Divas ierīces, viens Wi-Fi, dažādas VPN izejas: kas to nosaka

Divi portatīvie datori vienā mājas maršrutētājā var sasniegt internetu pa dažādām VPN izejām, un koplietotajam Wi-Fi šajā jautājumā nav nekā ko teikt. Rezultātu nosaka tas, kur darbojas tunelis un kura politika izvēlas ceļu katram pieprasījumam. Pretējais uzskats ir tikpat izplatīts un tikpat nepareizs: divas ierīces ar atsevišķiem profiliem automātiski nerada divas publiskās adreses. Abas kļūdas rodas no tā, ka viena adrese tiek uzlūkota kā trīs.

Trīs adreses, un tikai viena no tām iziet

Portatīvajam datoram ir mājas LAN adrese, kas to identificē lokālajā segmentā, un tam var būt arī VPN iekšienē piešķirta tuneļa adrese. Neviena no tām nav redzama attālinātam pakalpojumam. Tas, ko šis pakalpojums reģistrē, ir tās ierīces publiskā izejas adrese, kas galu galā nosūta paketi, pēc jebkuras tulkošanas ceļā.

RFC 3022 novelk atšķirību, kas izskaidro lielāko daļu neskaidrību šeit. Tradicionālais NAT kartē iekšējās adreses uz publiskajām, savukārt portu tulkošana ļauj daudzām iekšējām adresēm vienlaikus koplietot vienu publisko adresi. Mājsaimniecība ar vienu publisko adresi un vairākām ierīcēm ir otrais gadījums, un tā gandrīz visur ir noklusējums.

Skaitiet publiskās adreses, nevis profilus. Divi klienti ar dažādām tuneļa adresēm un vienu un to pašu izejas politiku dod vienu novēroto adresi, un viens klients ar citādi maršrutētu izeju var dot citu. Šis viens salīdzinājums ir viss tests. Viss pārējais ir pieņēmums par tālo pusi.

Kas divas izejas patiešām padara atšķirīgas

Izeja ir atšķirīga, ja pēdējā ierīce pirms interneta šim trafikam izmanto citu publisko adresi. Tas var notikt tāpēc, ka VPN beidzas citā vietā, tāpēc, ka izeju kopums piešķir citu adresi, vai tāpēc, ka pakalpojumu sniedzējs maršrutē pieprasījumu pa citu izeju. Visi trīs ir politikas lēmumi, kas pieņemti tālajā pusē, un neviens no tiem nav redzams no mājas maršrutētāja.

Divas ierīces, kur katra palaiž savu klientu ar to pašu profilu, parasti nonāk vienā kopā un bieži saņem to pašu izeju konkrētai sesijai. Tas nav defekts, tā ir koplietota kopuma normāla uzvedība. Lai iegūtu atšķirīgas izejas, parasti ir jālūdz pakalpojumam atšķirīgi piešķīrumi, nevis klients jākonfigurē divreiz.

Pirms projektēšanas uz garantijas pamata izlasiet pakalpojuma noteikumus par vienlaicīgiem savienojumiem. Otra pieteikšanās ir atļauja savienoties, nevis solījums par ekskluzīvu adresi. Ja noteikumi klusē, jautājiet pakalpojumu sniedzējam, nevis pieņemiet. Atbilde maina dizainu vairāk nekā jebkurš klienta iestatījums.

Kāpēc atsevišķi profili nav atsevišķas izejas

Profils apraksta, kā sasniegt VPN un kā autentificēties, un tas gandrīz neko nepasaka par to, kas notiek pēc tam. Izeju izvēlas tālā puse, kur dzīvo maršrutēšana, adrešu kopumi un tulkošanas politika. Profila dublēšana otrā mašīnā dublē klienta konfigurāciju, nevis servera lēmumu.

Spēkā ir arī pretējais. Viens VPN serveris var uzrādīt vairāk nekā vienu publisko izeju, ja tā maršrutēšana un tulkošanas politika ir tā veidota, savukārt atsevišķi serveri var barot vienu lejupēju izeju. Tātad serveru nosaukumu skaits jūsu konfigurācijā neko nepasaka par adrešu skaitu. Tāpēc konfigurācija ir nepareizā vieta, kur meklēt šo atbildi.

Vienīgā uzticamā atbilde nāk no pieprasījuma, kas veikts caur to izkārtojumu, kuru plānojat izmantot. Viss pārējais ir secinājums.

Kur likt atdalījumu

Maršrutētāja tunelis aptver visu mājsaimniecību, kas ir ērti un rada tieši vienu koplietotu izeju katrai ierīcei aiz tā. Klients katrā ierīcē dod jums kontroli pa ierīcēm, bet prasa, lai katra ierīce būtu sagatavota un paliktu sagatavota. Maršrutētājs ar politikas iespējām atrodas pa vidu, izvēlas ceļu katrai ierīcei, un tas darbojas tikai tad, ja spēj uzticami atpazīt ierīces atkārtotu savienojumu un DHCP izmaiņu laikā.

Vēl vienas privātas DHCP nomas izveide maršrutētājā nav tas pats, kas vēl vienas publiskās adreses izveide. Tas maina lokālo skatu un atstāj izeju neskartu. Atdalījums dzīvo izejas politikā, neatkarīgi no tā, vai šī politika ir maršrutētājā vai VPN pakalpojumā.

Lai kādu formu jūs izvēlētos, pierakstiet atbildību: kas sagatavo ierīci, kas maina tās akreditācijas datus un kas pamana, kad tā pārstāj izmantot paredzēto ceļu.

Pārbaudiet izeju, kuru patiešām saņēmāt

Pārbaudi veiciet no lietotnes, kurai ir nozīme, un salīdziniet to pašu adrešu saimi abās ierīcēs. IPv4 rezultāts no vienas un IPv6 rezultāts no otras neko nepierāda par nevienu no tām. Pēc tam atkārtojiet pārbaudi pēc atkārtota savienojuma, jo kopuma piešķīrums starp sesijām var mainīties.

Palaidiet to no termināļa tuneļa politikas iekšienē, nevis no ierīces, kas to apiet. Nepareizais resursdators sniedz pārliecinātu nepareizu atbildi.

curl -4 -sS https://api.ipify.org; echo
curl -6 -sS https://api64.ipify.org; echo
ip route get 1.1.1.1

Ja abas ierīces izdrukā vienu un to pašu IPv4 adresi, tās koplieto vienu izeju neatkarīgi no tā, cik tuneļu ir aktīvi. Pēc tam izlemiet, kas notiek, kad tunelis sabojājas: klients, kas atgriežas pie tiešā ceļa, abas ierīces atgriež mājas adresē, un atdalījums pazūd bez kļūdas. Apstipriniet šo atgriešanās uzvedību, pirms aprakstāt izkārtojumu kā divas izejas, un atcerieties, ka atšķirīgas adreses ir tīkla rezultāts, nevis divas anonīmas identitātes.