Smart TV у VPN: чаму трансляцыя і DNS ламаюцца паасобку
Правядзіце трафік тэлевізара праз роўтар, а затым разглядайце селектар, рэзалвер, IPv6 і шлях трансляцыі як чатыры асобныя праверкі.
Ваш тэлевізар паказвае замежны каталог, а кнопка трансляцыі ў тэлефоне ўжо не паказвае яго ў спісе. Абедзве скаргі пачынаюцца з аднае фразы, якая называе чатыры налады на чатырох старонках роўтара. Выпраўце выхад — і знойдзеце паломку выяўлення; выпраўце выяўленне — і наступная арэнда аддасць выхад іншай прыладзе. Парадак ніжэй ідзе ад селектара да шляху трансляцыі.
Дзе жыве кожнае з чатырох рашэнняў
Запішыце ўсе чатыры да адкрыцця меню, бо кожнае жыве на іншай старонцы і ламаецца ў іншым месцы. Селектар выбірае, да якога кліента прымяняецца тунель, рэзалвер вырашае, дзе адказваюць на імёны, сямейства адрасоў вырашае, ці ахоплены IPv6 наогул, а лакальны шлях вырашае, ці бачаць тэлефон і тэлевізар адзін аднаго. Змена аднаго выглядае завершанай з той старонкі, на якой вы стаіце. Шкода ад астатніх трох выявіцца пазней, у іншым меню, як іншая скарга.
Меню прашывак адрозніваюцца, але чатыры месцы — рэдка. Селектар — статычнае супастаўленне на DHCP-серверы плюс правіла фаеруола, якое яму адпавядае. Рэзалвер знаходзіцца побач з службай DNS, дзе запіс перанакіравальніка або спіс вышэйшых сервераў вырашае, на якія імёны адказвае роўтар і адкуль выходзяць запыты. Налада сямейства належыць самому інтэрфейсу, дзе IPv4 і IPv6 наладжваюцца асобна і палітыка можа ахопліваць толькі першае. Лакальны шлях — перамыкач кропкі доступу: або ізаляцыя кліентаў, або гасцявая сетка з уласным фаеруолам.
Зрабіце так, каб селектар перажыў арэнду
Працуюць і палітыка для кожнай прылады, і асобны сегмент, і лепшы выбар — той, які прашыўка можа падтрымліваць без другога чалавека, які памятае пра яго. Пастка — правіла, прывязанае да адраса, які DHCP-сервер выдаў па сваім раскладзе: яно дзейнічае, пакуль арэнда не зменіцца, а затым накіроўвае ноўтбук праз іншую краіну па прычынах, якіх уладальнік не бачыць. Устойлівасць, а не акуратнасць, — вось уласцівасць, якую варта аптымізаваць.
| Rule names the TV by | After the next lease | What it costs |
|---|---|---|
| whatever address it has now | may point at another client | silent misrouting weeks later |
| a reserved address | holds, if the reservation ships with it | one more entry to keep in step |
| a hardware address | holds, unless the device rotates it | privacy features can break it |
| a whole segment | holds for every device on it | neighbours inherit the exit |
Адпраўце браніраванне і правіла як адну змену, бо правіла, якое перажывае сваё браніраванне, нацэлена на чужое абсталяванне. Правіла для цэлага сегмента — самы ўстойлівы і самы грубы селектар, бо кожная прылада за гэтым інтэрфейсам атрымлівае выхад у спадчыну, патрэбны ён ёй ці не. Які б селектар вы ні абралі, далей ідзе пытанне пакрыцця: палітыка толькі для IPv4 — палова рашэння, а непакрытае сямейства — тое, што сыходзіць незаўважна.
Высветліце, які рэзалвер тэлевізар сапраўды выкарыстоўвае
Адкрыйце ўласныя сеткавыя налады тэлевізара, перш чым кранаць роўтар, бо спрэчку вырашае прылада. Поле DNS, усталяванае ўручную, працягвае выкарыстоўваць гэты сервер, што б ні прапаноўваў DHCP, а рэсівер, аднойчы наладжаны для іншага рэгіёна, можа па-ранейшаму паказваць на адрас, які ўжо не адказвае. Калі поле аўтаматычнае, вырашае опцыя DHCP роўтара, і ўласны рэзалвер роўтара становіцца наступным пытаннем. У любым выпадку адказ на экране прылады, а не ў інструкцыі да прашыўкі.
На баку роўтара важнае адрозненне — паміж імёнамі, на якія роўтар адказвае сам, і імёнамі, якія ён перанакіроўвае, бо гэтыя два шляхі могуць выходзіць праз розныя інтэрфейсы. Таму запыт, які паспяхова развязаны, нічога не кажа пра тое, куды ідзе медыязапыт, і на Linux-шлюзе табліца палітык разам з адным пошукам маршруту адказвае на абодва пытанні, нічога не перахопліваючы на тэлевізары:
ip rule show
ip route get 203.0.113.10Прачытайце першую каманду для правіла, якое пазначае трафік тэлевізара, а другую — для інтэрфейсу, які сапраўды выкарыстае пакет да прыкладнага адраса. Калі яны разыходзяцца, вінаваты не рэзалвер, а палітыка. Змяніце адно, потым зноў запусціце пару, бо спіс правілаў залежыць ад парадку і новы запіс можа зацямніць правіла, якое несла трафік. Прызначэнне зарэзервавана для дакументацыі, таму ўстаўлены вывад чытаецца як прыклад.
Трансляцыя ламаецца на выяўленні, а не на патоку
Трансляцыя — гэта як мінімум тры размовы, і толькі адна з іх нясе відэа. Тэлефон выяўляе тэлевізар праз multicast або broadcast у лакальным сегменце, адкрывае канал кіравання, каб сказаць, што прайграваць, а затым тэлевізар альбо сам забірае паток, альбо атрымлівае яго перададзеным з тэлефона. Выяўленне ніколі не перасякае роўтар, які не перасылае гэты трафік, і менавіта таму тэлевізар можа быць накіраваны дакладна як задумана і ўсё ж ніколі не з'явіцца ў спісе трансляцыі.
Гасцявыя сеткі і ізаляцыя кліентаў — звычайная прычына, і абедзве робяць менавіта тое, для чаго былі наладжаны. Выключыць ізаляцыю ва ўсёй бесправоднай сетцы, каб адна прылада зноў з'явілася, — звычайнае празмернае выпраўленне, і яно зноў адкрывае кожны шлях тэлефон-тэлефон, які гэтая налада павінна была зачыніць. Ёсць вузейшыя адказы: правіла пропуску для трафіку выяўлення і кіравання паміж двума адрасамі, асобны SSID для тэлевізараў або адно дакументаванае выключэнне ў гасцявой сетцы.
Праверце трансляцыю, пакуль правіла ізаляцыі яшчэ дзейнічае, потым дадайце толькі выключэнне выяўлення і праверце зноў. Калі другая спроба знойдзе тэлевізар, выключэнне — гэта рашэнне, і рэшта сегмента можа застацца як была.
Спыніце тунель і паглядзіце, у які бок ён ламаецца
Апошняя праверка — тая, якую большасць наладаў прапускае: апусціце тунель і паглядзіце, ці тэлевізар спыніцца, ці ціха сыдзе праз лакальнае злучэнне. Палітыка, якая выяўляе перавагу, ламаецца адкрыта, і гэтую паломку лёгка прапусціць, бо прайграванне працягваецца, пакуль выхад вяртаецца да ISP. Правіла kill-switch ламаецца закрыта, і тэлевізар нічога не паведамляе, пакуль тунель не вернецца. Ні адно з паводзінаў не памылковае; памылкова не ведаць, якое вы наладзілі.
Пасля любой змены пераверце чатыры рэчы ў гэтым парадку. Селектар па-ранейшаму адпавядае прыладзе пасля наступнай арэнды або перазапуску. Рэзалвер адказвае на шляху, які мае на ўвазе палітыка, а не з сервера, які запомніла прылада. Сямейства адрасоў у палітыцы ахоплівае кожнае сямейства, якое тэлевізар і сетка доступу сапраўды выкарыстоўваюць. Трансляцыя па-ранейшаму знаходзіць тэлевізар з тэлефона, які сапраўды будзе выкарыстаны, а не з тэставага тэлефона ў тым жа SSID.
Трымайце гэтыя чатыры радкі побач з канфігурацыяй роўтара, а не ў чаце: што супастаўляе правіла, які рэзалвер пытае тэлевізар, якое сямейства ахоплена і які лакальны шлях патрэбны трансляцыі. Наступны чалавек, які адкрые фаеруол, прачытае канфігурацыю нашмат раней, чым прачытае заяўку. Да таго часу гэтым чалавекам можаце быць вы.