Smart TV във VPN: защо предаването и DNS се чупят поотделно

Телевизорът ви показва чуждия каталог, а бутонът за предаване на телефона вече не го изброява. И двете оплаквания започват с една фраза, която назовава четири настройки на четири страници на рутера. Оправете изхода и откриването се чупи; оправете откриването и следващият лизинг дава изхода на друго устройство. Редът по-долу върви от селектора към пътя за предаване.

Къде живее всяко от четирите решения

Запишете четирите, преди да отворите меню, защото всяко живее на различна страница и се чупи на различно място. Селекторът избира към кой клиент се прилага тунелът, резолверът решава къде се отговаря на имена, семейството адреси решава дали IPv6 е покрито изобщо, а локалният път решава дали телефонът и телевизорът още се виждат. Промяна в едно изглежда завършена от страницата, на която стоите. Щетата от другите три се появява по-късно, в друго меню, като друго оплакване.

Менютата на фърмуера се различават, но четирите места рядко. Селекторът е статично съответствие на DHCP сървъра плюс правило за защитна стена, което го съвпада. Резолверът стои при DNS услугата, където запис за препращане или списък с upstream сървъри решава на кои имена отговаря рутерът и откъде излизат заявките. Настройката за семейство принадлежи на самия интерфейс, където IPv4 и IPv6 се конфигурират отделно и политика може да покрие само първото. Локалният път е превключвател на точка за достъп — или изолация на клиенти, или гост мрежа със собствена защитна стена.

Направете селектора по-дълготраен от лизинга

Работят и политика за отделно устройство, и отделен сегмент, а по-добрият избор е този, който фърмуерът може да поддържа, без втори човек да го помни. Капанът е правило, заковано към адрес, който DHCP сървърът е раздал по свой график: то работи, докато лизингът се премести, а после насочва лаптоп през друга държава по причини, които собственикът му не вижда. Устойчивостта, а не подредеността, е свойството, което си струва да се оптимизира.

Изпратете резервацията и правилото като една промяна, защото правило, което надживява резервацията си, е правило, насочено към чужд хардуер. Правило за цял сегмент е най-устойчивият и най-грубият селектор, защото всяко устройство зад този интерфейс наследява изхода, независимо дали му е нужен. Който и селектор да изберете, следва въпросът за покритието: политика само за IPv4 е половин решение, а непокритото семейство е това, което си тръгва незабелязано.

Разберете кой резолвер телевизорът наистина използва

Отворете собствените мрежови настройки на телевизора, преди да пипате рутера, защото устройството решава този спор. Поле за DNS, зададено ръчно, продължава да използва този сървър, каквото и да предлага DHCP, а set-top box, конфигуриран веднъж за друг регион, може още да сочи към адрес, който вече не отговаря. Ако полето е автоматично, решава DHCP опцията на рутера и собственият резолвер на рутера става следващият въпрос. И в двата случая отговорът е на екрана на устройството, не в ръководството на фърмуера.

От страна на рутера важното разграничение е между имена, на които рутерът отговаря сам, и имена, които препраща, защото тези два пътя могат да излизат през различни интерфейси. Затова една успешно решена заявка не казва нищо за това накъде отива медийна заявка, а на Linux шлюз таблицата с политики плюс едно търсене на маршрут отговарят на двата въпроса, без да прихващат нищо на телевизора:

ip rule show
ip route get 203.0.113.10

Прочетете първата команда за правилото, което маркира трафика на телевизора, и втората за интерфейса, който един пакет към примерния адрес действително би използвал. Когато двете се разминават, резолверът не е виновен; политиката е. Променете едно нещо, после пуснете двойката отново, защото списъкът с правила е чувствителен към реда и нов запис може да засенчи правилото, което е носело трафика. Дестинацията е запазена за документация, така че поставен изход се чете като пример.

Предаването се чупи при откриването, не при потока

Предаването е поне три разговора и само един от тях носи видео. Телефонът открива телевизора чрез multicast или broadcast в локалния сегмент, отваря канал за управление, за да каже какво да се пуска, а после телевизорът или сам издърпва потока, или го получава препредаден от телефона. Откриването никога не пресича рутер, който не препраща този трафик, и точно затова телевизор може да е маршрутизиран точно както трябва и пак никога да не се появи в списъка за предаване.

Гост мрежите и изолацията на клиенти са обичайната причина и двете правят точно това, за което са конфигурирани. Изключването на изолацията в цялата безжична мрежа, за да се появи отново едно устройство, е обичайното свръхкоригиране и то отваря отново всеки път телефон-телефон, който настройката е съществувала да затвори. Има по-тесни отговори: правило за пропускане на трафика за откриване и управление между два адреса, отделен SSID за телевизорите или едно документирано изключение в гост мрежата.

Тествайте предаването, докато правилото за изолация е още на място, после добавете само изключението за откриване и тествайте отново. Ако вторият опит намери телевизора, изключението е решението и останалата част от сегмента може да остане както е била.

Спрете тунела и вижте накъде се чупи

Последната проверка е тази, която повечето настройки пропускат: свалете тунела и вижте дали телевизорът спира, или тихо излиза през локалната връзка. Политика, която изразява предпочитание, се чупи отворено и тази повреда е лесна за пропускане, защото възпроизвеждането продължава, докато изходът се връща към ISP. Правило kill-switch се чупи затворено и телевизорът не съобщава нищо, докато тунелът не се върне. Нито едно от двете поведения не е грешно; грешно е да не знаете кое сте конфигурирали.

Проверете отново четири неща след всяка промяна, в този ред. Селекторът още съвпада с устройството след следващия лизинг или рестарт. Резолверът отговаря по пътя, който политиката възнамерява, а не от сървър, който устройството е запомнило. Семейството адреси в политиката покрива всяко семейство, което телевизорът и мрежата за достъп действително използват. Предаването още намира телевизора от телефона, който наистина ще се използва, а не от тестов телефон на същия SSID.

Дръжте тези четири реда до конфигурацията на рутера, а не в чат: какво съвпада правилото, кой резолвер пита телевизорът, кое семейство е покрито и кой локален път е нужен за предаването. Следващият човек, който отвори защитната стена, ще прочете конфигурацията много преди да прочете тикет. Дотогава този човек може да сте вие.