Dos dispositivos, una Wi-Fi, salidas VPN distintas: qué lo decide

Dos portátiles en el mismo router de casa pueden llegar a internet por salidas VPN distintas, y la Wi-Fi compartida no tiene nada que decir al respecto. Lo que decide el resultado es dónde corre el túnel y qué política elige la ruta de cada petición. La creencia contraria es igual de común e igual de errónea: dos dispositivos con perfiles separados no producen automáticamente dos direcciones públicas. Ambos errores vienen de tratar una dirección como si fueran tres.

Tres direcciones, y solo una de ellas sale

Un portátil tiene una dirección en la LAN de casa que lo identifica en el segmento local, y también puede tener una dirección de túnel asignada dentro de la VPN. Ninguna de las dos es visible para un servicio remoto. Lo que ese servicio registra es la dirección de salida pública del dispositivo que finalmente envía el paquete, tras cualquier traducción por el camino.

La RFC 3022 traza la distinción que explica la mayor parte de la confusión aquí. El NAT tradicional asigna direcciones internas a direcciones públicas, mientras que la traducción de puertos permite que muchas direcciones internas compartan una sola dirección pública al mismo tiempo. Un hogar con una dirección pública y varios dispositivos es el segundo caso, y es el valor por defecto en casi todas partes.

Cuenta las direcciones públicas, no los perfiles. Dos clientes con direcciones de túnel distintas y la misma política de salida producen una dirección observada, y un solo cliente con una salida enrutada de otra manera puede producir otra. Esa única comparación es toda la prueba. Todo lo demás es una suposición sobre el extremo remoto.

Qué hace que dos salidas sean realmente distintas

Una salida es distinta cuando el último dispositivo antes de internet usa una dirección pública diferente para ese tráfico. Eso puede ocurrir porque la VPN termina en otro lugar, porque el conjunto de salidas asigna otra dirección o porque el proveedor encamina la petición por otra salida. Las tres son decisiones de política tomadas en el extremo remoto, y ninguna es visible desde el router de casa.

Dos dispositivos que ejecutan cada uno su cliente con el mismo perfil suelen caer en el mismo conjunto y a menudo reciben la misma salida para una sesión dada. No es un fallo, es el comportamiento normal de un conjunto compartido. Conseguir salidas distintas normalmente significa pedir al servicio asignaciones distintas en lugar de configurar el cliente dos veces.

Lee las condiciones del servicio sobre conexiones simultáneas antes de diseñar en torno a una garantía. Un segundo inicio de sesión es permiso para conectarse, no una promesa de dirección exclusiva. Si las condiciones callan, pregunta al proveedor en lugar de suponer. La respuesta cambia el diseño más que cualquier ajuste del cliente.

Por qué los perfiles separados no son salidas separadas

Un perfil describe cómo llegar a la VPN y cómo autenticarse, y casi no dice nada sobre lo que ocurre después. La salida la elige el extremo remoto, donde viven el enrutamiento, los conjuntos de direcciones y la política de traducción. Duplicar un perfil en una segunda máquina duplica la configuración del cliente, no la decisión del servidor.

Lo contrario también se cumple. Un servidor VPN puede presentar más de una salida pública cuando su enrutamiento y su política de traducción están construidos así, mientras que servidores separados pueden alimentar una única salida descendente. Así que el número de nombres de servidor en tu configuración no dice nada sobre el número de direcciones. Por eso la configuración es el lugar equivocado para buscar esta respuesta.

La única respuesta fiable viene de una petición hecha a través del arreglo que piensas usar. Todo lo demás es inferencia.

Dónde poner la separación

Un túnel en el router cubre todo el hogar, lo que es cómodo y produce exactamente una salida compartida para cada dispositivo detrás. Un cliente en cada dispositivo te da control por dispositivo, pero exige que cada dispositivo esté aprovisionado y siga estándolo. Un router con capacidad de políticas se sitúa en medio y elige una ruta por dispositivo, y solo funciona si puede identificar los dispositivos de forma fiable entre reconexiones y cambios de DHCP.

Crear otra concesión DHCP privada en el router no es lo mismo que crear otra dirección pública. Cambia la vista local y deja la salida intacta. La separación vive en la política de salida, tanto si esa política está en el router como en el servicio de VPN.

Sea cual sea la forma que elijas, anota la propiedad: quién aprovisiona un dispositivo, quién rota su credencial y quién nota cuando deja de usar la ruta prevista.

Comprueba la salida que realmente obtuviste

Haz la comprobación desde la aplicación que importa y compara la misma familia de direcciones en ambos dispositivos. Un resultado IPv4 de uno y un resultado IPv6 del otro no demuestran nada de ninguno. Luego repite la comprobación tras una reconexión, porque la asignación del conjunto puede cambiar entre sesiones.

Ejecútalo desde un terminal dentro de la política del túnel, no desde un dispositivo que la eluda. El host equivocado produce una respuesta equivocada y confiada.

curl -4 -sS https://api.ipify.org; echo
curl -6 -sS https://api64.ipify.org; echo
ip route get 1.1.1.1

Si ambos dispositivos muestran la misma dirección IPv4, comparten una salida independientemente de cuántos túneles estén activos. Luego decide qué ocurre cuando el túnel falla: un cliente que vuelve a la ruta directa devuelve ambos dispositivos a la dirección de casa, y la separación desaparece sin un error. Confirma ese comportamiento de retorno antes de describir el arreglo como dos salidas, y recuerda que direcciones distintas son un resultado de red y no dos identidades anónimas.