Zwee Apparater, eng Wi-Fi, verschidde VPN-Ausgäng: wat entscheet

Zwee Laptopen um selwechten Heemrouter kënnen duerch verschidden VPN-Ausgäng an den Internet kommen, an d'gedeelt Wi-Fi huet dozou näischt ze soen. Wat d'Resultat entscheet, ass wou den Tunnel leeft a wéi eng Politik de Wee fir all Ufro wielt. Déi entgéintgesat Iwwerzeegung ass grad esou verbreet an grad esou falsch: zwee Apparater mat getrennte Profiler produzéieren net automatesch zwou ëffentlech Adressen. Béid Feeler kommen dohier, datt ee mat enger Adress ëmgeet wéi wann et dräi wieren.

Dräi Adressen, an nëmmen eng dovun geet eraus

E Laptop huet eng Heem-LAN-Adress, déi en um lokalen Segment identifizéiert, an en kann och eng Tunneladress hunn, déi bannent dem VPN zougewisen ass. Keng vun deenen zwee ass fir en entfernte Service sichtbar. Wat dee Service festhält, ass d'ëffentlech Ausgangsadress vum Apparat, deen de Paket schlussendlech schéckt, no all Iwwersetzung ënnerwee.

RFC 3022 zitt den Ënnerscheed, deen de gréissten Deel vun der Verwierrung hei erkläert. Traditionellt NAT mappt intern Adressen op ëffentlech, wärend Portiwwersetzung et ville internen Adressen erlaabt, gläichzäiteg eng eenzeg ëffentlech Adress ze deelen. En Haushalt mat enger ëffentlecher Adress a méi Apparater ass den zweete Fall, an dat ass bal iwwerall de Standard.

Zielt d'ëffentlech Adressen, net d'Profiler. Zwee Cliente mat verschiddenen Tunneladressen an der selwechter Ausgangspolitik ginn eng observéiert Adress, an ee eenzege Client mat anescht geroutem Ausgang ka eng aner ginn. Dee eenzege Verglach ass de ganzen Test. Alles anescht ass eng Unnahme iwwer déi wäit Säit.

Wat zwee Ausgäng wierklech verschidden mécht

En Ausgang ass anescht, wann de leschten Apparat virum Internet fir dee Verkéier eng aner ëffentlech Adress benotzt. Dat kann geschéien, well de VPN op enger anerer Plaz ophält, well de Ausgangspool eng aner Adress vergëtt, oder well de Fournisseur d'Ufro iwwer en aneren Ausgang leet. All dräi sinn Politikentscheedungen op der wäiter Säit, an keng dovun ass vum Heemrouter aus sichtbar.

Zwee Apparater, déi all säin eegene Client mat dem selwechte Profil lafe léisst, lande meeschtens am selwechte Pool a kréien dacks de selwechten Ausgang fir eng bestëmmte Sessioun. Dat ass kee Feeler, dat ass dat normalt Verhalen vun engem gedeelte Pool. Verschidden Ausgäng ze kréien heescht meeschtens, de Service ëm verschidden Zouweisunge froen, amplaz de Client zweemol ze konfiguréieren.

Liest d'Conditioune vum Service iwwer gläichzäiteg Verbindungen, ier Dir ronderëm eng Garantie plangt. Eng zweet Umeldung ass eng Erlaabnis fir ze verbannen, keen Verspriechen op eng exklusiv Adress. Wa d'Conditiounen schweigen, frot de Fournisseur amplaz unzehuelen. D'Äntwert ännert den Design méi wéi all Clientastellung.

Firwat getrennte Profiler keng getrennten Ausgäng sinn

E Profil beschreift, wéi een de VPN erreecht a wéi een sech authentifizéiert, an en seet bal näischt iwwer dat, wat duerno geschitt. Den Ausgang wielt déi wäit Säit, wou Routing, Adresspools an Iwwersetzungspolitik wunnen. E Profil op enger zweeter Maschinn duplizéieren duplizéiert d'Clientkonfiguratioun, net d'Entscheedung vum Server.

Och ëmgedréit gëlt et. Ee VPN-Server ka méi wéi een ëffentlechen Ausgang ubidden, wann seng Routing an Iwwersetzungspolitik sou gebaut sinn, wärend getrennte Serveren een eenzegen ënneschten Ausgang fiddere kënnen. Dofir seet d'Zuel vun de Servernimm an Ärer Konfiguratioun näischt iwwer d'Zuel vun den Adressen. Dofir ass d'Konfiguratioun déi falsch Plaz, fir dës Äntwert ze sichen.

Déi eenzeg zouverlässeg Äntwert kënnt aus enger Ufro duerch de Setup, deen Dir wëllt benotzen. Alles anescht ass eng Ofleedung.

Wou d'Trennung soll stoen

En Routertunnel deckt de ganzen Haushalt of, wat praktesch ass an genau een gedeelten Ausgang fir all Apparat hannendrun gëtt. E Client op all Apparat gëtt Iech Kontroll pro Apparat, awer verlaangt, datt all Apparat bereetgestallt gëtt a bereet bleift. En routerfähegen Router sëtzt dertëschent, wielt ee Wee pro Apparat, an en funktionéiert nëmmen, wa en d'Apparater zouverlässeg iwwer Neiverbindungen an DHCP-Ännerungen erkennt.

Nach eng privat DHCP-lease um Router uleege ass net datselwecht wéi nach eng ëffentlech Adress uleege. Et ännert déi lokal Vue a léisst den Ausgang onberüert. D'Trennung lieft an der Ausgangspolitik, ob déi Politik um Router oder beim VPN-Service ass.

Wéi eng Form Dir och wielt, schreift d'Eegentum op: wien en Apparat bereetstellt, wien seng Umeldungsdaten erneiert, a wien et mierkt, wann en ophält, de virgesi Wee ze benotzen.

Kuckt den Ausgang no, deen Dir tatsächlech krut

Maacht d'Kontroll vun der Applikatioun aus, déi zielt, a vergläicht déiselwecht Adressfamill op béiden Apparater. En IPv4-Resultat vum engen an en IPv6-Resultat vum aneren beweist näischt iwwer ee vun deenen zwee. Widderhuelt duerno d'Kontroll no enger Neiverbindung, well d'Poolzouweisung tëschent Sessiounen ännere kann.

Fuert et vun engem Terminal bannent der Tunnelpolitik aus, net vun engem Apparat, deen se ëmgeet. Den falsche Host gëtt eng zouversiichtlech falsch Äntwert.

curl -4 -sS https://api.ipify.org; echo
curl -6 -sS https://api64.ipify.org; echo
ip route get 1.1.1.1

Wa béid Apparater déiselwecht IPv4-Adress printen, deelen se een Ausgang egal wéi vill Tunnelen op sinn. Entscheet dann, wat geschitt, wann den Tunnel feelt: e Client, deen op de direkte Wee zréckfält, setzt béid Apparater zréck op d'Heemadress, an d'Trennung verschwënnt ouni Feeler. Bestätegt dëst Zréckfallverhalen, ier Dir den Opbau als zwee Ausgäng beschreift, a denkt drun, datt verschidden Adressen en Netzwierkresultat sinn an net zwou anonym Identitéiten.