Dve zariadenia, jedna Wi-Fi, rôzne výstupy VPN: čo to určuje

Dva notebooky na tom istom domácom routeri môžu na internet vychádzať rôznymi výstupmi VPN a zdieľaná Wi-Fi k tomu nemá čo povedať. Výsledok určuje, kde tunel beží a ktorá politika vyberá cestu pre každú požiadavku. Opačné presvedčenie je rovnako rozšírené a rovnako mylné: dve zariadenia s oddelenými profilmi automaticky nevytvárajú dve verejné adresy. Obe chyby pramenia z toho, že sa jedna adresa berie ako tri.

Tri adresy a len jedna z nich vychádza

Notebook má adresu v domácej LAN, ktorá ho identifikuje v miestnom segmente, a môže mať aj adresu tunela pridelenú vnútri VPN. Ani jedna z nich nie je viditeľná pre vzdialenú službu. Tá služba si zaznamenáva verejnú výstupnú adresu zariadenia, ktoré paket nakoniec odošle, po akomkoľvek preklade na ceste.

RFC 3022 vytyčuje rozdiel, ktorý vysvetľuje väčšinu tu vzniknutého zmätku. Tradičný NAT mapuje vnútorné adresy na verejné, zatiaľ čo preklad portov umožňuje mnohým vnútorným adresám zdieľať jednu verejnú adresu súčasne. Domácnosť s jednou verejnou adresou a niekoľkými zariadeniami je druhý prípad a je to predvolené takmer všade.

Počítajte verejné adresy, nie profily. Dvaja klienti s rôznymi adresami tunela a rovnakou výstupnou politikou dajú jednu pozorovanú adresu a jediný klient s inak smerovaným výstupom môže dať inú. To jediné porovnanie je celý test. Všetko ostatné je predpoklad o vzdialenej strane.

Čo robí dva výstupy skutočne odlišnými

Výstup je iný, keď posledné zariadenie pred internetom používa pre tú prevádzku inú verejnú adresu. Môže sa to stať preto, že VPN končí na inom mieste, pretože výstupný fond prideľuje inú adresu, alebo pretože poskytovateľ smeruje požiadavku cez iný výstup. Všetky tri sú politické rozhodnutia prijaté na vzdialenej strane a žiadne z nich nie je z domáceho routera vidieť.

Dve zariadenia, z ktorých každé prevádzkuje vlastného klienta s rovnakým profilom, zvyčajne skončia v tom istom fonde a často dostanú pre danú reláciu rovnaký výstup. Nie je to chyba, je to normálne správanie zdieľaného fondu. Získať odlišné výstupy zvyčajne znamená požiadať službu o odlišné pridelenia, nie konfigurovať klienta dvakrát.

Prečítajte si podmienky služby o súčasných pripojeniach, skôr než budete stavať na záruke. Druhé prihlásenie je povolenie pripojiť sa, nie sľub výhradnej adresy. Ak podmienky mlčia, opýtajte sa poskytovateľa, namiesto toho aby ste predpokladali. Odpoveď mení návrh viac než akékoľvek nastavenie klienta.

Prečo oddelené profily nie sú oddelené výstupy

Profil opisuje, ako dosiahnuť VPN a ako sa overiť, a takmer nič nehovorí o tom, čo sa stane potom. Výstup vyberá vzdialená strana, kde žije smerovanie, fondy adries a politika prekladu. Duplikovanie profilu na druhom stroji duplikuje konfiguráciu klienta, nie rozhodnutie servera.

Platí to aj opačne. Jeden server VPN môže predstavovať viac než jeden verejný výstup, keď je jeho smerovanie a politika prekladu tak postavená, zatiaľ čo oddelené servery môžu napájať jediný výstup po prúde. Počet názvov serverov vo vašej konfigurácii teda nič nehovorí o počte adries. Preto je konfigurácia nesprávne miesto, kde túto odpoveď hľadať.

Jediná spoľahlivá odpoveď prichádza z požiadavky vykonanej cez usporiadanie, ktoré hodláte použiť. Všetko ostatné je odvodenie.

Kam umiestniť oddelenie

Tunel na routeri pokrýva celú domácnosť, čo je pohodlné a dáva presne jeden zdieľaný výstup pre každé zariadenie za ním. Klient na každom zariadení vám dáva kontrolu po zariadeniach, ale vyžaduje, aby každé zariadenie bolo pripravené a zostalo pripravené. Router s podporou politík stojí medzi tým a vyberá cestu pre každé zariadenie, a funguje len vtedy, keď dokáže zariadenia spoľahlivo rozpoznať naprieč opätovnými pripojeniami a zmenami DHCP.

Vytvorenie ďalšieho súkromného DHCP prenájmu na routeri nie je to isté ako vytvorenie ďalšej verejnej adresy. Mení miestny pohľad a výstup necháva nedotknutý. Oddelenie žije vo výstupnej politike, či už je táto politika na routeri alebo v službe VPN.

Nech si vyberiete akýkoľvek tvar, zapíšte vlastníctvo: kto zariaďuje zariadenie, kto obmieňa jeho prihlasovacie údaje a kto si všimne, keď prestane používať zamýšľanú cestu.

Skontrolujte výstup, ktorý ste skutočne dostali

Kontrolu robte z aplikácie, na ktorej záleží, a porovnajte rovnakú rodinu adries na oboch zariadeniach. Výsledok IPv4 z jedného a výsledok IPv6 z druhého nič nedokazujú ani o jednom. Potom kontrolu zopakujte po opätovnom pripojení, pretože pridelenie z fondu sa medzi reláciami môže zmeniť.

Spúšťajte to z terminálu vnútri politiky tunela, nie zo zariadenia, ktoré ju obchádza. Nesprávny hostiteľ dáva sebavedomú nesprávnu odpoveď.

curl -4 -sS https://api.ipify.org; echo
curl -6 -sS https://api64.ipify.org; echo
ip route get 1.1.1.1

Ak obe zariadenia vypisujú rovnakú adresu IPv4, zdieľajú jeden výstup bez ohľadu na to, koľko tunelov je zapnutých. Potom rozhodnite, čo sa stane, keď tunel zlyhá: klient, ktorý sa vráti na priamu cestu, vráti obe zariadenia na domácu adresu a oddelenie zmizne bez chyby. Potvrďte toto správanie návratu, skôr než usporiadanie opíšete ako dva výstupy, a pamätajte, že rôzne adresy sú sieťový výsledok a nie dve anonymné identity.