Bir VPN bağlantısını LAN-dakı hər cihazla paylaşın

Bir noutbuk tuneli saxlayır, evin qalan hissəsi eyni girişi istəyir və ilk cəhd hər şeyi qoşulmuş maşına yönəltməkdir. Bu, VPN ilə heç bir əlaqəsi olmayan səbəblərdən uğursuz olur: qəbul edən host paketi yönləndirməli, mənbəyini yenidən yazmalı və cavabların geri yol tapdığından əmin olmalıdır. Üçündən hər hansı biri çatmasa, qoşulmuş noutbuk işləməyə davam edir, digər hər cihaz isə vaxt aşımına uğrayır. Həll müştəri ayarı deyil, marşrut dizaynıdır.

Cihazları hosta yönəltmək niyə uğursuz olur

Uzaq şəbəkəyə ünvanlanmış paketi qəbul edən host həmin an routerə çevrilir, kimsə onu belə konfiqurasiya edib-etməməsindən asılı olmayaraq. Yönləndirmə Linux-da və Windows-da defolt olaraq söndürülüdür, bir funksiya onu yandırmasa. Tərcümə vacibdir, çünki uzaq tərəf cavabları hara göndərəcəyini bilməlidir və xüsusi LAN ünvanı onun üçün heç nə ifadə etmir. Geri marşrut üçüncü hissədir və ilk ping uğurlu görünəndə insanların unutduğu elə budur.

Parametrləri təsadüfi dəyişmək əvəzinə bu ardıcıllıqla diaqnoz qoyun. Hər çatışmayan hissə bir qədər fərqli simptom yaradır.

Hostda yönləndirməni və tərcüməni aktivləşdirin

Qoşulmuş hostda iki dəyişiklik ilk iki hissəni əhatə edir: IPv4 yönləndirməsini aktivləşdirin və LAN trafikini tunel interfeysinə tərcümə edin.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

sysctl dəyərini /etc/sysctl.d altındakı faylda saxlayın və yenidən başlatmadan sonra MASQUERADE qaydasını yenidən yoxlayın, çünki firewall ön hissələri fərdi zəncirləri silə bilər. Windows-da paylaşma funksiyası hər iki addımı yerinə yetirir, lakin həm də LAN adapterini sabit alt şəbəkəyə yenidən ünvanlayır və şlüzünü təmizləyir, bu da statik ünvanlamanı və port yönləndirməsini pozur. Paylaşmanın uğursuz olduğu qənaətinə gəlməzdən əvvəl routerin hosta gedən yolunu onun yeni ünvanında bərpa edin. Sonra ikinci cihaz trafik göndərərkən qayda sayğaclarının artdığını izləyin.

LAN-a yenidən başlatmalardan sonra da qalan yol verin

Digər cihazlara uzaq prefiksə marşrut lazımdır və bunu təmin etməyin iki yolu təsir dairəsinə görə fərqlənir.

ip route add 10.8.0.0/24 via 192.168.1.20 dev eth0

Müştərinin defolt şlüzünü hosta yönəltmək onun bütün trafikini hostdan keçirir, o cümlədən yerli çap və fayl paylaşımı, ona görə host yatanda əlaqəsiz şeylər dayanır. Routerdə uzaq prefiks üçün xüsusi marşrut əlavə etmək daha dardır: yalnız tunelin arxasındakı təyinatlar qoşulmuş maşına gedir və LAN-ın qalanı işləməyə davam edir. Yuxarıdakı alt şəbəkələr nümunədir, öz LAN və tunel diapazonlarınızı qoyun. Hər halda, tunel açıq və sonra bağlı halda ikinci cihazdan sınaqdan keçirin.

Tuneli günahlandırmazdan əvvəl MTU-ya baxın

Tunellər istifadə oluna bilən paket ölçüsünü kiçildir və ikinci cihazın bundan xəbəri yoxdur. Böyük ötürmələr və TLS əl sıxmaları dayanır, kiçik sorğular isə uğur qazanır.

ping -M do -s 1400 10.8.0.5

Cavab bu ölçünün yolu fraqmentsiz keçdiyini sübut edir; vaxt aşımı isə inkapsulyasiya yükünün paketi tunelin MTU-sundan kənara itələdiyini bildirir. Paylaşma interfeysində MTU-nu aşağı salın və ya yönləndiricidə maksimum seqment ölçüsünü sıxın, sonra eyni sınağı təkrarlayın. Əvvəlcə eyni ölçüsü LAN tərəfində sınayın, çünki yerli uğursuzluq tunelə deyil, LAN-a işarə edir. İşləyən ölçünü qeyd edin, çünki sonrakı provayder və ya tunel dəyişikliyi onu dəyişə bilər.

Bir əlavə cihaz üçün host paylaşması kifayətdir. Ev üçün marşrutu routerə qoyun. Giriş noutbuk sizinlə gedəndə də qalmalıdırsa, tunelin özü ayrılmış şlüzə aiddir.