İki cihaz, tek Wi-Fi, farklı VPN çıkışları: ne belirler

Aynı ev yönlendiricisine bağlı iki dizüstü bilgisayar internete farklı VPN çıkışlarından ulaşabilir ve paylaşılan Wi-Fi'nin buna söyleyecek bir şeyi yoktur. Sonucu belirleyen, tünelin nerede çalıştığı ve her istek için hangi politikanın yolu seçtiğidir. Karşıt inanç da aynı ölçüde yaygın ve aynı ölçüde yanlıştır: ayrı profillere sahip iki cihaz otomatik olarak iki genel adres üretmez. Her iki hata da tek bir adresi üç gibi ele almaktan kaynaklanır.

Üç adres ve bunlardan yalnızca biri dışarı çıkar

Dizüstü bilgisayarın yerel segmentte onu tanımlayan bir ev LAN adresi vardır ve VPN içinde atanmış bir tünel adresi de olabilir. İkisi de uzak bir hizmete görünmez. O hizmetin kaydettiği şey, yoldaki herhangi bir çeviriden sonra paketi sonunda gönderen cihazın genel çıkış adresidir.

RFC 3022 buradaki karışıklığın çoğunu açıklayan ayrımı çizer. Geleneksel NAT iç adresleri genel adreslere eşlerken bağlantı noktası çevirisi birçok iç adresin aynı anda tek bir genel adresi paylaşmasına izin verir. Tek genel adresi ve birkaç cihazı olan bir hane ikinci durumdur ve bu neredeyse her yerde varsayılandır.

Profilleri değil genel adresleri sayın. Farklı tünel adreslerine ve aynı çıkış politikasına sahip iki istemci tek bir gözlenen adres üretir ve farklı yönlendirilmiş çıkışa sahip tek bir istemci başka bir adres üretebilir. O tek karşılaştırma tüm testtir. Geri kalan her şey uzak uç hakkında bir varsayımdır.

İki çıkışı gerçekten farklı kılan nedir

İnternetten önceki son cihaz o trafik için başka bir genel adres kullandığında çıkış farklıdır. Bu, VPN başka bir konumda sona erdiği için, çıkış havuzu başka bir adres atadığı için ya da sağlayıcı isteği başka bir çıkıştan yönlendirdiği için olabilir. Üçü de uzak uçta alınan politika kararlarıdır ve hiçbiri ev yönlendiricisinden görünmez.

Her biri kendi istemcisini aynı profille çalıştıran iki cihaz genellikle aynı havuza düşer ve belirli bir oturum için çoğu zaman aynı çıkışı alır. Bu bir hata değil, paylaşılan bir havuzun normal davranışıdır. Ayrı çıkışlar elde etmek genellikle istemciyi iki kez yapılandırmak yerine hizmetten ayrı atamalar istemek anlamına gelir.

Bir garanti etrafında tasarım yapmadan önce eşzamanlı bağlantılarla ilgili hizmet koşullarını okuyun. İkinci oturum açma bağlanma iznidir, özel bir adres vaadi değildir. Koşullar sessizse varsaymak yerine sağlayıcıya sorun. Cevap, tasarımı herhangi bir istemci ayarından daha fazla değiştirir.

Neden ayrı profiller ayrı çıkışlar değildir

Profil, VPN'e nasıl ulaşılacağını ve nasıl kimlik doğrulanacağını açıklar ve sonrasında ne olduğu hakkında neredeyse hiçbir şey söylemez. Çıkışı uzak uç seçer; yönlendirme, adres havuzları ve çeviri politikası orada yaşar. Bir profili ikinci bir makinede çoğaltmak istemci yapılandırmasını çoğaltır, sunucunun kararını değil.

Tersi de geçerlidir. Bir VPN sunucusu, yönlendirmesi ve çeviri politikası böyle kurulduğunda birden fazla genel çıkış sunabilir; ayrı sunucular ise tek bir aşağı akış çıkışını besleyebilir. Yani yapılandırmanızdaki sunucu adlarının sayısı adres sayısı hakkında hiçbir şey söylemez. Bu yüzden yapılandırma bu cevabı aramak için yanlış yerdir.

Tek güvenilir cevap, kullanmayı düşündüğünüz düzen üzerinden yapılan bir istekten gelir. Geri kalan her şey çıkarımdır.

Ayrımı nereye koymalı

Yönlendirici tüneli tüm haneyi kapsar; bu pratiktir ve arkasındaki her cihaz için tam olarak tek bir paylaşılan çıkış üretir. Her cihazdaki istemci size cihaz başına kontrol verir ama her cihazın hazırlanmasını ve hazır kalmasını gerektirir. Politika yeteneği olan bir yönlendirici arada oturur, cihaz başına yol seçer ve ancak yeniden bağlanmalar ve DHCP değişiklikleri boyunca cihazları güvenilir biçimde tanıyabiliyorsa çalışır.

Yönlendiricide bir başka özel DHCP kiralaması oluşturmak, bir başka genel adres oluşturmakla aynı şey değildir. Yerel görünümü değiştirir ve çıkışı dokunulmadan bırakır. Ayrım, çıkış politikasında yaşar; o politika ister yönlendiricide ister VPN hizmetinde olsun.

Hangi biçimi seçerseniz seçin, sahipliği yazın: kim bir cihazı hazırlar, kim onun kimlik bilgilerini döndürür ve kim amaçlanan yolu kullanmayı bıraktığını fark eder.

Gerçekte aldığınız çıkışı denetleyin

Denetimi önemli olan uygulamadan yapın ve aynı adres ailesini iki cihazda karşılaştırın. Birinden IPv4 sonucu ve diğerinden IPv6 sonucu hiçbiri hakkında hiçbir şey kanıtlamaz. Sonra yeniden bağlanmadan sonra denetimi tekrarlayın, çünkü havuz ataması oturumlar arasında değişebilir.

Bunu tünel politikasının içindeki bir terminalden çalıştırın, onu atlayan bir cihazdan değil. Yanlış ana bilgisayar kendinden emin bir yanlış cevap verir.

curl -4 -sS https://api.ipify.org; echo
curl -6 -sS https://api64.ipify.org; echo
ip route get 1.1.1.1

Her iki cihaz da aynı IPv4 adresini yazdırıyorsa, kaç tünel açık olursa olsun tek bir çıkışı paylaşıyorlar. Sonra tünel başarısız olduğunda ne olacağına karar verin: doğrudan yola geri düşen istemci her iki cihazı da ev adresine geri koyar ve ayrım hatasız kaybolur. Düzeni iki çıkış olarak tanımlamadan önce bu geri düşme davranışını doğrulayın ve farklı adreslerin ağ sonucu olduğunu, iki anonim kimlik olmadığını unutmayın.