Два уреда, еден Wi-Fi, различни VPN излези: што одлучува

Два лаптопа на истиот домашен рутер можат да стигнат до интернет низ различни VPN излези, а споделениот Wi-Fi нема што да каже за тоа. Она што го одредува резултатот е каде работи тунелот и која политика го избира патот за секое барање. Спротивното уверување е исто толку често и исто толку погрешно: два уреда со одделни профили не создаваат автоматски две јавни адреси. Двете грешки доаѓаат оттаму што една адреса се третира како да се три.

Три адреси, а само една од нив излегува

Лаптопот има адреса во домашната LAN мрежа што го идентификува во локалниот сегмент, и може да има и адреса на тунел доделена внатре во VPN-от. Ниту една од двете не е видлива за далечна служба. Она што таа служба го запишува е јавната излезна адреса на уредот што на крајот го праќа пакетот, по секакво преведување на патот.

RFC 3022 ја повлекува разликата што го објаснува најголемиот дел од забуната овде. Традиционалниот NAT ги пресликува внатрешните адреси на јавни, додека преведувањето на порти им овозможува на многу внатрешни адреси истовремено да делат една јавна адреса. Домаќинство со една јавна адреса и неколку уреди е вториот случај, и тоа е стандардот речиси насекаде.

Бројте ги јавните адреси, не профилите. Два клиента со различни адреси на тунел и иста излезна политика даваат една забележана адреса, а еден клиент со поинаку насочен излез може да даде друга. Таа една споредба е целиот тест. Сѐ друго е претпоставка за далечната страна.

Што навистина ги прави два излеза различни

Излезот е различен кога последниот уред пред интернетот користи друга јавна адреса за тој сообраќај. Тоа може да се случи затоа што VPN-от завршува на друго место, затоа што базенот на излези доделува друга адреса, или затоа што давателот на услугата го насочува барањето низ друг излез. Сите три се одлуки за политика донесени на далечната страна, и ниту една не е видлива од домашниот рутер.

Два уреда што секој го води својот клиент со истиот профил обично завршуваат во истиот базен и често го добиваат истиот излез за дадена сесија. Тоа не е дефект, тоа е нормалното однесување на споделен базен. Да се добијат одделни излези обично значи да се побараат одделни доделувања од услугата, а не клиентот да се конфигурира двапати.

Прочитајте ги условите на услугата за истовремени врски пред да проектирате околу гаранција. Второто најавување е дозвола за поврзување, а не ветување за ексклузивна адреса. Ако условите молчат, прашајте го давателот наместо да претпоставувате. Одговорот го менува проектот повеќе од која било поставка на клиентот.

Зошто одделните профили не се одделни излези

Профилот опишува како да се стигне до VPN-от и како да се автентицира, и речиси ништо не кажува за она што се случува потоа. Излезот го избира далечната страна, каде што живеат насочувањето, базените на адреси и политиката за преведување. Умножувањето на профил на втор компјутер ја умножува конфигурацијата на клиентот, а не одлуката на серверот.

Важи и обратното. Еден VPN сервер може да прикаже повеќе од еден јавен излез кога неговото насочување и политиката за преведување се така изградени, додека одделни сервери можат да хранат еден низводен излез. Затоа бројот на имиња на сервери во вашата конфигурација не кажува ништо за бројот на адреси. Затоа конфигурацијата е погрешното место за барање на овој одговор.

Единствениот сигурен одговор доаѓа од барање направено низ распоредот што имате намера да го користите. Сѐ друго е заклучок.

Каде да се постави одвојувањето

Тунелот на рутерот го покрива целото домаќинство, што е практично и создава точно еден споделен излез за секој уред зад него. Клиент на секој уред ви дава контрола по уред, но бара секој уред да биде подготвен и да остане подготвен. Рутер способен за политики стои помеѓу, избира пат по уред, и работи само ако може сигурно да ги препознава уредите низ повторни поврзувања и промени на DHCP.

Создавањето уште еден приватен DHCP закуп на рутерот не е исто како создавање уште една јавна адреса. Тоа го менува локалниот поглед и го остава излезот недопрен. Одвојувањето живее во излезната политика, без разлика дали таа политика е на рутерот или кај VPN услугата.

Која и да е формата што ја избирате, запишете ја сопственоста: кој подготвува уред, кој ги ротира неговите акредитиви и кој забележува кога тој престанува да го користи предвидениот пат.

Проверете го излезот што навистина го добивте

Проверката направете ја од апликацијата што е важна, и споредете го истото семејство адреси на двата уреда. Резултат IPv4 од едниот и резултат IPv6 од другиот не докажуваат ништо за ниту еден од нив. Потоа повторете ја проверката по повторно поврзување, бидејќи доделувањето од базенот може да се смени меѓу сесиите.

Извршете го од терминал внатре во политиката на тунелот, а не од уред што ја заобиколува. Погрешниот домаќин дава самоуверен погрешен одговор.

curl -4 -sS https://api.ipify.org; echo
curl -6 -sS https://api64.ipify.org; echo
ip route get 1.1.1.1

Ако двата уреда ја испишуваат истата IPv4 адреса, тие делат еден излез без оглед на тоа колку тунели се подигнати. Потоа одлучете што се случува кога тунелот ќе откаже: клиентот што се враќа на директниот пат ги враќа двата уреда на домашната адреса, и одвојувањето исчезнува без грешка. Потврдете го тоа однесување на враќање пред да го опишете распоредот како два излеза, и запомнете дека различните адреси се резултат на мрежата, а не два анонимни идентитети.