Dva uređaja, jedna Wi-Fi mreža, različiti VPN izlazi: što odlučuje

Dva prijenosnika na istom kućnom usmjerivaču mogu doći na internet kroz različite VPN izlaze, a zajednička Wi-Fi mreža o tome nema što reći. Ishod određuje gdje tunel radi i koja politika bira put za svaki zahtjev. Suprotno uvjerenje jednako je često i jednako pogrešno: dva uređaja s odvojenim profilima ne proizvode automatski dvije javne adrese. Obje pogreške dolaze iz toga što se jedna adresa tretira kao tri.

Tri adrese, a samo jedna od njih izlazi

Prijenosnik ima adresu u kućnoj LAN mreži koja ga identificira na lokalnom segmentu, a može imati i adresu tunela dodijeljenu unutar VPN-a. Nijedna od njih nije vidljiva udaljenoj usluzi. Ono što ta usluga bilježi jest javna izlazna adresa uređaja koji na kraju pošalje paket, nakon bilo kakvog prevođenja na putu.

RFC 3022 povlači razliku koja objašnjava većinu zabune ovdje. Tradicionalni NAT preslikava interne adrese na javne, dok prevođenje portova omogućuje mnogim internim adresama da istovremeno dijele jednu javnu adresu. Kućanstvo s jednom javnom adresom i nekoliko uređaja drugi je slučaj, i to je zadano gotovo svugdje.

Brojite javne adrese, ne profile. Dva klijenta s različitim adresama tunela i istom izlaznom politikom daju jednu promatranu adresu, a jedan klijent s drukčije usmjerenim izlazom može dati drugu. To jedno poređenje cijeli je test. Sve ostalo je pretpostavka o udaljenoj strani.

Što dva izlaza zaista čini različitima

Izlaz je različit kada posljednji uređaj prije interneta koristi drugu javnu adresu za taj promet. To se može dogoditi jer VPN završava na drugom mjestu, jer izlazni skup dodjeljuje drugu adresu ili jer davatelj usluga usmjerava zahtjev kroz drugi izlaz. Sve tri su političke odluke donesene na udaljenoj strani i nijedna nije vidljiva s kućnog usmjerivača.

Dva uređaja koja svaki pokreću vlastiti klijent s istim profilom obično završe u istom skupu i često dobiju isti izlaz za danu sesiju. To nije greška, to je normalno ponašanje zajedničkog skupa. Dobivanje različitih izlaza obično znači tražiti od usluge različite dodjele, a ne konfigurirati klijent dvaput.

Pročitajte uvjete usluge o istovremenim vezama prije nego što dizajnirate oko jamstva. Druga prijava je dopuštenje za povezivanje, a ne obećanje isključive adrese. Ako uvjeti šute, pitajte davatelja umjesto da pretpostavljate. Odgovor mijenja dizajn više od bilo koje postavke klijenta.

Zašto odvojeni profili nisu odvojeni izlazi

Profil opisuje kako doći do VPN-a i kako se autentificirati, a gotovo ništa ne govori o tome što se događa poslije. Izlaz bira udaljena strana, gdje žive usmjeravanje, skupovi adresa i politika prevođenja. Umnožavanje profila na drugom računalu umnožava konfiguraciju klijenta, a ne odluku poslužitelja.

Vrijedi i obrnuto. Jedan VPN poslužitelj može predstaviti više od jednog javnog izlaza kada su njegovo usmjeravanje i politika prevođenja tako građeni, dok odvojeni poslužitelji mogu napajati jedan nizvodni izlaz. Zato broj naziva poslužitelja u vašoj konfiguraciji ne govori ništa o broju adresa. Zato je konfiguracija pogrešno mjesto za traženje ovog odgovora.

Jedini pouzdan odgovor dolazi iz zahtjeva upućenog kroz raspored koji namjeravate koristiti. Sve ostalo je zaključivanje.

Gdje smjestiti razdvajanje

Tunel na usmjerivaču pokriva cijelo kućanstvo, što je zgodno i daje točno jedan zajednički izlaz za svaki uređaj iza njega. Klijent na svakom uređaju daje vam kontrolu po uređaju, ali zahtijeva da se svaki uređaj pripremi i da ostane pripremljen. Usmjerivač s podrškom za politike stoji između, bira put po uređaju i radi samo ako pouzdano prepoznaje uređaje kroz ponovna povezivanja i promjene DHCP-a.

Stvaranje još jednog privatnog DHCP zakupa na usmjerivaču nije isto što i stvaranje još jedne javne adrese. Ono mijenja lokalnu sliku i ostavlja izlaz netaknutim. Razdvajanje živi u izlaznoj politici, bilo da je ta politika na usmjerivaču ili u VPN usluzi.

Koju god formu odabrali, zapišite vlasništvo: tko priprema uređaj, tko mijenja njegove vjerodajnice i tko primijeti kada prestane koristiti predviđeni put.

Provjerite izlaz koji ste zaista dobili

Provjeru radite iz aplikacije koja je važna i usporedite istu obitelj adresa na oba uređaja. Rezultat IPv4 s jednog i rezultat IPv6 s drugog ne dokazuje ništa ni o jednom. Zatim ponovite provjeru nakon ponovnog povezivanja, jer se dodjela iz skupa može promijeniti između sesija.

Pokrenite to iz terminala unutar politike tunela, a ne s uređaja koji je zaobilazi. Pogrešan host daje samouvjeren pogrešan odgovor.

curl -4 -sS https://api.ipify.org; echo
curl -6 -sS https://api64.ipify.org; echo
ip route get 1.1.1.1

Ako oba uređaja ispisuju istu IPv4 adresu, dijele izlaz bez obzira na to koliko je tunela podignuto. Zatim odlučite što se događa kad tunel padne: klijent koji se vrati na izravan put vraća oba uređaja na kućnu adresu i razdvajanje nestaje bez greške. Potvrdite to ponašanje vraćanja prije nego raspored opišete kao dva izlaza i zapamtite da su različite adrese mrežni rezultat, a ne dva anonimna identiteta.