दो डिवाइस, एक Wi-Fi, अलग VPN एग्ज़िट: क्या तय करता है

एक ही घरेलू राउटर पर दो लैपटॉप अलग VPN एग्ज़िट से इंटरनेट तक पहुँच सकते हैं, और साझा Wi-Fi का इसमें कोई कहना नहीं है। नतीजा यह तय करता है कि टनल कहाँ चलता है और हर अनुरोध के लिए कौन सी नीति रास्ता चुनती है। उलटी मान्यता भी उतनी ही आम और उतनी ही ग़लत है: अलग प्रोफ़ाइल वाले दो डिवाइस अपने आप दो सार्वजनिक पते नहीं बनाते। दोनों ग़लतियाँ एक पते को तीन मानने से आती हैं।

तीन पते, और उनमें से सिर्फ़ एक बाहर जाता है

लैपटॉप के पास घरेलू LAN का पता होता है जो उसे स्थानीय सेगमेंट में पहचानता है, और उसके पास VPN के भीतर दिया गया टनल पता भी हो सकता है। इनमें से कोई भी किसी दूरस्थ सेवा को दिखाई नहीं देता। वह सेवा जो दर्ज करती है वह उस डिवाइस का सार्वजनिक एग्ज़िट पता है जो आख़िर में पैकेट भेजता है, रास्ते में हुए किसी भी अनुवाद के बाद।

RFC 3022 वह अंतर खींचता है जो यहाँ की ज़्यादातर उलझन समझाता है। पारंपरिक NAT आंतरिक पतों को सार्वजनिक पतों पर मैप करता है, जबकि पोर्ट अनुवाद कई आंतरिक पतों को एक ही समय पर एक सार्वजनिक पता साझा करने देता है। एक सार्वजनिक पता और कई डिवाइस वाला घर दूसरा मामला है, और यह लगभग हर जगह डिफ़ॉल्ट है।

सार्वजनिक पते गिनें, प्रोफ़ाइल नहीं। अलग टनल पतों और एक ही एग्ज़िट नीति वाले दो क्लाइंट एक देखा गया पता देते हैं, और अलग तरीके से रूट किए गए एग्ज़िट वाला एक अकेला क्लाइंट दूसरा दे सकता है। वही एक तुलना पूरी कसौटी है। बाकी सब दूर के सिरे के बारे में अनुमान है।

दो एग्ज़िट को सचमुच अलग क्या बनाता है

एग्ज़िट तब अलग होता है जब इंटरनेट से पहले का आख़िरी डिवाइस उस ट्रैफ़िक के लिए अलग सार्वजनिक पता इस्तेमाल करता है। ऐसा इसलिए हो सकता है कि VPN किसी दूसरी जगह ख़त्म होता है, एग्ज़िट पूल कोई दूसरा पता देता है, या प्रदाता अनुरोध को किसी दूसरे एग्ज़िट से रूट करता है। तीनों दूर के सिरे पर लिए गए नीतिगत फ़ैसले हैं, और उनमें से कोई भी घरेलू राउटर से दिखाई नहीं देता।

जो दो डिवाइस अपना-अपना क्लाइंट एक ही प्रोफ़ाइल के साथ चलाते हैं वे आम तौर पर एक ही पूल में पड़ते हैं और किसी दिए गए सत्र के लिए अक्सर वही एग्ज़िट पाते हैं। यह ख़राबी नहीं है, यह साझा पूल का सामान्य व्यवहार है। अलग एग्ज़िट पाने का मतलब आम तौर पर क्लाइंट को दो बार कॉन्फ़िगर करने के बजाय सेवा से अलग आवंटन माँगना है।

किसी गारंटी के इर्द-गिर्द डिज़ाइन करने से पहले एक साथ के कनेक्शनों के बारे में सेवा की शर्तें पढ़ें। दूसरा लॉगिन जुड़ने की अनुमति है, अनन्य पते का वादा नहीं। अगर शर्तें चुप हैं तो अनुमान लगाने के बजाय प्रदाता से पूछें। जवाब किसी भी क्लाइंट सेटिंग से ज़्यादा डिज़ाइन बदलता है।

अलग प्रोफ़ाइल अलग एग्ज़िट क्यों नहीं हैं

प्रोफ़ाइल बताती है कि VPN तक कैसे पहुँचना है और प्रमाणीकरण कैसे करना है, और यह लगभग कुछ नहीं कहती कि उसके बाद क्या होता है। एग्ज़िट दूर का सिरा चुनता है, जहाँ रूटिंग, पता पूल और अनुवाद नीति रहती है। दूसरी मशीन पर प्रोफ़ाइल की नकल करना क्लाइंट कॉन्फ़िगरेशन की नकल करना है, सर्वर का फ़ैसला नहीं।

उलटा भी सच है। एक VPN सर्वर एक से ज़्यादा सार्वजनिक एग्ज़िट पेश कर सकता है जब उसकी रूटिंग और अनुवाद नीति ऐसी बनी हो, जबकि अलग सर्वर एक ही नीचे के प्रवाह वाला एग्ज़िट खिला सकते हैं। इसलिए आपके कॉन्फ़िगरेशन में सर्वर नामों की संख्या पतों की संख्या के बारे में कुछ नहीं कहती। इसीलिए यह जवाब ढूँढ़ने के लिए कॉन्फ़िगरेशन ग़लत जगह है।

एकमात्र भरोसेमंद जवाब उस व्यवस्था से किए गए अनुरोध से आता है जिसे आप इस्तेमाल करना चाहते हैं। बाकी सब अनुमान है।

अलगाव कहाँ रखें

राउटर टनल पूरे घर को ढकता है, जो सुविधाजनक है और उसके पीछे के हर डिवाइस के लिए ठीक एक साझा एग्ज़िट बनाता है। हर डिवाइस पर क्लाइंट आपको प्रति-डिवाइस नियंत्रण देता है, पर हर डिवाइस का तैयार होना और तैयार रहना ज़रूरी है। नीति में सक्षम राउटर बीच में बैठता है, हर डिवाइस के लिए रास्ता चुनता है, और वह तभी काम करता है जब वह फिर से जुड़ने और DHCP बदलावों के बीच डिवाइसों को भरोसेमंद ढंग से पहचान सके।

राउटर पर एक और निजी DHCP लीज़ बनाना एक और सार्वजनिक पता बनाने जैसा नहीं है। यह स्थानीय दृश्य बदलता है और एग्ज़िट को अछूता छोड़ता है। अलगाव एग्ज़िट नीति में रहता है, चाहे वह नीति राउटर पर हो या VPN सेवा में।

आप कोई भी रूप चुनें, मालिकाना लिख लें: कौन डिवाइस तैयार करता है, कौन उसके क्रेडेंशियल बदलता है, और कौन नोटिस करता है जब वह इच्छित रास्ता इस्तेमाल करना बंद कर देता है।

जो एग्ज़िट आपको वाक़ई मिला, उसे जाँचें

जाँच उस ऐप्लिकेशन से करें जो मायने रखता है, और दोनों डिवाइसों पर एक ही पता परिवार की तुलना करें। एक से IPv4 नतीजा और दूसरे से IPv6 नतीजा किसी के बारे में कुछ साबित नहीं करता। फिर दोबारा जुड़ने के बाद जाँच दोहराएँ, क्योंकि सत्रों के बीच पूल आवंटन बदल सकता है।

इसे टनल नीति के भीतर के टर्मिनल से चलाएँ, उस डिवाइस से नहीं जो उसे बायपास करता है। ग़लत होस्ट आत्मविश्वास से भरा ग़लत जवाब देता है।

curl -4 -sS https://api.ipify.org; echo
curl -6 -sS https://api64.ipify.org; echo
ip route get 1.1.1.1

अगर दोनों डिवाइस एक ही IPv4 पता छापते हैं, तो कितनी टनल चालू हैं इससे अलग वे एक ही एग्ज़िट साझा करते हैं। फिर तय करें कि टनल विफल होने पर क्या होगा: सीधे रास्ते पर लौटने वाला क्लाइंट दोनों डिवाइसों को वापस घर के पते पर डाल देता है, और अलगाव बिना किसी त्रुटि के ग़ायब हो जाता है। व्यवस्था को दो एग्ज़िट कहने से पहले उस वापसी व्यवहार की पुष्टि करें, और याद रखें कि अलग पते नेटवर्क का नतीजा हैं, दो अनाम पहचान नहीं।