Два уређаја, једна Wi-Fi мрежа, различити VPN излази: шта одлучује

Два лаптопа на истом кућном рутеру могу доћи на интернет кроз различите VPN излазе, а заједничка Wi-Fi мрежа о томе нема шта да каже. Исход одређује где тунел ради и која политика бира пут за сваки захтев. Супротно уверење једнако је често и једнако погрешно: два уређаја са одвојеним профилима не производе аутоматски две јавне адресе. Обе грешке долазе отуд што се једна адреса третира као три.

Три адресе, а само једна од њих излази

Лаптоп има адресу у кућној LAN мрежи која га идентификује на локалном сегменту, а може имати и адресу тунела додељену унутар VPN-а. Ниједна од њих није видљива удаљеној услузи. Оно што та услуга бележи јесте јавна излазна адреса уређаја који на крају пошаље пакет, након било каквог превођења на путу.

RFC 3022 повлачи разлику која објашњава већину забуне овде. Традиционални NAT пресликава интерне адресе на јавне, док превођење портова омогућава многим интерним адресама да истовремено деле једну јавну адресу. Домаћинство са једном јавном адресом и неколико уређаја други је случај, и то је подразумевано готово свуда.

Бројте јавне адресе, не профиле. Два клијента са различитим адресама тунела и истом излазном политиком дају једну посматрану адресу, а један клијент са другачије рутираним излазом може дати другу. То једно поређење је цео тест. Све остало је претпоставка о удаљеној страни.

Шта два излаза заиста чини различитим

Излаз је различит када последњи уређај пре интернета користи другу јавну адресу за тај саобраћај. То се може догодити јер VPN завршава на другом месту, јер излазни базен додељује другу адресу или јер провајдер усмерава захтев кроз други излаз. Све три су политичке одлуке донете на удаљеној страни и ниједна није видљива са кућног рутера.

Два уређаја која сваки покрећу сопствени клијент са истим профилом обично заврше у истом базену и често добију исти излаз за дату сесију. То није грешка, то је нормално понашање заједничког базена. Добијање различитих излаза обично значи тражити од услуге различите доделе, а не конфигурисати клијент двапут.

Прочитајте услове услуге о истовременим везама пре него што дизајнирате око гаранције. Друга пријава је дозвола за повезивање, а не обећање ексклузивне адресе. Ако услови ћуте, питајте провајдера уместо да претпостављате. Одговор мења дизајн више од било које поставке клијента.

Зашто одвојени профили нису одвојени излази

Профил описује како доћи до VPN-а и како се аутентификовати, а готово ништа не говори о томе шта се догађа после. Излаз бира удаљена страна, где живе рутирање, базени адреса и политика превођења. Умножавање профила на другом рачунару умножава конфигурацију клијента, а не одлуку сервера.

Вреди и обрнуто. Један VPN сервер може представити више од једног јавног излаза када су његово рутирање и политика превођења тако грађени, док одвојени сервери могу напајати један низводни излаз. Зато број имена сервера у вашој конфигурацији не говори ништа о броју адреса. Зато је конфигурација погрешно место за тражење овог одговора.

Једини поуздан одговор долази из захтева упућеног кроз распоред који намеравате да користите. Све остало је закључивање.

Где сместити раздвајање

Тунел на рутеру покрива цело домаћинство, што је згодно и даје тачно један заједнички излаз за сваки уређај иза њега. Клијент на сваком уређају даје вам контролу по уређају, али захтева да се сваки уређај припреми и да остане припремљен. Рутер са подршком за политике стоји између, бира пут по уређају и ради само ако поуздано препознаје уређаје кроз поновна повезивања и промене DHCP-а.

Стварање још једног приватног DHCP закупа на рутеру није исто што и стварање још једне јавне адресе. Оно мења локалну слику и оставља излаз нетакнутим. Раздвајање живи у излазној политици, било да је та политика на рутеру или у VPN услузи.

Коју год форму одабрали, запишите власништво: ко припрема уређај, ко мења његове акредитиве и ко примети када престане да користи предвиђени пут.

Проверите излаз који сте заиста добили

Проверу радите из апликације која је важна и упоредите исту породицу адреса на оба уређаја. Резултат IPv4 са једног и резултат IPv6 са другог не доказује ништа ни о једном. Затим поновите проверу након поновног повезивања, јер се додела из базена може променити између сесија.

Покрените то из терминала унутар политике тунела, а не са уређаја који је заобилази. Погрешан хост даје самоуверен погрешан одговор.

curl -4 -sS https://api.ipify.org; echo
curl -6 -sS https://api64.ipify.org; echo
ip route get 1.1.1.1

Ако оба уређаја исписују исту IPv4 адресу, деле излаз без обзира на то колико је тунела подигнуто. Затим одлучите шта се догађа кад тунел падне: клијент који се врати на директан пут враћа оба уређаја на кућну адресу и раздвајање нестаје без грешке. Потврдите то понашање враћања пре него распоред опишете као два излаза и запамтите да су различите адресе мрежни резултат, а не два анонимна идентитета.