Bi gailu, Wi-Fi bat, VPN irteera desberdinak: zer erabakitzen duen

Etxeko router berean dauden bi ordenagailu eramangarrik VPN irteera ezberdinetatik hel daitezke Internetera, eta partekatutako Wi-Fik ez du horri buruz ezer esateko. Emaitza zehazten duena da tunela non exekutatzen den eta zein politikak aukeratzen duen eskaera bakoitzerako bidea. Kontrako ustea bezain ohikoa eta bezain okerra da: profil bereiziak dituzten bi gailuk ez dituzte automatikoki bi helbide publiko sortzen. Bi erroreak helbide bat hiru balira bezala tratatzetik datoz.

Hiru helbide, eta horietatik bakarra ateratzen da

Ordenagailu eramangarri batek etxeko LANeko helbidea du, segmentu lokalean identifikatzen duena, eta VPN barruan esleitutako tunel-helbidea ere izan dezake. Biak ez dira urruneko zerbitzu batentzat ikusgai. Zerbitzu horrek erregistratzen duena paketea azkenean bidaltzen duen gailuaren irteera-helbide publikoa da, bidean zehar egindako edozein itzulpenen ondoren.

RFC 3022k hemen nahasmenaren zatirik handiena azaltzen duen bereizketa marrazten du. NAT tradizionalak barne-helbideak publikoekin mapatzen ditu, portuen itzulpenak berriz barne-helbide askori helbide publiko bakarra aldi berean partekatzeko aukera ematen die. Helbide publiko bat eta hainbat gailu dituen etxebizitza bigarren kasua da, eta hori da ia nonahi lehenetsitakoa.

Zenbatu helbide publikoak, ez profilak. Tunel-helbide desberdinak eta irteera-politika bera dituzten bi bezerok ikusitako helbide bat sortzen dute, eta beste modu batera bideratutako irteera duen bezero bakar batek beste bat sor dezake. Konparazio bakar hori da proba osoa. Gainerako guztia urruneko muturrari buruzko suposizioa da.

Zerk egiten ditu bi irteera benetan desberdin

Irteera desberdina da Internetera iritsi aurreko azken gailuak trafiko horretarako beste helbide publiko bat erabiltzen duenean. Hori gerta daiteke VPNa beste leku batean amaitzen delako, irteera-multzoak beste helbide bat esleitzen duelako, edo hornitzaileak eskaera beste irteera batetik bideratzen duelako. Hirurak urruneko muturrean hartutako politika-erabakiak dira, eta bat ere ez da etxeko routerretik ikusgai.

Bakoitzak bere bezeroa profil berarekin exekutatzen duten bi gailuk multzo berean amaitzen dute normalean eta sarritan irteera bera jasotzen dute saio jakin baterako. Hori ez da akats bat, partekatutako multzo baten portaera normala da. Irteera bereiziak lortzeak zerbitzuari esleipen desberdinak eskatzea esan nahi du normalean, bezeroa birritan konfiguratzea baino.

Irakurri zerbitzuaren baldintzak aldi bereko konexioei buruz, berme baten inguruan diseinatu aurretik. Bigarren saioa hastea konektatzeko baimena da, ez helbide esklusibo baten promesa. Baldintzak isilik badaude, galdetu hornitzaileari, ez suposatu. Erantzunak diseinua aldatzen du edozein bezero-ezarpenek baino gehiago.

Zergatik profil bereiziak ez diren irteera bereiziak

Profil batek VPNra nola iritsi eta nola autentifikatu deskribatzen du, eta ia ezer ez dio geroari buruz. Urruneko muturrak aukeratzen du irteera, eta han bizi dira bideratzea, helbide-multzoak eta itzulpen-politika. Profila bigarren makina batean bikoizteak bezeroaren konfigurazioa bikoizten du, ez zerbitzariaren erabakia.

Alderantzizkoa ere badago. VPN zerbitzari batek irteera publiko bat baino gehiago aurkez ditzake bere bideratzea eta itzulpen-politika horrela eraikiak daudenean, eta zerbitzari bereiziek beheko irteera bakarra elika dezakete. Beraz, zure konfigurazioko zerbitzari izenen kopuruak ez du ezer esaten helbide kopuruari buruz. Horregatik da konfigurazioa erantzun hori bilatzeko leku okerra.

Erantzun fidagarri bakarra erabili nahi duzun antolamendutik egindako eskaera batetik dator. Gainerako guztia inferentzia da.

Non jarri bereizketa

Routerreko tunel batek etxe osoa hartzen du, erosoa da eta atzean dagoen gailu bakoitzeko irteera partekatu bakarra sortzen du zehazki. Gailu bakoitzeko bezero batek gailuz gailuko kontrola ematen dizu, baina gailu bakoitza hornitua egon dadin eta hornitua jarrai dezan eskatzen du. Politika gaitasuna duen router bat tartean dago, gailu bakoitzeko bidea aukeratuz, eta soilik funtzionatzen du gailuak fidagarriki identifikatzen baditu berriz konektatzeen eta DHCP aldaketen zehar.

Routerrean beste DHCP lizentzia pribatu bat sortzea ez da beste helbide publiko bat sortzearen berdina. Tokiko ikuspegia aldatzen du eta irteera ukitugabe uzten du. Bereizketa irteera-politikan bizi da, politika hori routerrean edo VPN zerbitzuan izan.

Aukeratzen duzun forma edozein dela, idatzi jabetza: nork hornitzen duen gailu bat, nork biratzen duen haren kredentziala, eta nork nabaritzen duen helburuko bidea erabiltzeari uzten dionean.

Egia esan lortu duzun irteera egiaztatu

Egiaztapena garrantzia duen aplikaziotik egin, eta konparatu helbide-familia bera bi gailuetan. Bateko IPv4 emaitzak eta bestearen IPv6 emaitzak ez dute ezer frogatzen ez bata ez bestea. Ondoren errepikatu egiaztapena berriz konektatu ondoren, multzoko esleipena saioen artean alda baitaiteke.

Exekutatu tunelaren politikaren barruko terminal batetik, hura saihesten duen gailu batetik beharrean. Ostalari okerrak ziurtasun handiko erantzun okerra ematen du.

curl -4 -sS https://api.ipify.org; echo
curl -6 -sS https://api64.ipify.org; echo
ip route get 1.1.1.1

Bi gailuek IPv4 helbide bera inprimatzen badute, irteera bat partekatzen dute, zenbat tunel altxatuta dauden kontuan hartu gabe. Ondoren erabaki zer gertatzen den tunelak huts egiten duenean: bide zuzena hartzen duen bezeroak bi gailuak etxeko helbidera itzultzen ditu, eta bereizketa akatsik gabe desagertzen da. Berretsi itzultze-portaera hori antolamendua bi irteera bezala deskribatu aurretik, eta gogoratu helbide desberdinak sarearen emaitza direla, ez bi identitate anonimo.