Du įrenginiai, vienas Wi-Fi, skirtingos VPN išėjimo vietos: kas tai lemia

Du nešiojamieji kompiuteriai tame pačiame namų maršrutizatoriuje gali pasiekti internetą per skirtingas VPN išėjimo vietas, o bendras Wi-Fi tam nieko neturi pasakyti. Rezultatą lemia tai, kur veikia tunelis ir kokia politika parenka kelią kiekvienai užklausai. Priešinga nuomonė yra tokia pat paplitusi ir tokia pat klaidinga: du įrenginiai su atskirais profiliais automatiškai nesukuria dviejų viešųjų adresų. Abi klaidos kyla iš to, kad vienas adresas traktuojamas taip, tarsi jų būtų trys.

Trys adresai, ir tik vienas jų išeina

Nešiojamasis kompiuteris turi namų LAN adresą, kuris jį identifikuoja vietiniame segmente, ir gali turėti tunelio adresą, priskirtą VPN viduje. Nė vienas jų nėra matomas nuotolinei paslaugai. Tai, ką ta paslauga įrašo, yra viešasis įrenginio, kuris galiausiai siunčia paketą, išėjimo adresas, po bet kokio vertimo kelyje.

RFC 3022 nubrėžia skirtumą, kuris paaiškina didžiąją dalį čia kylančios painiavos. Tradicinis NAT susieja vidinius adresus su viešaisiais, o prievadų vertimas leidžia daugeliui vidinių adresų vienu metu dalytis vienu viešuoju adresu. Namų ūkis su vienu viešuoju adresu ir keliais įrenginiais yra antrasis atvejis, ir tai beveik visur yra numatytoji nuostata.

Skaičiuokite viešuosius adresus, o ne profilius. Du klientai su skirtingais tunelio adresais ir ta pačia išėjimo politika duoda vieną stebimą adresą, o vienas klientas su kitaip maršrutizuota išėjimo vieta gali duoti kitą. Tas vienas palyginimas yra visas testas. Visa kita yra prielaida apie tolimąją pusę.

Kas iš tikrųjų padaro dvi išėjimo vietas skirtingas

Išėjimo vieta yra skirtinga, kai paskutinis įrenginys prieš internetą tam srautui naudoja kitą viešąjį adresą. Taip gali nutikti todėl, kad VPN baigiasi kitoje vietoje, kad išėjimų telkinys priskiria kitą adresą, arba kad teikėjas nukreipia užklausą per kitą išėjimą. Visi trys yra politikos sprendimai, priimti tolimojoje pusėje, ir nė vienas iš jų nematomas iš namų maršrutizatoriaus.

Du įrenginiai, kurių kiekvienas paleidžia savo klientą su tuo pačiu profiliu, paprastai patenka į tą patį telkinį ir dažnai gauna tą pačią išėjimo vietą tam tikrai sesijai. Tai ne gedimas, tai įprastas bendro telkinio elgesys. Norint gauti atskiras išėjimo vietas, paprastai reikia paprašyti paslaugos atskirų priskyrimų, o ne du kartus konfigūruoti klientą.

Prieš projektuodami remdamiesi garantija, perskaitykite paslaugos sąlygas apie vienalaikes jungtis. Antras prisijungimas yra leidimas jungtis, o ne pažadas dėl išskirtinio adreso. Jei sąlygos tyli, paklauskite teikėjo, o ne darykite prielaidų. Atsakymas pakeičia dizainą labiau nei bet koks kliento nustatymas.

Kodėl atskiri profiliai nėra atskiros išėjimo vietos

Profilis aprašo, kaip pasiekti VPN ir kaip autentifikuotis, ir beveik nieko nesako apie tai, kas vyksta po to. Išėjimo vietą parenka tolimoji pusė, kur gyvena maršrutizavimas, adresų telkiniai ir vertimo politika. Profilio dubliavimas antroje mašinoje dubliuoja kliento konfigūraciją, o ne serverio sprendimą.

Ir atvirkščiai. Vienas VPN serveris gali pateikti daugiau nei vieną viešąją išėjimo vietą, kai jo maršrutizavimas ir vertimo politika taip sukonstruoti, o atskiri serveriai gali maitinti vieną pasroviui esančią išėjimo vietą. Taigi serverių pavadinimų skaičius jūsų konfigūracijoje nieko nesako apie adresų skaičių. Todėl konfigūracija yra netinkama vieta ieškoti šio atsakymo.

Vienintelis patikimas atsakymas gaunamas iš užklausos, atliktos per tą išdėstymą, kurį ketinate naudoti. Visa kita yra išvedimas.

Kur dėti atskyrimą

Maršrutizatoriaus tunelis apima visą namų ūkį, o tai patogu ir sukuria lygiai vieną bendrą išėjimo vietą kiekvienam už jo esančiam įrenginiui. Klientas kiekviename įrenginyje suteikia valdymą pagal įrenginį, bet reikalauja, kad kiekvienas įrenginys būtų paruoštas ir liktų paruoštas. Politikai pajėgus maršrutizatorius stovi per vidurį, parenka kelią pagal įrenginį, ir jis veikia tik tada, kai gali patikimai atpažinti įrenginius per pakartotinius prisijungimus ir DHCP pakeitimus.

Dar vienos privačios DHCP nuomos maršrutizatoriuje sukūrimas nėra tas pats, kas dar vieno viešojo adreso sukūrimas. Tai pakeičia vietinį vaizdą, o išėjimo vietą palieka nepaliestą. Atskyrimas gyvena išėjimo politikoje, nesvarbu, ar ta politika yra maršrutizatoriuje, ar VPN paslaugoje.

Kokią formą bepasirinktumėte, užsirašykite atsakomybę: kas paruošia įrenginį, kas keičia jo prisijungimo duomenis ir kas pastebi, kai jis nustoja naudoti numatytą kelią.

Patikrinkite, kokią išėjimo vietą iš tikrųjų gavote

Tikrinkite iš programos, kuri svarbi, ir palyginkite tą pačią adresų šeimą abiejuose įrenginiuose. IPv4 rezultatas iš vieno ir IPv6 rezultatas iš kito nieko neįrodo apie nė vieną. Tada pakartokite patikrinimą po pakartotinio prisijungimo, nes telkinio priskyrimas gali pasikeisti tarp sesijų.

Vykdykite tai iš terminalo tunelio politikos viduje, o ne iš įrenginio, kuris ją apeina. Netinkamas mazgas pateikia užtikrintą neteisingą atsakymą.

curl -4 -sS https://api.ipify.org; echo
curl -6 -sS https://api64.ipify.org; echo
ip route get 1.1.1.1

Jei abu įrenginiai rodo tą patį IPv4 adresą, jie dalijasi viena išėjimo vieta, nesvarbu, kiek tunelių įjungta. Tada nuspręskite, kas atsitinka, kai tunelis sugenda: klientas, kuris grįžta prie tiesioginio kelio, grąžina abu įrenginius į namų adresą, ir atskyrimas išnyksta be klaidos. Patvirtinkite šį grįžimo elgesį prieš apibūdindami išdėstymą kaip dvi išėjimo vietas, ir atsiminkite, kad skirtingi adresai yra tinklo rezultatas, o ne dvi anoniminės tapatybės.