Premošteni VPN hotspot: koju zadanu rutu telefon koristi?
Zadana ruta Pi računala nije pristupnik telefona. Razdvojite te dvije odluke, držite uplink izvan premosnika i testirajte lease prije tunela.
Telefon na vašem premoštenom hotspotu dobiva adresu i pristupnik negdje, i to nije zadana ruta Pi računala. Promjena Pi zadane rute mijenja kamo Pi šalje vlastiti promet. Telefon nastavlja koristiti pristupnik koji mu je rečen, a kada taj pristupnik stoji na udaljenom LAN-u, njegovi okviri jednostavno prelaze premosnik. Dva potrošača, dvije odluke. Njihovo razdvajanje objašnjava većinu izvještaja o hotspotu bez interneta dok je sam Pi ispravan.
Dva uređaja, dvije različite odluke o pristupniku
Pi ima vlastiti IP stog i vlastitu zadanu rutu. Telefon ima vlastiti IP stog i vlastitu zadanu rutu.
| Consumer | Who chooses its gateway | What carries the traffic |
|---|---|---|
| Phone on the bridged AP | The remote LAN router, delivered in its client configuration | An Ethernet frame toward that router crosses the AP and TAP bridge |
| Pi's encrypted connection | The travel uplink's route toward the VPN peer | The Pi sends its own outer transport packets over the underlay |
Ta tablica je cijeli model. Pristupnik telefona je adresa na udaljenom LAN-u, a njegovi se okviri prosljeđuju na sloju 2 prema tom usmjerivaču. Zadana ruta Pi računala tiče se Pi vlastitog vanjskog transporta koji mora doći do VPN partnera preko putnog uplinka.
Premosnik prosljeđuje okvire, ne usmjerava pakete
Linux premosnik prosljeđuje Ethernet okvire prema odredišnom MAC-u i to je sve što radi između svojih portova. Okvir telefona adresiran na MAC udaljenog usmjerivača prebacuje se na TAP port i prelazi tunel bez dodirivanja Pi tablice usmjeravanja. Zato neispravna Pi zadana ruta može ostaviti telefon radnim i zato ispravna ne može popraviti telefon koji je dobio pogrešan pristupnik.
TAP nosi Ethernet okvire i može biti port premosnika. TUN nosi IP pakete i ne može. Ako je vaš dizajn jedno zamijenio drugim, premosnik nije premosnik i ostatak ovoga ne vrijedi.
Odlučite tko dodjeljuje lease telefona
DHCP opcija 3 je opcija usmjerivača i govori klijentu koji pristupnik koristiti za svoju podmrežu. Kada je DHCP poslužitelj udaljenog LAN-a jedini dodjeljivač, telefon dobiva udaljeni pristupnik i dizajn je dosljedan. Kada nešto drugo na putnoj strani odgovori prvo, telefon dobiva lokalni pristupnik, njegov internetski promet izlazi preko putnog uplinka, a njegov promet prema udaljenom LAN-u nema nikakav put.
Pokrenite jedan dodjeljivač za tu broadcast domenu i zabilježite što dodjeljuje.
Pi je poseban slučaj čak i kada uzme adresu iz istog leasea. Svjesno odlučite treba li instalirati rute koje lease nudi, jer uvezena udaljena zadana ruta može odvući Pi vlastiti VPN transport u tunel koji pokušava održati živim. Uz systemd-networkd ta je odluka UseRoutes= u DHCP odjeljku; uz dhclient to je opcija routers na popisu zahtjeva.
Držite uplink izvan premoštenog LAN-a
Sučelje koje nosi Pi vanjsku VPN vezu ne smije postati port premosnika. Ako postane, šifrirani se transport prebacuje u prošireni LAN i tunel na kraju nosi vlastite vanjske pakete, što ne uspijeva na način koji izgleda kao gubitak paketa, a ne kao petlja. Držite sposobnost AP-a i podršku premosnika također eksplicitnima. Bežično sučelje u station načinu obično ne može biti port premosnika jer 802.11 zaglavlje nema mjesta za drugu MAC adresu koju premosnik treba.
Definirajte proširenu broadcast domenu, jedan plan adresa i filtriranje okvira koje stvarno želite. Dopuštanje VPN slušača na Pi računalu ne daje svakom premoštenom klijentu pristup Pi upravljačkim servisima. To su odvojena pravila, a njihovo tretiranje kao jednoga je način na koji hotspot tiho postaje otvorena vrata.
Testirajte četiri stvari odvojeno kada se pokvari
Kada telefon ne može doći do udaljenog LAN-a, četiri opažanja razdvajaju uzroke. Izvedite ih ovim redom i zaustavite se na prvom koje ne uspije.
ip route show default
bridge link show
ip -4 neigh show dev br0
tcpdump -ni br0 arp or icmpPočnite s leaseom: drži li telefon adresu i pristupnik na udaljenoj podmreži? Zatim pogledajte premosnik i potvrdite da AP port i TAP port oba prosljeđuju. Zatim pročitajte tablicu susjeda, jer neriješen unos za udaljeni usmjerivač znači da okviri odlaze i ništa ne odgovara. Na kraju gledajte okvire na premosniku dok telefon pinga, što vam kaže je li kvar uopće ispod IP-a.
Zabilježite koji uređaj posjeduje svaku zadanu rutu kada završite. Jedan redak dokumentacije pretvara lokalni nasuprot udaljenom izlazu u svjesnu odluku klijenta, a referenca premosnika vrijedi je držati uz to.