Dy pajisje, një Wi-Fi, dalje VPN të ndryshme: çfarë e vendos

Dy laptopë në të njëjtin ruter shtëpiak mund të arrijnë internetin përmes daljeve të ndryshme VPN, dhe Wi-Fi i përbashkët nuk ka çfarë të thotë për këtë. Rezultatin e vendos vendndodhja ku punon tuneli dhe cila politikë zgjedh rrugën për çdo kërkesë. Besimi i kundërt është po aq i zakonshëm dhe po aq i gabuar: dy pajisje me profile të ndara nuk prodhojnë automatikisht dy adresa publike. Të dyja gabimet vijnë nga trajtimi i një adrese sikur të ishin tre.

Tre adresa, dhe vetëm njëra prej tyre del

Një laptop ka një adresë në LAN-in e shtëpisë që e identifikon në segmentin lokal, dhe mund të ketë edhe një adresë tuneli të caktuar brenda VPN-së. Asnjëra prej tyre nuk është e dukshme për një shërbim të largët. Ajo që regjistron ai shërbim është adresa publike e daljes së pajisjes që në fund e dërgon paketën, pas çdo përkthimi gjatë rrugës.

RFC 3022 tërheq dallimin që shpjegon pjesën më të madhe të konfuzionit këtu. NAT tradicional i harton adresat e brendshme në adresa publike, ndërsa përkthimi i porteve lejon shumë adresa të brendshme të ndajnë një adresë të vetme publike në të njëjtën kohë. Një familje me një adresë publike dhe disa pajisje është rasti i dytë, dhe është parazgjedhja pothuajse kudo.

Numëro adresat publike, jo profilet. Dy klientë me adresa tuneli të ndryshme dhe të njëjtën politikë daljeje prodhojnë një adresë të vëzhguar, dhe një klient i vetëm me një dalje të rrugëzuar ndryshe mund të prodhojë një tjetër. Ai krahasim i vetëm është i gjithë testi. Çdo gjë tjetër është supozim për skajin e largët.

Çfarë i bën dy dalje vërtet të ndryshme

Një dalje është e ndryshme kur pajisja e fundit përpara internetit përdor një adresë tjetër publike për atë trafik. Kjo mund të ndodhë sepse VPN përfundon në një vend tjetër, sepse grupi i daljeve cakton një adresë tjetër, ose sepse ofruesi e rrugëzon kërkesën përmes një daljeje tjetër. Të treja janë vendime politike të marra në skajin e largët, dhe asnjëra nuk është e dukshme nga ruteri i shtëpisë.

Dy pajisje që secila ekzekuton klientin e vet me të njëjtin profil zakonisht përfundojnë në të njëjtin grup dhe shpesh marrin të njëjtën dalje për një sesion të caktuar. Ky nuk është defekt, është sjellja normale e një grupi të përbashkët. Marrja e daljeve të ndryshme zakonisht do të thotë t'i kërkosh shërbimit caktime të ndryshme, jo të konfigurosh klientin dy herë.

Lexo kushtet e shërbimit për lidhjet e njëkohshme përpara se të projektosh rreth një garancie. Një hyrje e dytë është leje për t'u lidhur, jo një premtim për adresë ekskluzive. Nëse kushtet heshtin, pyet ofruesin në vend që të supozosh. Përgjigjja e ndryshon projektimin më shumë se çdo cilësim klienti.

Pse profilet e ndara nuk janë dalje të ndara

Një profil përshkruan si të arrihet VPN-i dhe si të autentifikohesh, dhe nuk thotë pothuajse asgjë për atë që ndodh më pas. Daljen e zgjedh skaji i largët, ku jetojnë rrugëzimi, grupet e adresave dhe politika e përkthimit. Dyfishimi i një profili në një makinë të dytë dyfishon konfigurimin e klientit, jo vendimin e serverit.

E kundërta vlen gjithashtu. Një server VPN mund të paraqesë më shumë se një dalje publike kur rrugëzimi dhe politika e përkthimit janë ndërtuar kështu, ndërsa serverë të ndarë mund të ushqejnë një dalje të vetme në rrjedhën e poshtme. Pra numri i emrave të serverëve në konfigurimin tuaj nuk thotë asgjë për numrin e adresave. Kjo është arsyeja pse konfigurimi është vendi i gabuar për të kërkuar këtë përgjigje.

Përgjigjja e vetme e besueshme vjen nga një kërkesë e bërë përmes rregullimit që synon të përdorësh. Çdo gjë tjetër është përfundim.

Ku ta vendosësh ndarjen

Një tunel në ruter mbulon të gjithë familjen, gjë që është e përshtatshme dhe prodhon saktësisht një dalje të përbashkët për çdo pajisje pas tij. Një klient në çdo pajisje të jep kontroll sipas pajisjes, por kërkon që çdo pajisje të pajiset dhe të mbetet e pajisur. Një ruter i aftë për politika qëndron në mes, zgjedh një rrugë sipas pajisjes, dhe funksionon vetëm nëse mund t'i identifikojë pajisjet në mënyrë të besueshme përgjatë rilidhjeve dhe ndryshimeve të DHCP.

Krijimi i një qiraje tjetër private DHCP në ruter nuk është e njëjta gjë si krijimi i një adrese tjetër publike. Ndryshon pamjen lokale dhe e lë daljen të paprekur. Ndarja jeton në politikën e daljes, qoftë ajo politikë në ruter ose në shërbimin VPN.

Cilëndo formë të zgjedhësh, shkruaj pronësinë: kush pajis një aparat, kush rrotullon kredencialet e tij, dhe kush e vëren kur ai ndalon së përdoruri rrugën e synuar.

Kontrollo daljen që more vërtet

Kryeje kontrollin nga aplikacioni që ka rëndësi, dhe krahaso të njëjtën familje adresash në të dyja pajisjet. Një rezultat IPv4 nga njëra dhe një rezultat IPv6 nga tjetra nuk provojnë asgjë për asnjërën. Pastaj përsërit kontrollin pas një rilidhjeje, sepse caktimi i grupit mund të ndryshojë midis sesioneve.

Ekzekutoje nga një terminal brenda politikës së tunelit, jo nga një pajisje që e shmang atë. Pritësi i gabuar jep një përgjigje të gabuar dhe të sigurt.

curl -4 -sS https://api.ipify.org; echo
curl -6 -sS https://api64.ipify.org; echo
ip route get 1.1.1.1

Nëse të dyja pajisjet shtypin të njëjtën adresë IPv4, ato ndajnë një dalje, pavarësisht sa tunele janë aktivë. Pastaj vendos çfarë ndodh kur tuneli dështon: një klient që kthehet në rrugën e drejtpërdrejtë i kthen të dyja pajisjet në adresën e shtëpisë, dhe ndarja zhduket pa gabim. Konfirmo atë sjellje kthimi përpara se ta përshkruash rregullimin si dy dalje, dhe mbaj mend se adresa të ndryshme janë rezultat i rrjetit dhe jo dy identitete anonime.