Δύο συσκευές, ένα Wi-Fi, διαφορετικές έξοδοι VPN: τι το καθορίζει

Δύο φορητοί υπολογιστές στο ίδιο οικιακό router μπορούν να φτάσουν στο διαδίκτυο μέσω διαφορετικών εξόδων VPN, και το κοινόχρηστο Wi-Fi δεν έχει καμία σχέση με αυτό. Αυτό που καθορίζει το αποτέλεσμα είναι πού τρέχει η σήραγγα και ποια πολιτική επιλέγει τη διαδρομή για κάθε αίτημα. Η αντίθετη πεποίθηση είναι εξίσου συνηθισμένη και εξίσου λανθασμένη: δύο συσκευές με ξεχωριστά προφίλ δεν παράγουν αυτόματα δύο δημόσιες διευθύνσεις. Και τα δύο λάθη προέρχονται από το να αντιμετωπίζει κανείς μία διεύθυνση σαν να ήταν τρεις.

Τρεις διευθύνσεις, και μόνο μία από αυτές βγαίνει

Ένας φορητός υπολογιστής έχει μια διεύθυνση στο οικιακό LAN που τον αναγνωρίζει στο τοπικό τμήμα, και μπορεί επίσης να έχει μια διεύθυνση σήραγγας που του έχει ανατεθεί μέσα στο VPN. Καμία από τις δύο δεν είναι ορατή σε μια απομακρυσμένη υπηρεσία. Αυτό που καταγράφει η υπηρεσία είναι η δημόσια διεύθυνση εξόδου της συσκευής που τελικά στέλνει το πακέτο, μετά από οποιαδήποτε μετάφραση στη διαδρομή.

Το RFC 3022 χαράσσει τη διάκριση που εξηγεί το μεγαλύτερο μέρος της σύγχυσης εδώ. Το παραδοσιακό NAT αντιστοιχίζει εσωτερικές διευθύνσεις σε δημόσιες, ενώ η μετάφραση θυρών επιτρέπει σε πολλές εσωτερικές διευθύνσεις να μοιράζονται μία δημόσια διεύθυνση ταυτόχρονα. Ένα νοικοκυριό με μία δημόσια διεύθυνση και πολλές συσκευές είναι η δεύτερη περίπτωση, και είναι η προεπιλογή σχεδόν παντού.

Μετρήστε τις δημόσιες διευθύνσεις, όχι τα προφίλ. Δύο πελάτες με διαφορετικές διευθύνσεις σήραγγας και την ίδια πολιτική εξόδου παράγουν μία παρατηρούμενη διεύθυνση, και ένας μόνο πελάτης με διαφορετικά δρομολογημένη έξοδο μπορεί να παράγει άλλη. Αυτή η μία σύγκριση είναι όλο το τεστ. Όλα τα άλλα είναι υπόθεση για το απομακρυσμένο άκρο.

Τι κάνει δύο εξόδους πραγματικά διαφορετικές

Μια έξοδος είναι διαφορετική όταν η τελευταία συσκευή πριν από το διαδίκτυο χρησιμοποιεί διαφορετική δημόσια διεύθυνση για αυτή την κίνηση. Αυτό μπορεί να συμβεί επειδή το VPN τερματίζει σε άλλη τοποθεσία, επειδή η δεξαμενή εξόδων εκχωρεί άλλη διεύθυνση, ή επειδή ο πάροχος δρομολογεί το αίτημα μέσω άλλης εξόδου. Και οι τρεις είναι αποφάσεις πολιτικής που λαμβάνονται στο απομακρυσμένο άκρο, και καμία δεν είναι ορατή από το οικιακό router.

Δύο συσκευές που η καθεμία τρέχει τον δικό της πελάτη με το ίδιο προφίλ συνήθως καταλήγουν στην ίδια δεξαμενή και συχνά λαμβάνουν την ίδια έξοδο για μια δεδομένη συνεδρία. Αυτό δεν είναι σφάλμα, είναι η κανονική συμπεριφορά μιας κοινόχρηστης δεξαμενής. Το να πάρεις ξεχωριστές εξόδους συνήθως σημαίνει να ζητήσεις από την υπηρεσία ξεχωριστές εκχωρήσεις αντί να ρυθμίσεις τον πελάτη δύο φορές.

Διάβασε τους όρους της υπηρεσίας για ταυτόχρονες συνδέσεις πριν σχεδιάσεις γύρω από μια εγγύηση. Μια δεύτερη σύνδεση είναι άδεια να συνδεθείς, όχι υπόσχεση αποκλειστικής διεύθυνσης. Αν οι όροι σιωπούν, ρώτησε τον πάροχο αντί να υποθέσεις. Η απάντηση αλλάζει τον σχεδιασμό περισσότερο από οποιαδήποτε ρύθμιση πελάτη.

Γιατί τα ξεχωριστά προφίλ δεν είναι ξεχωριστές έξοδοι

Ένα προφίλ περιγράφει πώς να φτάσεις στο VPN και πώς να ταυτοποιηθείς, και δεν λέει σχεδόν τίποτα για το τι συμβαίνει μετά. Η έξοδος επιλέγεται από το απομακρυσμένο άκρο, όπου ζουν η δρομολόγηση, οι δεξαμενές διευθύνσεων και η πολιτική μετάφρασης. Το να αντιγράψεις ένα προφίλ σε δεύτερο μηχάνημα αντιγράφει τη διαμόρφωση του πελάτη, όχι την απόφαση του διακομιστή.

Ισχύει και το αντίστροφο. Ένας διακομιστής VPN μπορεί να παρουσιάσει περισσότερες από μία δημόσιες εξόδους όταν η δρομολόγηση και η πολιτική μετάφρασης είναι έτσι κατασκευασμένες, ενώ ξεχωριστοί διακομιστές μπορεί να τροφοδοτούν μία μόνο έξοδο προς τα κάτω. Άρα ο αριθμός των ονομάτων διακομιστών στη διαμόρφωσή σου δεν λέει τίποτα για τον αριθμό των διευθύνσεων. Για αυτό η διαμόρφωση είναι το λάθος μέρος για να ψάξεις αυτή την απάντηση.

Η μόνη αξιόπιστη απάντηση έρχεται από ένα αίτημα που γίνεται μέσα από τη διάταξη που σκοπεύεις να χρησιμοποιήσεις. Όλα τα άλλα είναι συμπέρασμα.

Πού να τοποθετήσεις τον διαχωρισμό

Μια σήραγγα στο router καλύπτει όλο το νοικοκυριό, κάτι που είναι βολικό και παράγει ακριβώς μία κοινόχρηστη έξοδο για κάθε συσκευή πίσω της. Ένας πελάτης σε κάθε συσκευή σου δίνει έλεγχο ανά συσκευή, αλλά απαιτεί κάθε συσκευή να προετοιμαστεί και να παραμείνει προετοιμασμένη. Ένα router με δυνατότητα πολιτικών κάθεται ανάμεσα, επιλέγοντας διαδρομή ανά συσκευή, και λειτουργεί μόνο αν μπορεί να αναγνωρίζει αξιόπιστα τις συσκευές μέσα από επανασυνδέσεις και αλλαγές DHCP.

Το να δημιουργήσεις άλλη μια ιδιωτική μίσθωση DHCP στο router δεν είναι το ίδιο με το να δημιουργήσεις άλλη μια δημόσια διεύθυνση. Αλλάζει την τοπική εικόνα και αφήνει την έξοδο ανέγγιχτη. Ο διαχωρισμός ζει στην πολιτική εξόδου, είτε αυτή η πολιτική βρίσκεται στο router είτε στην υπηρεσία VPN.

Όποια μορφή κι αν διαλέξεις, γράψε την ιδιοκτησία: ποιος προετοιμάζει μια συσκευή, ποιος αλλάζει τα διαπιστευτήριά της, και ποιος προσέχει όταν σταματά να χρησιμοποιεί την προβλεπόμενη διαδρομή.

Έλεγξε την έξοδο που πήρες πραγματικά

Κάνε τον έλεγχο από την εφαρμογή που μετράει, και σύγκρινε την ίδια οικογένεια διευθύνσεων και στις δύο συσκευές. Ένα αποτέλεσμα IPv4 από τη μία και ένα αποτέλεσμα IPv6 από την άλλη δεν αποδεικνύουν τίποτα για καμία. Έπειτα επανάλαβε τον έλεγχο μετά από επανασύνδεση, επειδή η εκχώρηση από τη δεξαμενή μπορεί να αλλάξει μεταξύ συνεδριών.

Εκτέλεσέ το από τερματικό μέσα στην πολιτική της σήραγγας, όχι από συσκευή που την παρακάμπτει. Ο λάθος κεντρικός υπολογιστής δίνει μια σίγουρη λάθος απάντηση.

curl -4 -sS https://api.ipify.org; echo
curl -6 -sS https://api64.ipify.org; echo
ip route get 1.1.1.1

Αν και οι δύο συσκευές εκτυπώνουν την ίδια διεύθυνση IPv4, μοιράζονται μια έξοδο ανεξάρτητα από το πόσες σήραγγες είναι ενεργές. Έπειτα αποφάσισε τι συμβαίνει όταν αποτύχει η σήραγγα: ένας πελάτης που πέφτει πίσω στην άμεση διαδρομή βάζει και τις δύο συσκευές πίσω στη διεύθυνση του σπιτιού, και ο διαχωρισμός εξαφανίζεται χωρίς σφάλμα. Επιβεβαίωσε αυτή τη συμπεριφορά επιστροφής πριν περιγράψεις τη διάταξη ως δύο εξόδους, και θυμήσου ότι οι διαφορετικές διευθύνσεις είναι αποτέλεσμα δικτύου και όχι δύο ανώνυμες ταυτότητες.