Kaks seadet, üks Wi-Fi, erinevad VPN-väljundid: mis otsustab

Kaks sülearvutit samas koduruuteris võivad jõuda internetti erinevate VPN-väljundite kaudu ja jagatud Wi-Fi ei ütle selle kohta midagi. Tulemuse otsustab see, kus tunnel töötab ja milline poliitika valib iga päringu jaoks tee. Vastupidine veendumus on sama levinud ja sama vale: kaks eraldi profiiliga seadet ei tekita automaatselt kahte avalikku aadressi. Mõlemad vead tulevad sellest, et ühte aadressi koheldakse nii, nagu oleks neid kolm.

Kolm aadressi ja ainult üks neist lahkub

Sülearvutil on kodu-LAN-i aadress, mis tuvastab ta kohalikus segmendis, ja tal võib olla ka VPN-i sees määratud tunneliaadress. Kumbki neist ei ole kaugteenusele nähtav. See teenus registreerib selle seadme avaliku väljundaadressi, mis paketi lõpuks saadab, pärast mis tahes teisendust teel.

RFC 3022 tõmbab piiri, mis selgitab suuremat osa siinsest segadusest. Traditsiooniline NAT vastendab sisemised aadressid avalikele, samal ajal kui porditeisendus lubab paljudel sisemistel aadressidel samaaegselt ühte avalikku aadressi jagada. Majapidamine ühe avaliku aadressi ja mitme seadmega on teine juhtum ja see on peaaegu kõikjal vaikeväärtus.

Loenda avalikke aadresse, mitte profiile. Kaks klienti erinevate tunneliaadressidega ja sama väljundipoliitikaga annavad ühe vaadeldud aadressi, ja üks klient teisiti marsruuditud väljundiga võib anda teise. See üks võrdlus on kogu test. Kõik muu on oletus kaugema poole kohta.

Mis teeb kaks väljundit tõesti erinevaks

Väljund on erinev, kui viimane seade enne internetti kasutab selle liikluse jaoks teist avalikku aadressi. See võib juhtuda seepärast, et VPN lõpeb teises kohas, et väljundite kogum määrab teise aadressi, või et teenusepakkuja suunab päringu teise väljundi kaudu. Kõik kolm on kaugemal poolel tehtud poliitilised otsused ja ükski neist ei ole koduruuterist nähtav.

Kaks seadet, kumbki oma kliendiga ja sama profiiliga, satuvad tavaliselt samasse kogumisse ja saavad antud sessiooni jaoks sageli sama väljundi. See ei ole viga, see on jagatud kogumi tavaline käitumine. Eriti erinevate väljundite saamine tähendab tavaliselt teenuselt erinevate määramiste küsimist, mitte kliendi kaks korda seadistamist.

Loe teenuse tingimusi samaaegsete ühenduste kohta enne, kui kavandad garantiile tuginedes. Teine sisselogimine on luba ühenduda, mitte lubadus ainulaadsest aadressist. Kui tingimused vaikivad, küsi teenusepakkujalt, mitte ära eelda. Vastus muudab kavandit rohkem kui ükski kliendi seade.

Miks eraldi profiilid ei ole eraldi väljundid

Profiil kirjeldab, kuidas VPN-ini jõuda ja kuidas autentida, ja ei ütle peaaegu midagi selle kohta, mis juhtub hiljem. Väljundi valib kaugem pool, kus elavad marsruutimine, aadressikogumid ja teisenduspoliitika. Profiili kopeerimine teise masinasse kopeerib kliendi konfiguratsiooni, mitte serveri otsust.

Kehtib ka vastupidine. Üks VPN-server võib esitada rohkem kui ühte avalikku väljundit, kui tema marsruutimine ja teisenduspoliitika on nii üles ehitatud, samal ajal kui eraldi serverid võivad toita üht allavoolu väljundit. Seega ei ütle serverinimede arv sinu konfiguratsioonis aadresside arvu kohta midagi. Sellepärast on konfiguratsioon vale koht, kust seda vastust otsida.

Ainus usaldusväärne vastus tuleb päringust, mis tehakse selle korralduse kaudu, mida kavatsed kasutada. Kõik muu on järeldus.

Kuhu eraldus paigutada

Ruuteri tunnel katab kogu majapidamise, mis on mugav ja annab täpselt ühe jagatud väljundi igale seadmele selle taga. Klient igas seadmes annab sulle seadmepõhise kontrolli, kuid nõuab, et iga seade oleks ette valmistatud ja jääks selleks. Poliitikavõimeline ruuter istub vahepeal, valides tee iga seadme jaoks, ja see töötab ainult siis, kui suudab seadmeid usaldusväärselt tuvastada üle taasühenduste ja DHCP muudatuste.

Veel ühe privaatse DHCP-rendi loomine ruuteris ei ole sama, mis veel ühe avaliku aadressi loomine. See muudab kohalikku pilti ja jätab väljundi puutumata. Eraldus elab väljundipoliitikas, olgu see poliitika ruuteris või VPN-teenuses.

Millise kuju ka valiksid, pane kirja omandisuhe: kes seadme ette valmistab, kes selle mandaadi vahetab ja kes märkab, kui see lakkab kasutamast kavandatud teed.

Kontrolli väljundit, mille sa tegelikult said

Tee kontroll rakendusest, mis loeb, ja võrdle sama aadressiperekonda mõlemas seadmes. IPv4 tulemus ühest ja IPv6 tulemus teisest ei tõesta kummagi kohta midagi. Seejärel korda kontrolli pärast taasühendust, sest kogumi määramine võib sessioonide vahel muutuda.

Käivita see terminalist tunneli poliitika sees, mitte seadmest, mis sellest mööda läheb. Vale host annab enesekindla vale vastuse.

curl -4 -sS https://api.ipify.org; echo
curl -6 -sS https://api64.ipify.org; echo
ip route get 1.1.1.1

Kui mõlemad seadmed trükivad sama IPv4-aadressi, jagavad nad ühte väljundit olenemata sellest, kui mitu tunnelit on üleval. Seejärel otsusta, mis juhtub, kui tunnel ebaõnnestub: klient, mis langeb tagasi otse teele, paneb mõlemad seadmed tagasi koduadressile ja eraldus kaob ilma veata. Kinnita see tagasilangemise käitumine enne, kui kirjeldad korraldust kahe väljundina, ja pea meeles, et erinevad aadressid on võrgu tulemus, mitte kaks anonüümset identiteeti.