Napravi dve, en Wi-Fi, različni izhodi VPN: kaj to odloči

Dva prenosnika na istem domačem usmerjevalniku lahko dostopata do interneta skozi različna izhoda VPN, skupni Wi-Fi pa pri tem nima ničesar povedati. Rezultat odloči, kje teče tunel in katera politika izbere pot za vsako zahtevo. Nasprotno prepričanje je enako pogosto in enako napačno: napravi z ločenima profiloma ne ustvarita samodejno dveh javnih naslovov. Obe napaki izhajata iz tega, da se en naslov obravnava, kot da bi bili trije.

Trije naslovi in samo eden od njih izstopi

Prenosnik ima naslov v domačem omrežju LAN, ki ga prepozna v lokalnem segmentu, in ima lahko tudi naslov tunela, dodeljen znotraj VPN-a. Noben od njiju ni viden oddaljeni storitvi. Ta storitev zabeleži javni izhodni naslov naprave, ki paket na koncu pošlje, po kakršnem koli prevajanju na poti.

RFC 3022 začrta razliko, ki pojasni večino tukajšnje zmede. Tradicionalni NAT preslika notranje naslove v javne, medtem ko prevajanje vrat omogoča številnim notranjim naslovom, da si hkrati delijo en javni naslov. Gospodinjstvo z enim javnim naslovom in več napravami je drugi primer in to je privzeto skoraj povsod.

Štejte javne naslove, ne profilov. Dva odjemalca z različnima naslovoma tunela in isto izhodno politiko dasta en opažen naslov, en sam odjemalec z drugače usmerjenim izhodom pa lahko da drugega. Ta ena primerjava je celoten preizkus. Vse ostalo je predpostavka o oddaljenem koncu.

Kaj naredi dva izhoda resnično različna

Izhod je drugačen, ko zadnja naprava pred internetom za ta promet uporablja drug javni naslov. To se lahko zgodi, ker se VPN konča na drugem mestu, ker nabor izhodov dodeli drug naslov ali ker ponudnik usmeri zahtevo skozi drug izhod. Vse tri so politične odločitve, sprejete na oddaljenem koncu, in nobena ni vidna z domačega usmerjevalnika.

Napravi, ki vsaka poganjata svojega odjemalca z istim profilom, običajno pristaneta v istem naboru in pogosto prejmeta isti izhod za dano sejo. To ni napaka, to je običajno vedenje deljenega nabora. Pridobitev različnih izhodov običajno pomeni, da storitev prosite za različne dodelitve, namesto da bi odjemalca nastavili dvakrat.

Preberite pogoje storitve o hkratnih povezavah, preden načrtujete okoli garancije. Druga prijava je dovoljenje za povezavo, ne obljuba izključnega naslova. Če pogoji molčijo, vprašajte ponudnika, namesto da bi domnevali. Odgovor spremeni zasnovo bolj kot katera koli nastavitev odjemalca.

Zakaj ločeni profili niso ločeni izhodi

Profil opisuje, kako doseči VPN in kako se overiti, in skoraj nič ne pove o tem, kaj se zgodi potem. Izhod izbere oddaljeni konec, kjer živijo usmerjanje, nabori naslovov in politika prevajanja. Podvajanje profila na drugem stroju podvoji konfiguracijo odjemalca, ne odločitve strežnika.

Velja tudi obratno. En strežnik VPN lahko predstavi več kot en javni izhod, ko sta njegovo usmerjanje in politika prevajanja tako zgrajena, ločeni strežniki pa lahko napajajo en sam izhod navzdol. Zato število imen strežnikov v vaši konfiguraciji ne pove ničesar o številu naslovov. Zato je konfiguracija napačno mesto za iskanje tega odgovora.

Edini zanesljiv odgovor pride iz zahteve, izvedene skozi ureditev, ki jo nameravate uporabiti. Vse ostalo je sklepanje.

Kam postaviti ločitev

Tunel na usmerjevalniku pokrije celo gospodinjstvo, kar je priročno in ustvari natanko en skupni izhod za vsako napravo za njim. Odjemalec na vsaki napravi vam da nadzor po napravah, a zahteva, da je vsaka naprava pripravljena in ostane pripravljena. Usmerjevalnik s podporo politikami stoji vmes, izbere pot za vsako napravo in deluje le, če lahko naprave zanesljivo prepozna skozi ponovne povezave in spremembe DHCP.

Ustvarjanje še enega zasebnega najema DHCP na usmerjevalniku ni isto kot ustvarjanje še enega javnega naslova. Spremeni lokalno sliko in izhod pusti nedotaknjen. Ločitev živi v izhodni politiki, ne glede na to, ali je ta politika na usmerjevalniku ali pri storitvi VPN.

Ne glede na obliko, ki jo izberete, zapišite lastništvo: kdo pripravi napravo, kdo zamenja njene poverilnice in kdo opazi, ko preneha uporabljati predvideno pot.

Preverite izhod, ki ste ga dejansko dobili

Preverjanje opravite iz aplikacije, ki šteje, in primerjajte isto družino naslovov na obeh napravah. Rezultat IPv4 z ene in rezultat IPv6 z druge ne dokažeta ničesar o nobeni. Nato preverjanje ponovite po ponovni povezavi, ker se dodelitev iz nabora med sejami lahko spremeni.

Zaženite to iz terminala znotraj politike tunela, ne z naprave, ki jo obide. Napačen gostitelj da samozavesten napačen odgovor.

curl -4 -sS https://api.ipify.org; echo
curl -6 -sS https://api64.ipify.org; echo
ip route get 1.1.1.1

Če obe napravi izpišeta isti naslov IPv4, si delita en izhod ne glede na to, koliko tunelov je vzpostavljenih. Nato odločite, kaj se zgodi, ko tunel odpove: odjemalec, ki se vrne na neposredno pot, postavi obe napravi nazaj na domači naslov in ločitev izgine brez napake. Potrdite to vedenje vračanja, preden ureditev opišete kot dva izhoda, in ne pozabite, da so različni naslovi rezultat omrežja in ne dve anonimni identiteti.