Dua peranti, satu Wi-Fi, laluan keluar VPN berbeza: apa yang menentukan

Dua komputer riba pada router rumah yang sama boleh mencapai internet melalui laluan keluar VPN yang berbeza, dan Wi-Fi yang dikongsi tidak ada kaitan dengannya. Yang menentukan hasilnya ialah di mana terowong berjalan dan dasar mana yang memilih laluan bagi setiap permintaan. Kepercayaan sebaliknya sama lazim dan sama salahnya: dua peranti dengan profil berasingan tidak menghasilkan dua alamat awam secara automatik. Kedua-dua kesilapan datang daripada menganggap satu alamat sebagai tiga.

Tiga alamat, dan hanya satu daripadanya keluar

Komputer riba mempunyai alamat LAN rumah yang mengenal pastinya pada segmen setempat, dan ia mungkin juga mempunyai alamat terowong yang diberikan di dalam VPN. Kedua-duanya tidak kelihatan kepada perkhidmatan jauh. Apa yang direkodkan oleh perkhidmatan itu ialah alamat keluar awam peranti yang akhirnya menghantar paket, selepas sebarang terjemahan di sepanjang laluan.

RFC 3022 menarik perbezaan yang menjelaskan sebahagian besar kekeliruan di sini. NAT tradisional memetakan alamat dalaman kepada alamat awam, manakala terjemahan port membolehkan banyak alamat dalaman berkongsi satu alamat awam pada masa yang sama. Isi rumah dengan satu alamat awam dan beberapa peranti ialah kes kedua, dan itulah lalai hampir di mana-mana.

Kira alamat awam, bukan profil. Dua klien dengan alamat terowong berbeza dan dasar keluar yang sama menghasilkan satu alamat yang diperhatikan, dan satu klien dengan laluan keluar yang dihalakan secara berbeza boleh menghasilkan yang lain. Perbandingan tunggal itu ialah keseluruhan ujian. Segala yang lain ialah andaian tentang hujung jauh.

Apa yang menjadikan dua laluan keluar benar-benar berbeza

Sesuatu laluan keluar berbeza apabila peranti terakhir sebelum internet menggunakan alamat awam yang berbeza untuk trafik itu. Ini boleh berlaku kerana VPN tamat di lokasi lain, kerana kumpulan laluan keluar memberikan alamat lain, atau kerana penyedia menghalakan permintaan melalui laluan keluar lain. Ketiga-tiganya keputusan dasar yang dibuat di hujung jauh, dan tiada satu pun kelihatan dari router rumah.

Dua peranti yang masing-masing menjalankan klien sendiri dengan profil yang sama biasanya mendarat dalam kumpulan yang sama dan sering menerima laluan keluar yang sama untuk sesi tertentu. Itu bukan pepijat, itu tingkah laku normal kumpulan yang dikongsi. Mendapatkan laluan keluar yang berbeza biasanya bermakna meminta peruntukan berbeza daripada perkhidmatan, bukan mengkonfigurasi klien dua kali.

Baca terma perkhidmatan tentang sambungan serentak sebelum mereka bentuk berdasarkan jaminan. Log masuk kedua ialah kebenaran untuk menyambung, bukan janji alamat eksklusif. Jika terma senyap, tanya penyedia dan bukannya menganggap. Jawapannya mengubah reka bentuk lebih daripada mana-mana tetapan klien.

Mengapa profil berasingan bukan laluan keluar berasingan

Profil menerangkan cara mencapai VPN dan cara mengesahkan, dan ia hampir tidak menyatakan apa yang berlaku selepas itu. Laluan keluar dipilih oleh hujung jauh, tempat penghalakan, kumpulan alamat dan dasar terjemahan berada. Menduplikasi profil pada mesin kedua menduplikasi konfigurasi klien, bukan keputusan pelayan.

Sebaliknya juga benar. Satu pelayan VPN boleh membentangkan lebih daripada satu laluan keluar awam apabila penghalakan dan dasar terjemahannya dibina sedemikian, manakala pelayan berasingan boleh menyuap satu laluan keluar hiliran. Jadi bilangan nama pelayan dalam konfigurasi anda tidak menyatakan apa-apa tentang bilangan alamat. Itulah sebabnya konfigurasi ialah tempat yang salah untuk mencari jawapan ini.

Satu-satunya jawapan yang boleh dipercayai datang daripada permintaan yang dibuat melalui susunan yang anda mahu gunakan. Segala yang lain ialah inferens.

Di mana hendak meletakkan pemisahan

Terowong router meliputi seluruh isi rumah, yang memudahkan dan menghasilkan tepat satu laluan keluar dikongsi bagi setiap peranti di belakangnya. Klien pada setiap peranti memberi anda kawalan setiap peranti tetapi memerlukan setiap peranti disediakan dan kekal disediakan. Router berkemampuan dasar berada di tengah, memilih laluan bagi setiap peranti, dan ia hanya berfungsi jika ia boleh mengenal pasti peranti dengan boleh dipercayai merentas sambungan semula dan perubahan DHCP.

Mencipta satu lagi pajakan DHCP peribadi pada router bukanlah sama dengan mencipta satu lagi alamat awam. Ia mengubah pandangan setempat dan membiarkan laluan keluar tidak tersentuh. Pemisahan itu hidup dalam dasar laluan keluar, sama ada dasar itu pada router atau pada perkhidmatan VPN.

Apa pun bentuk yang anda pilih, catatkan pemilikan: siapa menyediakan peranti, siapa menukar kelayakannya, dan siapa perasan apabila ia berhenti menggunakan laluan yang dimaksudkan.

Periksa laluan keluar yang sebenarnya anda peroleh

Lakukan pemeriksaan dari aplikasi yang penting, dan bandingkan keluarga alamat yang sama pada kedua-dua peranti. Keputusan IPv4 daripada satu dan keputusan IPv6 daripada yang lain tidak membuktikan apa-apa tentang mana-mana. Kemudian ulangi pemeriksaan selepas sambungan semula, kerana peruntukan kumpulan boleh berubah antara sesi.

Jalankannya dari terminal di dalam dasar terowong, bukan dari peranti yang memintasnya. Hos yang salah menghasilkan jawapan salah yang penuh yakin.

curl -4 -sS https://api.ipify.org; echo
curl -6 -sS https://api64.ipify.org; echo
ip route get 1.1.1.1

Jika kedua-dua peranti mencetak alamat IPv4 yang sama, mereka berkongsi satu laluan keluar tanpa mengira berapa banyak terowong yang aktif. Kemudian tentukan apa yang berlaku apabila terowong gagal: klien yang kembali ke laluan langsung meletakkan kedua-dua peranti kembali pada alamat rumah, dan pemisahan itu hilang tanpa ralat. Sahkan tingkah laku kembali itu sebelum anda menggambarkan susunan sebagai dua laluan keluar, dan ingat bahawa alamat berbeza ialah hasil rangkaian dan bukan dua identiti tanpa nama.