อุปกรณ์สองเครื่อง ไวไฟหนึ่งเครือข่าย ทางออก VPN คนละทาง: อะไรเป็นตัวกำหนด

แล็ปท็อปสองเครื่องบนเราเตอร์บ้านตัวเดียวกันสามารถเข้าถึงอินเทอร์เน็ตผ่านทางออก VPN คนละทางได้ และไวไฟที่ใช้ร่วมกันก็ไม่มีส่วนเกี่ยวข้อง สิ่งที่กำหนดผลลัพธ์คือทันเนลทำงานที่ใดและนโยบายใดเลือกเส้นทางให้แต่ละคำขอ ความเชื่อตรงข้ามก็พบได้บ่อยพอ ๆ กันและผิดพอ ๆ กัน คืออุปกรณ์สองเครื่องที่มีโปรไฟล์แยกกันไม่ได้สร้างที่อยู่สาธารณะสองที่โดยอัตโนมัติ ความเข้าใจผิดทั้งสองมาจากการมองที่อยู่เดียวราวกับว่ามีสามที่

ที่อยู่สามแบบ และมีเพียงแบบเดียวที่ออกไป

แล็ปท็อปมีที่อยู่ใน LAN ของบ้านที่ระบุตัวเครื่องในเซกเมนต์ท้องถิ่น และอาจมีที่อยู่ทันเนลที่กำหนดไว้ภายใน VPN ด้วย ทั้งสองไม่ปรากฏต่อบริการระยะไกล สิ่งที่บริการนั้นบันทึกคือที่อยู่ทางออกสาธารณะของอุปกรณ์ที่ส่งแพ็กเก็ตในท้ายที่สุด หลังจากผ่านการแปลงใด ๆ ระหว่างทาง

RFC 3022 ลากเส้นแบ่งที่อธิบายความสับสนส่วนใหญ่ตรงนี้ NAT แบบดั้งเดิมจับคู่ที่อยู่ภายในกับที่อยู่สาธารณะ ขณะที่การแปลงพอร์ตทำให้ที่อยู่ภายในจำนวนมากใช้ที่อยู่สาธารณะเดียวร่วมกันได้ในเวลาเดียวกัน ครัวเรือนที่มีที่อยู่สาธารณะหนึ่งที่และอุปกรณ์หลายเครื่องคือกรณีที่สอง และเป็นค่าเริ่มต้นแทบทุกที่

นับที่อยู่สาธารณะ ไม่ใช่โปรไฟล์ ไคลเอนต์สองตัวที่มีที่อยู่ทันเนลต่างกันและนโยบายทางออกเดียวกันให้ที่อยู่ที่สังเกตได้หนึ่งที่ และไคลเอนต์เดียวที่มีทางออกถูกกำหนดเส้นทางต่างออกไปอาจให้อีกที่หนึ่ง การเปรียบเทียบครั้งเดียวนั้นคือการทดสอบทั้งหมด ที่เหลือคือข้อสันนิษฐานเกี่ยวกับปลายทางไกล

อะไรทำให้ทางออกสองทางต่างกันจริง

ทางออกจะต่างกันเมื่ออุปกรณ์สุดท้ายก่อนถึงอินเทอร์เน็ตใช้ที่อยู่สาธารณะอีกที่หนึ่งสำหรับทราฟฟิกนั้น สิ่งนี้อาจเกิดขึ้นเพราะ VPN สิ้นสุดที่ตำแหน่งอื่น เพราะพูลทางออกกำหนดที่อยู่อื่น หรือเพราะผู้ให้บริการกำหนดเส้นทางคำขอผ่านทางออกอื่น ทั้งสามเป็นการตัดสินใจเชิงนโยบายที่ทำที่ปลายทางไกล และไม่มีข้อใดมองเห็นได้จากเราเตอร์ที่บ้าน

อุปกรณ์สองเครื่องที่แต่ละเครื่องรันไคลเอนต์ของตนเองด้วยโปรไฟล์เดียวกันมักตกอยู่ในพูลเดียวกันและมักได้รับทางออกเดียวกันสำหรับเซสชันหนึ่ง ๆ นั่นไม่ใช่ข้อบกพร่อง แต่เป็นพฤติกรรมปกติของพูลที่ใช้ร่วมกัน การได้ทางออกที่ต่างกันมักหมายถึงการขอการกำหนดที่แตกต่างจากบริการ แทนที่จะกำหนดค่าไคลเอนต์สองครั้ง

อ่านข้อกำหนดการบริการเกี่ยวกับการเชื่อมต่อพร้อมกันก่อนออกแบบโดยอ้างอิงการรับประกัน การเข้าสู่ระบบครั้งที่สองคือการอนุญาตให้เชื่อมต่อ ไม่ใช่คำสัญญาว่าจะได้ที่อยู่เฉพาะ หากข้อกำหนดเงียบ ควรถามผู้ให้บริการแทนการสันนิษฐาน คำตอบเปลี่ยนการออกแบบมากกว่าการตั้งค่าไคลเอนต์ใด ๆ

ทำไมโปรไฟล์แยกกันจึงไม่ใช่ทางออกแยกกัน

โปรไฟล์อธิบายวิธีเข้าถึง VPN และวิธีพิสูจน์ตัวตน และแทบไม่บอกอะไรเกี่ยวกับสิ่งที่เกิดขึ้นหลังจากนั้น ทางออกถูกเลือกโดยปลายทางไกล ซึ่งเป็นที่อยู่ของการกำหนดเส้นทาง พูลที่อยู่ และนโยบายการแปลง การทำสำเนาโปรไฟล์บนเครื่องที่สองคือการทำสำเนาการกำหนดค่าไคลเอนต์ ไม่ใช่การตัดสินใจของเซิร์ฟเวอร์

ตรงกันข้ามก็เป็นจริง เซิร์ฟเวอร์ VPN หนึ่งตัวสามารถแสดงทางออกสาธารณะมากกว่าหนึ่งทางได้เมื่อการกำหนดเส้นทางและนโยบายการแปลงถูกสร้างเช่นนั้น ขณะที่เซิร์ฟเวอร์แยกกันอาจป้อนทางออกปลายน้ำเพียงทางเดียว ดังนั้นจำนวนชื่อเซิร์ฟเวอร์ในการกำหนดค่าของคุณไม่ได้บอกอะไรเกี่ยวกับจำนวนที่อยู่ นั่นคือเหตุผลว่าการกำหนดค่าจึงเป็นที่ผิดในการหาคำตอบนี้

คำตอบเดียวที่เชื่อถือได้มาจากคำขอที่ทำผ่านการจัดวางที่คุณตั้งใจจะใช้ ที่เหลือคือการอนุมาน

จะวางการแยกไว้ที่ใด

ทันเนลบนเราเตอร์ครอบคลุมทั้งครัวเรือน ซึ่งสะดวกและให้ทางออกร่วมกันเพียงทางเดียวสำหรับทุกอุปกรณ์ที่อยู่ข้างหลัง ไคลเอนต์บนอุปกรณ์แต่ละเครื่องให้การควบคุมรายอุปกรณ์ แต่ต้องให้แต่ละอุปกรณ์ถูกจัดเตรียมและคงสภาพไว้ เราเตอร์ที่รองรับนโยบายอยู่ตรงกลาง เลือกเส้นทางรายอุปกรณ์ และจะทำงานได้ก็ต่อเมื่อสามารถระบุอุปกรณ์ได้อย่างน่าเชื่อถือตลอดการเชื่อมต่อใหม่และการเปลี่ยนแปลง DHCP

การสร้างสัญญาเช่า DHCP ส่วนตัวอีกสัญญาบนเราเตอร์ไม่เหมือนกับการสร้างที่อยู่สาธารณะอีกที่หนึ่ง มันเปลี่ยนภาพท้องถิ่นและปล่อยทางออกไว้ไม่ถูกแตะต้อง การแยกอาศัยอยู่ในนโยบายทางออก ไม่ว่านโยบายนั้นจะอยู่บนเราเตอร์หรือที่บริการ VPN

ไม่ว่าจะเลือกรูปแบบใด ให้เขียนความเป็นเจ้าของไว้ ใครจัดเตรียมอุปกรณ์ ใครหมุนเวียนข้อมูลรับรองของอุปกรณ์นั้น และใครสังเกตเห็นเมื่ออุปกรณ์เลิกใช้เส้นทางที่ตั้งใจ

ตรวจสอบทางออกที่คุณได้รับจริง

ทำการตรวจสอบจากแอปพลิเคชันที่สำคัญ และเปรียบเทียบตระกูลที่อยู่เดียวกันบนอุปกรณ์ทั้งสอง ผลลัพธ์ IPv4 จากเครื่องหนึ่งและผลลัพธ์ IPv6 จากอีกเครื่องไม่ได้พิสูจน์อะไรเกี่ยวกับทั้งสองเครื่อง จากนั้นทำการตรวจสอบซ้ำหลังการเชื่อมต่อใหม่ เพราะการกำหนดจากพูลอาจเปลี่ยนไประหว่างเซสชัน

รันจากเทอร์มินัลภายในนโยบายทันเนล ไม่ใช่จากอุปกรณ์ที่ข้ามนโยบายนั้น โฮสต์ที่ผิดให้คำตอบที่ผิดอย่างมั่นใจ

curl -4 -sS https://api.ipify.org; echo
curl -6 -sS https://api64.ipify.org; echo
ip route get 1.1.1.1

หากอุปกรณ์ทั้งสองแสดงที่อยู่ IPv4 เดียวกัน พวกมันใช้ทางออกร่วมกันหนึ่งทางไม่ว่าจะมีทันเนลเปิดอยู่กี่ทันเนล จากนั้นตัดสินว่าเกิดอะไรขึ้นเมื่อทันเนลล้มเหลว ไคลเอนต์ที่ย้อนกลับไปใช้เส้นทางตรงจะวางอุปกรณ์ทั้งสองกลับไปที่ที่อยู่บ้าน และการแยกก็หายไปโดยไม่มีข้อผิดพลาด ยืนยันพฤติกรรมการย้อนกลับนั้นก่อนจะอธิบายการจัดวางว่าเป็นสองทางออก และจำไว้ว่าที่อยู่ที่ต่างกันเป็นผลลัพธ์ของเครือข่าย ไม่ใช่สองตัวตนนิรนาม