ორი მოწყობილობა, ერთი Wi-Fi, სხვადასხვა VPN გასასვლელი: რა წყვეტს

ერთი და იმავე სახლის როუტერზე მიერთებულ ორ ლეპტოპს შეუძლია ინტერნეტში სხვადასხვა VPN გასასვლელით გავიდეს და საერთო Wi-Fi-ს ამაში სათქმელი არაფერი აქვს. შედეგს განსაზღვრავს ის, სად მუშაობს გვირაბი და რომელი პოლიტიკა ირჩევს გზას თითოეული მოთხოვნისთვის. საპირისპირო რწმენა ისეთივე გავრცელებული და ისეთივე მცდარია: ორი ცალკე პროფილის მქონე მოწყობილობა ავტომატურად ორ საჯარო მისამართს არ ქმნის. ორივე შეცდომა იმიდან მოდის, რომ ერთ მისამართს სამივით ექცევიან.

სამი მისამართი და მათგან მხოლოდ ერთი გადის გარეთ

ლეპტოპს აქვს სახლის LAN-ის მისამართი, რომელიც ლოკალურ სეგმენტში იდენტიფიცირებს, და შეიძლება ჰქონდეს VPN-ის შიგნით მინიჭებული გვირაბის მისამართიც. არც ერთი მათგანი არ ჩანს შორეული სერვისისთვის. რასაც ეს სერვისი იწერს, არის იმ მოწყობილობის საჯარო გასასვლელი მისამართი, რომელიც საბოლოოდ აგზავნის პაკეტს, გზაზე ნებისმიერი გარდაქმნის შემდეგ.

RFC 3022 ავლებს იმ განსხვავებას, რომელიც აქ არსებული დაბნეულობის უმეტეს ნაწილს ხსნის. ტრადიციული NAT შიდა მისამართებს საჯაროებზე ასახავს, ხოლო პორტების გარდაქმნა მრავალ შიდა მისამართს ერთდროულად ერთი საჯარო მისამართის გაზიარების საშუალებას აძლევს. ერთი საჯარო მისამართისა და რამდენიმე მოწყობილობის მქონე ოჯახი მეორე შემთხვევაა და ეს თითქმის ყველგან ნაგულისხმევია.

ითვალეთ საჯარო მისამართები და არა პროფილები. ორი კლიენტი სხვადასხვა გვირაბის მისამართით და ერთი და იმავე გასასვლელი პოლიტიკით ერთ დაკვირვებულ მისამართს იძლევა, ხოლო სხვაგვარად მარშრუტიზებული გასასვლელის მქონე ერთი კლიენტი სხვას გამოიმუშავებს. ეს ერთი შედარება მთელი გამოცდაა. დანარჩენი ყველაფერი შორეული მხარის შესახებ ვარაუდია.

რა ხდის ორ გასასვლელს მართლაც განსხვავებულს

გასასვლელი განსხვავებულია მაშინ, როცა ინტერნეტამდე ბოლო მოწყობილობა ამ ტრაფიკისთვის სხვა საჯარო მისამართს იყენებს. ეს შეიძლება მოხდეს იმიტომ, რომ VPN სხვა ადგილას მთავრდება, იმიტომ, რომ გასასვლელთა აუზი სხვა მისამართს ანიჭებს, ან იმიტომ, რომ პროვაიდერი მოთხოვნას სხვა გასასვლელით მარშრუტიზებს. სამივე შორეულ მხარეს მიღებული პოლიტიკური გადაწყვეტილებაა და არც ერთი არ ჩანს სახლის როუტერიდან.

ორი მოწყობილობა, რომელთაგან თითოეული საკუთარ კლიენტს ერთი და იმავე პროფილით უშვებს, ჩვეულებრივ ერთსა და იმავე აუზში ხვდება და მოცემული სესიისთვის ხშირად იმავე გასასვლელს იღებს. ეს ხარვეზი არ არის, ეს საერთო აუზის ნორმალური ქცევაა. ცალკე გასასვლელების მისაღებად ჩვეულებრივ საჭიროა სერვისისგან ცალკე მინიჭებების თხოვნა და არა კლიენტის ორჯერ კონფიგურირება.

სანამ გარანტიაზე დაყრდნობით დააპროექტებთ, წაიკითხეთ სერვისის პირობები ერთდროულ კავშირებზე. მეორე შესვლა დაკავშირების ნებართვაა და არა ექსკლუზიური მისამართის დაპირება. თუ პირობები დუმს, ჰკითხეთ პროვაიდერს და ნუ ივარაუდებთ. პასუხი დიზაინს უფრო მეტს ცვლის, ვიდრე ნებისმიერი კლიენტის პარამეტრი.

რატომ არ არის ცალკე პროფილები ცალკე გასასვლელები

პროფილი აღწერს, როგორ მივაღწიოთ VPN-ს და როგორ მოხდეს ავთენტიფიკაცია, და თითქმის არაფერს ამბობს იმაზე, რაც შემდეგ ხდება. გასასვლელს შორეული მხარე ირჩევს, სადაც მარშრუტიზაცია, მისამართების აუზები და გარდაქმნის პოლიტიკა ცხოვრობს. პროფილის მეორე მანქანაზე გადაწერა კლიენტის კონფიგურაციას ამრავლებს და არა სერვერის გადაწყვეტილებას.

საპირისპიროც მართალია. ერთ VPN სერვერს შეუძლია ერთზე მეტი საჯარო გასასვლელი წარმოადგინოს, როცა მისი მარშრუტიზაცია და გარდაქმნის პოლიტიკა ასეა აგებული, მაშინ როცა ცალკე სერვერები შეიძლება ერთ ქვედა დინების გასასვლელს კვებავდნენ. ამიტომ თქვენს კონფიგურაციაში სერვერების სახელების რაოდენობა მისამართების რაოდენობაზე არაფერს ამბობს. სწორედ ამიტომ კონფიგურაცია არასწორი ადგილია ამ პასუხის საძებნელად.

ერთადერთი სანდო პასუხი მოდის მოთხოვნიდან, რომელიც გაკეთებულია იმ მოწყობით, რომლის გამოყენებასაც აპირებთ. დანარჩენი ყველაფერი დასკვნაა.

სად მოვათავსოთ გამიჯვნა

როუტერის გვირაბი მთელ ოჯახს ფარავს, რაც მოხერხებულია და მის უკან მდგარი ყოველი მოწყობილობისთვის ზუსტად ერთ საერთო გასასვლელს ქმნის. კლიენტი თითოეულ მოწყობილობაზე მოწყობილობათა მიხედვით კონტროლს გაძლევთ, მაგრამ მოითხოვს, რომ ყოველი მოწყობილობა მომზადდეს და მომზადებული დარჩეს. პოლიტიკის უნარის მქონე როუტერი შუაში ზის, ირჩევს გზას თითოეული მოწყობილობისთვის და მუშაობს მხოლოდ მაშინ, როცა შეუძლია მოწყობილობები საიმედოდ ამოიცნოს ხელახალი დაკავშირებებისა და DHCP ცვლილებების განმავლობაში.

როუტერზე კიდევ ერთი კერძო DHCP იჯარის შექმნა არ არის იგივე, რაც კიდევ ერთი საჯარო მისამართის შექმნა. ის ლოკალურ სურათს ცვლის და გასასვლელს უცვლელად ტოვებს. გამიჯვნა გასასვლელი პოლიტიკაში ცხოვრობს, იქნება ეს პოლიტიკა როუტერზე თუ VPN სერვისში.

რომელი ფორმაც არ უნდა აირჩიოთ, ჩაწერეთ პასუხისმგებლობა: ვინ ამზადებს მოწყობილობას, ვინ ცვლის მის სერტიფიკატებს და ვინ ამჩნევს, როცა ის განზრახული გზის გამოყენებას წყვეტს.

შეამოწმეთ ის გასასვლელი, რომელიც რეალურად მიიღეთ

შემოწმება გააკეთეთ იმ აპლიკაციიდან, რომელსაც მნიშვნელობა აქვს, და შეადარეთ მისამართების იგივე ოჯახი ორივე მოწყობილობაზე. IPv4-ის შედეგი ერთიდან და IPv6-ის შედეგი მეორიდან არაფერს ამტკიცებს არც ერთზე. შემდეგ გაიმეორეთ შემოწმება ხელახალი დაკავშირების შემდეგ, რადგან აუზის მინიჭება სესიებს შორის შეიძლება შეიცვალოს.

გაუშვით ის გვირაბის პოლიტიკის შიგნით არსებული ტერმინალიდან და არა მოწყობილობიდან, რომელიც მას გვერდს უვლის. არასწორი ჰოსტი თავდაჯერებულ არასწორ პასუხს იძლევა.

curl -4 -sS https://api.ipify.org; echo
curl -6 -sS https://api64.ipify.org; echo
ip route get 1.1.1.1

თუ ორივე მოწყობილობა ერთსა და იმავე IPv4 მისამართს ბეჭდავს, ისინი ერთ გასასვლელს იზიარებენ, მიუხედავად იმისა, რამდენი გვირაბია აწეული. შემდეგ გადაწყვიტეთ, რა მოხდება, როცა გვირაბი ვარდება: კლიენტი, რომელიც პირდაპირ გზაზე ბრუნდება, ორივე მოწყობილობას სახლის მისამართზე აბრუნებს და გამიჯვნა შეცდომის გარეშე ქრება. დაადასტურეთ ეს დაბრუნების ქცევა სანამ მოწყობას ორ გასასვლელად აღწერთ, და გახსოვდეთ, რომ სხვადასხვა მისამართი ქსელის შედეგია და არა ორი ანონიმური იდენტობა.