Két eszköz, egy Wi-Fi, különböző VPN-kimenetek: mi dönt

Két laptop ugyanazon az otthoni routeren különböző VPN-kimeneteken keresztül érheti el az internetet, és a megosztott Wi-Fi ehhez semmit sem tesz hozzá. Az eredményt az dönti el, hogy hol fut az alagút, és melyik házirend választja ki az útvonalat minden kéréshez. Az ellenkező hit ugyanolyan gyakori és ugyanolyan téves: két külön profilú eszköz nem hoz létre automatikusan két nyilvános címet. Mindkét hiba abból ered, hogy egy címet úgy kezelünk, mintha három lenne.

Három cím, és közülük csak egy lép ki

A laptopnak van egy otthoni LAN-címe, amely a helyi szegmensen azonosítja, és lehet a VPN-en belül kiosztott alagútcíme is. Egyik sem látható egy távoli szolgáltatás számára. Amit az a szolgáltatás rögzít, az annak az eszköznek a nyilvános kimeneti címe, amely végül elküldi a csomagot, az útközbeni bármilyen fordítás után.

Az RFC 3022 húzza meg azt a megkülönböztetést, amely az itteni zavar nagy részét megmagyarázza. A hagyományos NAT belső címeket képez le nyilvános címekre, míg a portfordítás lehetővé teszi, hogy sok belső cím egyetlen nyilvános címet osszon meg egyszerre. Az egy nyilvános című, több eszközös háztartás a második eset, és ez szinte mindenhol az alapértelmezés.

A nyilvános címeket számolja, ne a profilokat. Két kliens különböző alagútcímekkel és azonos kimeneti házirenddel egyetlen megfigyelt címet ad, és egyetlen kliens eltérően irányított kimenettel másikat adhat. Ez az egyetlen összehasonlítás a teljes teszt. Minden más feltevés a távoli oldalról.

Mitől lesz két kimenet valóban különböző

Egy kimenet akkor különböző, ha az internet előtti utolsó eszköz más nyilvános címet használ arra a forgalomra. Ez történhet azért, mert a VPN más helyen végződik, mert a kimeneti készlet más címet oszt ki, vagy mert a szolgáltató más kimeneten keresztül irányítja a kérést. Mindhárom a távoli oldalon hozott házirend-döntés, és egyik sem látható az otthoni routerről.

Két eszköz, amelyek mindegyike saját klienst futtat ugyanazzal a profillal, rendszerint ugyanabba a készletbe kerül, és egy adott munkamenetre gyakran ugyanazt a kimenetet kapja. Ez nem hiba, ez a megosztott készlet normális viselkedése. Külön kimenetek eléréséhez általában külön kiosztásokat kell kérni a szolgáltatástól, nem a klienst kétszer beállítani.

Olvassa el a szolgáltatás egyidejű kapcsolatokra vonatkozó feltételeit, mielőtt garanciára építene. A második bejelentkezés engedély a csatlakozásra, nem ígéret kizárólagos címre. Ha a feltételek hallgatnak, kérdezze meg a szolgáltatót ahelyett, hogy feltételezne. A válasz többet változtat a tervezésen, mint bármely kliensbeállítás.

Miért nem külön kimenetek a külön profilok

A profil leírja, hogyan lehet elérni a VPN-t és hogyan kell hitelesíteni, és szinte semmit sem mond arról, ami utána történik. A kimenetet a távoli oldal választja, ahol az útválasztás, a címkészletek és a fordítási házirend él. Egy profil megkettőzése egy másik gépen a kliens konfigurációját kettőzi meg, nem a szerver döntését.

Fordítva is igaz. Egy VPN-szerver egynél több nyilvános kimenetet is bemutathat, ha az útválasztása és fordítási házirendje így épül fel, miközben a külön szerverek egyetlen alsóbb kimenetet táplálhatnak. Tehát a konfigurációjában szereplő szervernevek száma semmit sem mond a címek számáról. Ezért a konfiguráció a rossz hely, ahol ezt a választ keresni kell.

Az egyetlen megbízható válasz egy olyan kérésből jön, amelyet azon az elrendezésen keresztül tesznek, amelyet használni kíván. Minden más következtetés.

Hová kerüljön az elkülönítés

A router-alagút az egész háztartást lefedi, ami kényelmes, és pontosan egy megosztott kimenetet eredményez minden mögötte levő eszköznek. Az eszközönkénti kliens eszközönkénti irányítást ad, de megköveteli, hogy minden eszköz elő legyen készítve és az is maradjon. A házirendképes router középen ül, eszközönként választ útvonalat, és csak akkor működik, ha megbízhatóan felismeri az eszközöket az újracsatlakozásokon és DHCP-változásokon át.

Egy további privát DHCP-bérlet létrehozása a routeren nem ugyanaz, mint egy további nyilvános cím létrehozása. Megváltoztatja a helyi képet, és a kimenetet érintetlenül hagyja. Az elkülönítés a kimeneti házirendben él, akár a routeren van az a házirend, akár a VPN-szolgáltatásnál.

Bármelyik formát választja, írja le a tulajdonviszonyt: ki készít elő egy eszközt, ki forgatja a hitelesítő adatait, és ki veszi észre, amikor felhagy a tervezett útvonal használatával.

Ellenőrizze a kimenetet, amelyet valóban kapott

Az ellenőrzést abból az alkalmazásból végezze, amely számít, és hasonlítsa össze ugyanazt a címcsaládot mindkét eszközön. Az egyikről kapott IPv4-eredmény és a másikról kapott IPv6-eredmény egyikről sem bizonyít semmit. Utána ismételje meg az ellenőrzést újracsatlakozás után, mert a készletkiosztás munkamenetek között változhat.

Futtassa a terminálból az alagút házirendjén belül, ne olyan eszközről, amely megkerüli azt. A rossz gazdagép magabiztos rossz választ ad.

curl -4 -sS https://api.ipify.org; echo
curl -6 -sS https://api64.ipify.org; echo
ip route get 1.1.1.1

Ha mindkét eszköz ugyanazt az IPv4-címet nyomtatja, akkor egy kimenetet osztanak meg, függetlenül attól, hány alagút van felállítva. Ezután döntse el, mi történik, ha az alagút meghibásodik: az a kliens, amely visszaesik a közvetlen útvonalra, mindkét eszközt visszahelyezi az otthoni címre, és az elkülönítés hiba nélkül eltűnik. Erősítse meg ezt a visszaesési viselkedést, mielőtt az elrendezést két kimenetként írja le, és ne feledje, hogy a különböző címek hálózati eredmény, nem két névtelen identitás.