Două dispozitive, un singur Wi-Fi, ieșiri VPN diferite: ce decide

Două laptopuri conectate la același router de acasă pot ajunge pe internet prin ieșiri VPN diferite, iar Wi-Fi-ul partajat nu are nimic de spus despre asta. Rezultatul este decis de locul unde rulează tunelul și de politica ce alege calea pentru fiecare cerere. Convingerea opusă este la fel de răspândită și la fel de greșită: două dispozitive cu profiluri separate nu produc automat două adrese publice. Ambele erori vin din tratarea unei adrese ca și cum ar fi trei.

Trei adrese, și doar una dintre ele iese

Un laptop are o adresă în LAN-ul de acasă care îl identifică în segmentul local și poate avea și o adresă de tunel atribuită în interiorul VPN-ului. Niciuna dintre ele nu este vizibilă pentru un serviciu la distanță. Ceea ce înregistrează acel serviciu este adresa publică de ieșire a dispozitivului care trimite în final pachetul, după orice traducere de pe traseu.

RFC 3022 trasează distincția care explică cea mai mare parte a confuziei de aici. NAT-ul tradițional mapează adrese interne pe adrese publice, în timp ce traducerea de porturi permite multor adrese interne să partajeze o singură adresă publică în același timp. O gospodărie cu o adresă publică și mai multe dispozitive este al doilea caz și este implicitul aproape peste tot.

Numărați adresele publice, nu profilurile. Doi clienți cu adrese de tunel diferite și aceeași politică de ieșire produc o singură adresă observată, iar un singur client cu o ieșire rutată altfel poate produce alta. Acea singură comparație este tot testul. Orice altceva este o presupunere despre capătul îndepărtat.

Ce face două ieșiri cu adevărat diferite

O ieșire este diferită atunci când ultimul dispozitiv dinaintea internetului folosește o altă adresă publică pentru acel trafic. Acest lucru se poate întâmpla pentru că VPN-ul se termină în alt loc, pentru că grupul de ieșiri atribuie altă adresă sau pentru că furnizorul rutează cererea printr-o altă ieșire. Toate trei sunt decizii de politică luate la capătul îndepărtat și niciuna nu este vizibilă de la routerul de acasă.

Două dispozitive care rulează fiecare propriul client cu același profil ajung de obicei în același grup și primesc adesea aceeași ieșire pentru o sesiune dată. Nu este un defect, este comportamentul normal al unui grup partajat. Obținerea unor ieșiri distincte înseamnă de obicei să ceri serviciului atribuiri distincte, nu să configurezi clientul de două ori.

Citiți termenii serviciului despre conexiunile simultane înainte de a proiecta în jurul unei garanții. O a doua autentificare este permisiunea de a te conecta, nu o promisiune a unei adrese exclusive. Dacă termenii tac, întrebați furnizorul în loc să presupuneți. Răspunsul schimbă proiectul mai mult decât orice setare a clientului.

De ce profilurile separate nu sunt ieșiri separate

Un profil descrie cum se ajunge la VPN și cum se autentifică, și nu spune aproape nimic despre ce se întâmplă după aceea. Ieșirea este aleasă de capătul îndepărtat, unde trăiesc rutarea, grupurile de adrese și politica de traducere. Duplicarea unui profil pe o a doua mașină duplică configurația clientului, nu decizia serverului.

Și invers este adevărat. Un server VPN poate prezenta mai mult de o ieșire publică atunci când rutarea și politica lui de traducere sunt construite astfel, în timp ce servere separate pot alimenta o singură ieșire în aval. Deci numărul de nume de servere din configurație nu spune nimic despre numărul de adrese. De aceea configurația este locul greșit în care să cauți acest răspuns.

Singurul răspuns fiabil vine dintr-o cerere făcută prin aranjamentul pe care intenționați să îl folosiți. Orice altceva este inferență.

Unde să punem separarea

Un tunel pe router acoperă întreaga gospodărie, ceea ce este comod și produce exact o ieșire partajată pentru fiecare dispozitiv din spatele lui. Un client pe fiecare dispozitiv vă dă control pe dispozitiv, dar cere ca fiecare dispozitiv să fie pregătit și să rămână pregătit. Un router capabil de politici stă între ele, alege o cale pe dispozitiv, și funcționează doar dacă poate identifica dispozitivele în mod fiabil peste reconectări și modificări DHCP.

Crearea unei alte concesiuni DHCP private pe router nu este același lucru cu crearea unei alte adrese publice. Schimbă imaginea locală și lasă ieșirea neatinsă. Separarea trăiește în politica de ieșire, fie că acea politică este pe router sau la serviciul VPN.

Orice formă ați alege, notați proprietatea: cine pregătește un dispozitiv, cine îi rotește acreditările și cine observă când încetează să mai folosească calea dorită.

Verificați ieșirea pe care ați obținut-o de fapt

Faceți verificarea din aplicația care contează și comparați aceeași familie de adrese pe ambele dispozitive. Un rezultat IPv4 de la unul și un rezultat IPv6 de la celălalt nu dovedesc nimic despre niciunul. Apoi repetați verificarea după o reconectare, pentru că atribuirea din grup se poate schimba între sesiuni.

Rulați-o dintr-un terminal din interiorul politicii tunelului, nu de pe un dispozitiv care o ocolește. Gazda greșită produce un răspuns greșit și sigur pe sine.

curl -4 -sS https://api.ipify.org; echo
curl -6 -sS https://api64.ipify.org; echo
ip route get 1.1.1.1

Dacă ambele dispozitive afișează aceeași adresă IPv4, ele partajează o ieșire indiferent câte tuneluri sunt active. Apoi decideți ce se întâmplă când tunelul eșuează: un client care revine pe calea directă readuce ambele dispozitive pe adresa de acasă, iar separarea dispare fără eroare. Confirmați acel comportament de revenire înainte de a descrie aranjamentul ca două ieșiri și țineți minte că adrese diferite sunt un rezultat de rețea, nu două identități anonime.