Deel een VPN-verbinding met elke toestel op jou LAN

Een skootrekenaar hou die tonnel, die res van die huis wil dieselfde toegang hê, en die eerste poging is om alles na die gekoppelde masjien te wys. Dit misluk om redes wat niks met die VPN te doen het nie: die ontvangende gasheer moet die pakket aanstuur, sy bron herskryf, en sorg dat antwoorde hul pad terug kan vind. Mis enige van die drie en die gekoppelde skootrekenaar werk steeds terwyl elke ander toestel 'n tydverbreking kry. Die oplossing is 'n roete-ontwerp, nie 'n kliënt-instelling nie.

Waarom toestelle na die gasheer wys misluk

'n Gasheer wat 'n pakket ontvang wat aan 'n afgeleë netwerk gerig is, word vir daardie oomblik 'n roeteerder, of iemand dit as een opgestel het of nie. Aanstuur is by verstek af op Linux en op Windows tensy 'n funksie dit aanskakel. Vertaling is belangrik omdat die afgeleë kant moet weet waarheen om antwoorde te stuur, en 'n private LAN-adres beteken niks vir dit nie. Die terugroete is die derde stuk, en dit is die een wat mense vergeet wanneer die eerste ping skynbaar slaag.

Diagnoseer in daardie volgorde in plaas daarvan om instellings lukraak te wissel. Elke ontbrekende stuk produseer 'n effens ander simptoom.

Aktiveer aanstuur en vertaling op die gasheer

Twee veranderinge op die gekoppelde gasheer dek die eerste twee stukke: aktiveer IPv4-aanstuur en vertaal die LAN-verkeer na die tonnel-koppelvlak.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Bewaar die sysctl-waarde in 'n lêer onder /etc/sysctl.d, en herkontroleer die masquerade-reël ná 'n herbegin, aangesien vuurmuur-voorkante persoonlike kettings kan uitvee. Op Windows doen die delingsfunksie albei stappe, maar dit her-adresseer ook die LAN-adapter na 'n vaste subnet en vee sy poortweg uit, wat statiese adressering en poortaanstuur breek. Herstel die roeteerder se pad na die gasheer op sy nuwe adres voordat jy aflei dat deling misluk het. Kyk dan hoe die reël-tellers toeneem terwyl 'n tweede toestel verkeer stuur.

Gee die LAN 'n pad wat herstarts oorleef

Die ander toestelle het 'n roete na die afgeleë voorvoegsel nodig, en die twee maniere om dit te verskaf verskil in omvang.

ip route add 10.8.0.0/24 via 192.168.1.20 dev eth0

Om 'n kliënt se verstekpoortweg na die gasheer te wys, stuur al sy verkeer deur die gasheer, insluitend plaaslike drukwerk en lêerdeling, so onverwante dinge stop wanneer die gasheer slaap. Om 'n spesifieke roete op die roeteerder vir die afgeleë voorvoegsel by te voeg is smaller: net bestemmings agter die tonnel gaan na die gekoppelde masjien, en die res van die LAN bly werk. Die subnette hierbo is voorbeelde, so vervang jou eie LAN- en tonnelreekse. Probeer in elk geval van 'n tweede toestel met die tonnel op en dan af.

Let op MTU voordat jy die tonnel blameer

Tonnels verklein die bruikbare pakketgrootte, en die tweede toestel het geen idee nie. Groot oordragte en TLS-handdrukke staak terwyl klein versoeke slaag.

ping -M do -s 1400 10.8.0.5

'n Antwoord bewys dat daardie grootte die pad ongefragmenteerd kruis; 'n tydverbreking beteken dat inkapselings-oorhoofd die pakket verby die tonnel se MTU gedruk het. Verlaag die MTU op die deel-koppelvlak of knyp die maksimum segmentgrootte op die aanstuurder, en herhaal dan dieselfde toets. Toets eers dieselfde grootte aan die LAN-kant, want 'n plaaslike fout wys na die LAN eerder as na die tonnel. Teken die werkende grootte aan, want 'n latere verskaffer- of tonnelverandering kan dit skuif.

Vir 'n enkele ekstra toestel is gasheer-deling genoeg. Vir 'n huishouding, sit die roete op die roeteerder. Wanneer toegang moet oorleef wanneer die skootrekenaar saam met jou vertrek, hoort die tonnel self op 'n toegewyde poort.