Dua perangkat, satu Wi-Fi, keluar VPN berbeda: apa yang menentukan

Dua laptop pada router rumah yang sama dapat mencapai internet melalui jalur keluar VPN yang berbeda, dan Wi-Fi bersama tidak berperan dalam hal itu. Yang menentukan hasilnya adalah di mana terowongan berjalan dan kebijakan mana yang memilih jalur untuk setiap permintaan. Keyakinan sebaliknya sama umumnya dan sama salahnya: dua perangkat dengan profil terpisah tidak otomatis menghasilkan dua alamat publik. Kedua kesalahan itu berasal dari memperlakukan satu alamat seolah-olah ada tiga.

Tiga alamat, dan hanya satu yang keluar

Laptop memiliki alamat LAN rumah yang mengidentifikasikannya di segmen lokal, dan mungkin juga memiliki alamat terowongan yang ditetapkan di dalam VPN. Keduanya tidak terlihat oleh layanan jarak jauh. Yang dicatat layanan itu adalah alamat keluar publik perangkat yang akhirnya mengirim paket, setelah penerjemahan apa pun di sepanjang jalur.

RFC 3022 menarik perbedaan yang menjelaskan sebagian besar kebingungan di sini. NAT tradisional memetakan alamat internal ke alamat publik, sedangkan penerjemahan port memungkinkan banyak alamat internal berbagi satu alamat publik pada saat yang sama. Rumah tangga dengan satu alamat publik dan beberapa perangkat adalah kasus kedua, dan itulah default hampir di mana-mana.

Hitung alamat publiknya, bukan profilnya. Dua klien dengan alamat terowongan berbeda dan kebijakan keluar yang sama menghasilkan satu alamat yang teramati, dan satu klien dengan keluar yang dirutekan berbeda dapat menghasilkan alamat lain. Perbandingan tunggal itu adalah seluruh ujiannya. Segala hal lain adalah asumsi tentang ujung jauh.

Apa yang membuat dua keluar benar-benar berbeda

Sebuah keluar berbeda ketika perangkat terakhir sebelum internet memakai alamat publik berbeda untuk lalu lintas itu. Itu bisa terjadi karena VPN berakhir di lokasi lain, karena kumpulan keluar menetapkan alamat lain, atau karena penyedia merutekan permintaan melalui keluar lain. Ketiganya keputusan kebijakan yang diambil di ujung jauh, dan tidak satu pun terlihat dari router rumah.

Dua perangkat yang masing-masing menjalankan kliennya sendiri dengan profil yang sama biasanya mendarat di kumpulan yang sama dan sering menerima keluar yang sama untuk sesi tertentu. Itu bukan bug, itu perilaku normal kumpulan bersama. Mendapatkan keluar yang berbeda biasanya berarti meminta penetapan berbeda kepada layanan, bukan mengonfigurasi klien dua kali.

Baca ketentuan layanan tentang koneksi bersamaan sebelum merancang berdasarkan jaminan. Login kedua adalah izin untuk terhubung, bukan janji alamat eksklusif. Jika ketentuannya diam, tanyakan kepada penyedia alih-alih menganggap. Jawabannya mengubah rancangan lebih banyak daripada pengaturan klien mana pun.

Mengapa profil terpisah bukan keluar terpisah

Profil menjelaskan cara mencapai VPN dan cara mengautentikasi, dan hampir tidak mengatakan apa pun tentang apa yang terjadi sesudahnya. Keluar dipilih oleh ujung jauh, tempat perutean, kumpulan alamat, dan kebijakan penerjemahan berada. Menduplikasi profil di mesin kedua menduplikasi konfigurasi klien, bukan keputusan server.

Sebaliknya juga berlaku. Satu server VPN dapat menampilkan lebih dari satu keluar publik bila perutean dan kebijakan penerjemahannya dibangun seperti itu, sementara server terpisah dapat memasok satu keluar hilir. Jadi jumlah nama server dalam konfigurasi Anda tidak mengatakan apa pun tentang jumlah alamat. Itulah sebabnya konfigurasi adalah tempat yang salah untuk mencari jawaban ini.

Satu-satunya jawaban yang andal datang dari permintaan yang dibuat melalui susunan yang hendak Anda pakai. Segala hal lain adalah inferensi.

Di mana menempatkan pemisahan

Terowongan router mencakup seluruh rumah tangga, yang praktis dan menghasilkan tepat satu keluar bersama untuk setiap perangkat di belakangnya. Klien di setiap perangkat memberi Anda kendali per perangkat tetapi menuntut setiap perangkat disediakan dan tetap disediakan. Router yang mampu menerapkan kebijakan berada di antaranya, memilih jalur per perangkat, dan hanya berfungsi jika dapat mengenali perangkat dengan andal di seluruh penyambungan ulang dan perubahan DHCP.

Membuat sewa DHCP privat lain di router tidak sama dengan membuat alamat publik lain. Itu mengubah pandangan lokal dan membiarkan keluar tidak tersentuh. Pemisahan hidup dalam kebijakan keluar, baik kebijakan itu ada di router maupun di layanan VPN.

Bentuk apa pun yang Anda pilih, tuliskan kepemilikannya: siapa yang menyediakan sebuah perangkat, siapa yang merotasi kredensialnya, dan siapa yang menyadari ketika perangkat itu berhenti memakai jalur yang dimaksud.

Periksa keluar yang benar-benar Anda dapatkan

Lakukan pemeriksaan dari aplikasi yang penting, dan bandingkan keluarga alamat yang sama pada kedua perangkat. Hasil IPv4 dari satu dan hasil IPv6 dari yang lain tidak membuktikan apa pun tentang keduanya. Lalu ulangi pemeriksaan setelah penyambungan ulang, karena penetapan kumpulan dapat berubah antar sesi.

Jalankan dari terminal di dalam kebijakan terowongan, bukan dari perangkat yang melewatinya. Host yang salah menghasilkan jawaban salah yang percaya diri.

curl -4 -sS https://api.ipify.org; echo
curl -6 -sS https://api64.ipify.org; echo
ip route get 1.1.1.1

Jika kedua perangkat mencetak alamat IPv4 yang sama, keduanya berbagi satu keluar berapa pun terowongan yang aktif. Lalu putuskan apa yang terjadi ketika terowongan gagal: klien yang kembali ke jalur langsung menempatkan kedua perangkat kembali pada alamat rumah, dan pemisahan itu hilang tanpa kesalahan. Pastikan perilaku kembali itu sebelum Anda menggambarkan susunan sebagai dua keluar, dan ingat bahwa alamat berbeda adalah hasil jaringan, bukan dua identitas anonim.