplizieren dupliziert die Client-Konfiguration, nicht die Entscheidung des Servers.

Umgekehrt gilt es ebenso. Ein VPN-Server kann mehr als einen öffentlichen Ausgang anbieten, wenn Routing und Übersetzungsrichtlinie so gebaut sind, während getrennte Server einen einzigen nachgelagerten Ausgang speisen können. Die Zahl der Servernamen in deiner Konfiguration sagt also nichts über die Zahl der Adressen. Deshalb ist die Konfiguration der falsche Ort, um diese Antwort zu suchen.

Die einzige verlässliche Antwort kommt aus einer Anfrage durch die Anordnung, die du tatsächlich nutzen willst. Alles andere ist Schlussfolgerung.

Wo die Trennung hingehört

Ein Router-Tunnel deckt den ganzen Haushalt ab, was bequem ist und genau einen gemeinsamen Ausgang für jedes Gerät dahinter ergibt. Ein Client auf jedem Gerät gibt dir Kontrolle pro Gerät, verlangt aber, dass jedes Gerät eingerichtet wird und eingerichtet bleibt. Ein richtlinienfähiger Router sitzt dazwischen und wählt einen Weg pro Gerät, und er funktioniert nur, wenn er Geräte über Neuverbindungen und DHCP-Wechsel hinweg zuverlässig erkennt.

Eine weitere private DHCP-Lease auf dem Router zu erzeugen ist nicht dasselbe wie eine weitere öffentliche Adresse zu erzeugen. Es ändert die lokale Sicht und lässt den Ausgang unberührt. Die Trennung lebt in der Ausgangsrichtlinie, ob diese Richtlinie auf dem Router oder beim VPN-Dienst liegt.

Welche Form du auch wählst, schreib die Zuständigkeit auf: wer ein Gerät einrichtet, wer seine Zugangsdaten erneuert und wer bemerkt, wenn es aufhört, den vorgesehenen Weg zu nutzen.

Prüfe den Ausgang, den du tatsächlich bekommen hast

Nimm die Prüfung aus der Anwendung vor, die zählt, und vergleiche dieselbe Adressfamilie auf beiden Geräten. Ein IPv4-Ergebnis vom einen und ein IPv6-Ergebnis vom anderen beweist für keines von beiden etwas. Wiederhole die Prüfung dann nach einer Neuverbindung, weil die Poolzuweisung zwischen Sitzungen wechseln kann.

Starte sie aus einem Terminal innerhalb der Tunnelrichtlinie, nicht von einem Gerät, das sie umgeht. Der falsche Host liefert eine selbstsichere falsche Antwort.

curl -4 -sS https://api.ipify.org; echo
curl -6 -sS https://api64.ipify.org; echo
ip route get 1.1.1.1

Wenn beide Geräte dieselbe IPv4-Adresse ausgeben, teilen sie einen Ausgang, egal wie viele Tunnel aktiv sind. Entscheide dann, was beim Ausfall des Tunnels geschieht: Ein Client, der auf den direkten Weg zurückfällt, setzt beide Geräte wieder auf die Heimatadresse, und die Trennung verschwindet ohne Fehler. Bestätige dieses Rückfallverhalten, bevor du die Anordnung als zwei Ausgänge beschreibst, und bedenke, dass verschiedene Adressen ein Netzwerkergebnis sind und nicht zwei anonyme Identitäten.