Du aparatoj, unu Wi-Fi, malsamaj VPN-eliroj: kio decidas

Du tekkomputiloj ĉe la sama hejma enkursigilo povas atingi la interreton per malsamaj VPN-eliroj, kaj la komuna Wi-Fi pri tio nenion decidas. Kion decidas la rezulton estas, kie la tunelo funkcias kaj kiu politiko elektas la vojon por ĉiu peto. La kontraŭa kredo estas same ofta kaj same malĝusta: du aparatoj kun apartaj profiloj ne aŭtomate produktas du publikajn adresojn. Ambaŭ eraroj venas de tio, ke oni traktas unu adreson kvazaŭ ĝi estus tri.

Tri adresoj, kaj nur unu el ili eliras

Tekkomputilo havas hejman LAN-adreson, kiu identigas ĝin en la loka segmento, kaj ĝi ankaŭ povas havi tunelan adreson atribuitan ene de la VPN. Neniu el ili estas videbla al fora servo. Kion tiu servo registras estas la publika elira adreso de tiu aparato, kiu finfine sendas la paketon, post ajna traduko survoje.

RFC 3022 tiras la distingon, kiu klarigas la plejmulton de la konfuzo ĉi tie. Tradicia NAT mapas internajn adresojn al publikaj, dum pordotraduko ebligas al multaj internaj adresoj kunhavigi unu publikan adreson samtempe. Hejmo kun unu publika adreso kaj pluraj aparatoj estas la dua kazo, kaj ĝi estas la defaŭlto preskaŭ ĉie.

Kalkulu la publikajn adresojn, ne la profilojn. Du klientoj kun malsamaj tunelaj adresoj kaj la sama elira politiko produktas unu observitan adreson, kaj unu kliento kun alimaniere enkursigita eliro povas produkti alian. Tiu unu komparo estas la tuta testo. Ĉio alia estas supozo pri la fora flanko.

Kio fakte faras du elirojn malsamaj

Eliro estas malsama, kiam la lasta aparato antaŭ la interreto uzas malsaman publikan adreson por tiu trafiko. Tio povas okazi ĉar la VPN finiĝas en alia loko, ĉar la elira provizo atribuas malsaman adreson, aŭ ĉar la provizanto enkursigas la peton tra malsama eliro. Ĉiuj tri estas politikaj decidoj faritaj ĉe la fora flanko, kaj neniu el ili videblas de la hejma enkursigilo.

Du aparatoj, kiuj ĉiu funkciigas sian propran klienton kun la sama profilo, kutime alteriĝas en la sama provizo kaj ofte ricevas la saman eliron por donita sesio. Tio ne estas cimo, ĝi estas la normala konduto de kunhavigita provizo. Akiri apartajn elirojn kutime signifas peti de la servo apartajn atribuojn anstataŭ agordi la klienton dufoje.

Legu la servajn kondiĉojn pri samtempaj konektoj antaŭ ol desegni ĉirkaŭ garantio. Dua ensaluto estas permeso konektiĝi, ne promeso de ekskluziva adreso. Se la kondiĉoj silentas, demandu la provizanton anstataŭ supozi. La respondo ŝanĝas la desegnon pli ol iu ajn klienta agordo.

Kial apartaj profiloj ne estas apartaj eliroj

Profilo priskribas, kiel atingi la VPN kaj kiel aŭtentigi, kaj ĝi diras preskaŭ nenion pri tio, kio okazas poste. La eliron elektas la fora flanko, kie loĝas enkursigado, adresaj provizoj kaj traduka politiko. Duobligi profilon sur dua maŝino duobligas la klientan agordon, ne la decidon de la servilo.

Ankaŭ la malo validas. Unu VPN-servilo povas prezenti pli ol unu publikan eliron, kiam ĝia enkursigado kaj traduka politiko estas tiel konstruitaj, dum apartaj serviloj povas nutri unu solan malsupran eliron. Do la nombro de servilaj nomoj en via agordo diras nenion pri la nombro de adresoj. Tial la agordo estas la malĝusta loko serĉi ĉi tiun respondon.

La sola fidinda respondo venas de peto farita tra la aranĝo, kiun vi intencas uzi. Ĉio alia estas konkludo.

Kie meti la apartigon

Enkursigila tunelo kovras la tutan hejmon, kio estas oportuna kaj produktas ekzakte unu kunhavigitan eliron por ĉiu aparato malantaŭ ĝi. Kliento sur ĉiu aparato donas al vi regadon laŭ aparato, sed postulas, ke ĉiu aparato estu provizita kaj restu provizita. Enkursigilo kun politika kapablo sidas intere, elektante vojon laŭ aparato, kaj ĝi funkcias nur se ĝi povas fidinde identigi aparatojn tra rekonektoj kaj DHCP-ŝanĝoj.

Krei alian privatan DHCP-luon sur la enkursigilo ne samas kiel krei alian publikan adreson. Ĝi ŝanĝas la lokan bildon kaj lasas la eliron netuŝita. La apartigo loĝas en la elira politiko, ĉu tiu politiko estas sur la enkursigilo aŭ ĉe la VPN-servo.

Kiun ajn formon vi elektas, skribu la posedon: kiu provizas aparaton, kiu rotacias ĝian identigilon, kaj kiu rimarkas, kiam ĝi ĉesas uzi la celitan vojon.

Kontrolu la eliron, kiun vi efektive ricevis

Faru la kontrolon el la aplikaĵo, kiu gravas, kaj komparu la saman adresan familion sur ambaŭ aparatoj. Rezulto IPv4 de unu kaj rezulto IPv6 de la alia pruvas nenion pri iu ajn el ili. Poste ripetu la kontrolon post rekonekto, ĉar proviza atribuo povas ŝanĝiĝi inter sesioj.

Rulu ĝin el terminalo ene de la tunela politiko, ne el aparato, kiu preteriras ĝin. La malĝusta gastiganto produktas memfidan malĝustan respondon.

curl -4 -sS https://api.ipify.org; echo
curl -6 -sS https://api64.ipify.org; echo
ip route get 1.1.1.1

Se ambaŭ aparatoj presas la saman IPv4-adreson, ili kunhavigas eliron sendepende de tio, kiom da tuneloj estas aktivaj. Poste decidu, kio okazas, kiam la tunelo malsukcesas: kliento, kiu refalas al la rekta vojo, metas ambaŭ aparatojn reen sur la hejman adreson, kaj la apartigo malaperas sen eraro. Konfirmu tiun refalan konduton antaŭ ol priskribi la aranĝon kiel du elirojn, kaj memoru, ke malsamaj adresoj estas reta rezulto, ne du anonimaj identecoj.