Hai thiết bị, một Wi-Fi, các lối ra VPN khác nhau: điều gì quyết định

Hai máy tính xách tay trên cùng một router gia đình có thể ra internet qua các lối ra VPN khác nhau, và mạng Wi-Fi dùng chung không có gì để nói về việc đó. Điều quyết định kết quả là đường hầm chạy ở đâu và chính sách nào chọn đường cho từng yêu cầu. Niềm tin ngược lại cũng phổ biến và cũng sai như vậy: hai thiết bị có hồ sơ riêng không tự động tạo ra hai địa chỉ công cộng. Cả hai lỗi đều đến từ việc coi một địa chỉ như thể là ba.

Ba địa chỉ, và chỉ một trong số đó đi ra

Máy tính xách tay có địa chỉ LAN trong nhà để nhận diện nó trên đoạn mạng cục bộ, và nó cũng có thể có địa chỉ đường hầm được cấp bên trong VPN. Không cái nào trong hai thứ đó hiển thị với một dịch vụ từ xa. Điều dịch vụ đó ghi lại là địa chỉ ra công cộng của thiết bị cuối cùng gửi gói tin, sau mọi phép dịch trên đường đi.

RFC 3022 vạch ra sự phân biệt giải thích phần lớn sự nhầm lẫn ở đây. NAT truyền thống ánh xạ địa chỉ bên trong sang địa chỉ công cộng, trong khi dịch cổng cho phép nhiều địa chỉ bên trong dùng chung một địa chỉ công cộng cùng lúc. Một hộ gia đình có một địa chỉ công cộng và vài thiết bị là trường hợp thứ hai, và đó là mặc định gần như ở mọi nơi.

Hãy đếm địa chỉ công cộng, không phải hồ sơ. Hai máy khách có địa chỉ đường hầm khác nhau và cùng chính sách ra sẽ tạo ra một địa chỉ quan sát được, còn một máy khách có lối ra được định tuyến khác có thể tạo ra địa chỉ khác. Chính phép so sánh đó là toàn bộ bài kiểm tra. Mọi thứ khác là giả định về đầu xa.

Điều gì thực sự làm hai lối ra khác nhau

Một lối ra khác khi thiết bị cuối cùng trước internet dùng một địa chỉ công cộng khác cho lưu lượng đó. Điều này có thể xảy ra vì VPN kết thúc ở một vị trí khác, vì nhóm lối ra cấp địa chỉ khác, hoặc vì nhà cung cấp định tuyến yêu cầu qua lối ra khác. Cả ba đều là quyết định chính sách được đưa ra ở đầu xa, và không cái nào nhìn thấy được từ router trong nhà.

Hai thiết bị mỗi cái chạy máy khách riêng với cùng hồ sơ thường rơi vào cùng một nhóm và thường nhận cùng lối ra cho một phiên nhất định. Đó không phải lỗi, đó là hành vi bình thường của một nhóm dùng chung. Có được các lối ra riêng thường có nghĩa là yêu cầu dịch vụ cấp phát riêng thay vì cấu hình máy khách hai lần.

Hãy đọc điều khoản dịch vụ về kết nối đồng thời trước khi thiết kế dựa trên một bảo đảm. Lần đăng nhập thứ hai là sự cho phép kết nối, không phải lời hứa về một địa chỉ độc quyền. Nếu điều khoản im lặng, hãy hỏi nhà cung cấp thay vì giả định. Câu trả lời thay đổi thiết kế nhiều hơn bất kỳ cài đặt máy khách nào.

Vì sao hồ sơ riêng không phải lối ra riêng

Hồ sơ mô tả cách đến VPN và cách xác thực, và hầu như không nói gì về điều xảy ra sau đó. Đầu xa chọn lối ra, nơi có định tuyến, nhóm địa chỉ và chính sách dịch. Nhân bản hồ sơ trên máy thứ hai là nhân bản cấu hình máy khách, không phải quyết định của máy chủ.

Điều ngược lại cũng đúng. Một máy chủ VPN có thể trình bày nhiều hơn một lối ra công cộng khi định tuyến và chính sách dịch của nó được xây như vậy, trong khi các máy chủ riêng có thể nuôi một lối ra hạ nguồn duy nhất. Vì thế số tên máy chủ trong cấu hình của bạn không nói gì về số địa chỉ. Đó là lý do cấu hình là nơi sai để tìm câu trả lời này.

Câu trả lời đáng tin cậy duy nhất đến từ một yêu cầu thực hiện qua chính cách bố trí mà bạn định dùng. Mọi thứ khác là suy luận.

Đặt sự tách biệt ở đâu

Đường hầm trên router bao trùm toàn bộ hộ gia đình, điều này tiện lợi và tạo ra đúng một lối ra dùng chung cho mọi thiết bị phía sau. Máy khách trên từng thiết bị cho bạn quyền kiểm soát theo từng thiết bị nhưng đòi hỏi mỗi thiết bị phải được cấp phát và duy trì trạng thái đó. Router có khả năng chính sách nằm ở giữa, chọn đường theo từng thiết bị, và chỉ hoạt động nếu nó nhận diện thiết bị một cách đáng tin cậy qua các lần kết nối lại và thay đổi DHCP.

Tạo thêm một hợp đồng thuê DHCP riêng trên router không giống như tạo thêm một địa chỉ công cộng. Nó thay đổi góc nhìn cục bộ và để lối ra nguyên vẹn. Sự tách biệt sống trong chính sách ra, dù chính sách đó nằm trên router hay ở dịch vụ VPN.

Dù chọn hình thức nào, hãy ghi lại quyền sở hữu: ai cấp phát một thiết bị, ai luân chuyển thông tin xác thực của nó, và ai nhận ra khi nó ngừng dùng đường dự kiến.

Hãy kiểm tra lối ra mà bạn thực sự nhận được

Thực hiện kiểm tra từ ứng dụng quan trọng, và so sánh cùng một họ địa chỉ trên cả hai thiết bị. Kết quả IPv4 từ một bên và kết quả IPv6 từ bên kia không chứng minh gì về bên nào. Sau đó lặp lại kiểm tra sau khi kết nối lại, vì việc cấp phát từ nhóm có thể thay đổi giữa các phiên.

Chạy nó từ terminal bên trong chính sách đường hầm, không phải từ thiết bị bỏ qua chính sách đó. Máy chủ sai cho ra câu trả lời sai đầy tự tin.

curl -4 -sS https://api.ipify.org; echo
curl -6 -sS https://api64.ipify.org; echo
ip route get 1.1.1.1

Nếu cả hai thiết bị in ra cùng một địa chỉ IPv4, chúng dùng chung một lối ra bất kể có bao nhiêu đường hầm đang mở. Sau đó hãy quyết định điều gì xảy ra khi đường hầm hỏng: một máy khách quay lại đường trực tiếp sẽ đưa cả hai thiết bị về địa chỉ nhà, và sự tách biệt biến mất mà không có lỗi. Hãy xác nhận hành vi quay lại đó trước khi mô tả cách bố trí là hai lối ra, và nhớ rằng địa chỉ khác nhau là kết quả của mạng chứ không phải hai danh tính ẩn danh.