Dva uređaja, jedna Wi-Fi mreža, različiti VPN izlazi: šta odlučuje

Dva laptopa na istom kućnom ruteru mogu doći na internet kroz različite VPN izlaze, a zajednička Wi-Fi mreža o tome nema šta reći. Ishod određuje gde tunel radi i koja politika bira put za svaki zahtev. Suprotno uverenje jednako je često i jednako pogrešno: dva uređaja sa odvojenim profilima ne proizvode automatski dve javne adrese. Obe greške dolaze iz toga što se jedna adresa tretira kao tri.

Tri adrese, a samo jedna od njih izlazi

Laptop ima adresu u kućnoj LAN mreži koja ga identifikuje na lokalnom segmentu, a može imati i adresu tunela dodeljenu unutar VPN-a. Nijedna od njih nije vidljiva udaljenoj usluzi. Ono što ta usluga beleži jest javna izlazna adresa uređaja koji na kraju pošalje paket, nakon bilo kakvog prevođenja na putu.

RFC 3022 povlači razliku koja objašnjava većinu zabune ovde. Tradicionalni NAT preslikava interne adrese na javne, dok prevođenje portova omogućava mnogim internim adresama da istovremeno dele jednu javnu adresu. Domaćinstvo sa jednom javnom adresom i nekoliko uređaja drugi je slučaj, i to je podrazumevano gotovo svuda.

Brojte javne adrese, ne profile. Dva klijenta sa različitim adresama tunela i istom izlaznom politikom daju jednu posmatranu adresu, a jedan klijent sa drukčije rutiranim izlazom može dati drugu. To jedno poređenje ceo je test. Sve ostalo je pretpostavka o udaljenoj strani.

Šta dva izlaza zaista čini različitim

Izlaz je različit kada poslednji uređaj pre interneta koristi drugu javnu adresu za taj saobraćaj. To se može dogoditi jer VPN završava na drugom mestu, jer izlazni bazen dodeljuje drugu adresu ili jer provajder usmerava zahtev kroz drugi izlaz. Sve tri su političke odluke donete na udaljenoj strani i nijedna nije vidljiva sa kućnog rutera.

Dva uređaja koja svaki pokreću sopstveni klijent sa istim profilom obično završe u istom bazenu i često dobiju isti izlaz za datu sesiju. To nije greška, to je normalno ponašanje zajedničkog bazena. Dobijanje različitih izlaza obično znači tražiti od usluge različite dodele, a ne konfigurisati klijent dvaput.

Pročitajte uslove usluge o istovremenim vezama pre nego što dizajnirate oko garancije. Druga prijava je dozvola za povezivanje, a ne obećanje ekskluzivne adrese. Ako uslovi ćute, pitajte provajdera umesto da pretpostavljate. Odgovor menja dizajn više od bilo koje postavke klijenta.

Zašto odvojeni profili nisu odvojeni izlazi

Profil opisuje kako doći do VPN-a i kako se autentifikovati, a gotovo ništa ne govori o tome šta se događa posle. Izlaz bira udaljena strana, gde žive rutiranje, bazeni adresa i politika prevođenja. Umnožavanje profila na drugom računaru umnožava konfiguraciju klijenta, a ne odluku servera.

Vredi i obrnuto. Jedan VPN server može predstaviti više od jednog javnog izlaza kada su njegovo rutiranje i politika prevođenja tako građeni, dok odvojeni serveri mogu napajati jedan nizvodni izlaz. Zato broj imena servera u vašoj konfiguraciji ne govori ništa o broju adresa. Zato je konfiguracija pogrešno mesto za traženje ovog odgovora.

Jedini pouzdan odgovor dolazi iz zahteva upućenog kroz raspored koji nameravate koristiti. Sve ostalo je zaključivanje.

Gde smestiti razdvajanje

Tunel na ruteru pokriva celo domaćinstvo, što je zgodno i daje tačno jedan zajednički izlaz za svaki uređaj iza njega. Klijent na svakom uređaju daje vam kontrolu po uređaju, ali zahteva da se svaki uređaj pripremi i da ostane pripremljen. Ruter sa podrškom za politike stoji između, bira put po uređaju i radi samo ako pouzdano prepoznaje uređaje kroz ponovna povezivanja i promene DHCP-a.

Stvaranje još jednog privatnog DHCP zakupa na ruteru nije isto što i stvaranje još jedne javne adrese. Ono menja lokalnu sliku i ostavlja izlaz netaknutim. Razdvajanje živi u izlaznoj politici, bilo da je ta politika na ruteru ili u VPN usluzi.

Koju god formu odabrali, zapišite vlasništvo: ko priprema uređaj, ko menja njegove verodostojnice i ko primeti kada prestane koristiti predviđeni put.

Proverite izlaz koji ste zaista dobili

Proveru radite iz aplikacije koja je važna i uporedite istu porodicu adresa na oba uređaja. Rezultat IPv4 s jednog i rezultat IPv6 s drugog ne dokazuje ništa ni o jednom. Zatim ponovite proveru nakon ponovnog povezivanja, jer se dodela iz bazena može promeniti između sesija.

Pokrenite to iz terminala unutar politike tunela, a ne sa uređaja koji je zaobilazi. Pogrešan host daje samouveren pogrešan odgovor.

curl -4 -sS https://api.ipify.org; echo
curl -6 -sS https://api64.ipify.org; echo
ip route get 1.1.1.1

Ako oba uređaja ispisuju istu IPv4 adresu, dele izlaz bez obzira na to koliko je tunela podignuto. Zatim odlučite šta se događa kad tunel padne: klijent koji se vrati na direktan put vraća oba uređaja na kućnu adresu i razdvajanje nestaje bez greške. Potvrdite to ponašanje vraćanja pre nego raspored opišete kao dva izlaza i zapamtite da su različite adrese mrežni rezultat, a ne dva anonimna identiteta.