Premostěný VPN hotspot: kterou výchozí trasu telefon používá?

Telefon na vašem premostěném hotspotu dostává adresu a bránu odněkud a není to výchozí trasa Pi. Změna výchozí trasy Pi mění, kam Pi posílá svůj vlastní provoz. Telefon dál používá bránu, kterou mu řekli, a když tato brána leží na vzdálené LAN, jeho rámce prostě přecházejí most. Dva spotřebitelé, dvě rozhodnutí. Jejich oddělení vysvětluje většinu hlášení o hotspotu bez internetu, zatímco samotné Pi je v pořádku.

Dvě zařízení, dvě různá rozhodnutí o bráně

Pi má vlastní IP zásobník a vlastní výchozí trasu. Telefon má vlastní IP zásobník a vlastní výchozí trasu.

Tato tabulka je celý model. Brána telefonu je adresa na vzdálené LAN a jeho rámce se předávají na vrstvě 2 k tomuto routeru. Výchozí trasa Pi se týká vlastního vnějšího transportu Pi, který se musí dostat k VPN protějšku přes cestovní uplink.

Most přeposílá rámce, nesměruje pakety

Linuxový most přeposílá Ethernetové rámce podle cílové MAC a to je vše, co mezi svými porty dělá. Rámec telefonu adresovaný MAC vzdáleného routeru se přepne na port TAP a projde tunelem, aniž by se dotkl směrovací tabulky Pi. Proto může rozbitá výchozí trasa Pi nechat telefon fungovat a proto správná nemůže opravit telefon, kterému dali špatnou bránu.

TAP přenáší Ethernetové rámce a může být portem mostu. TUN přenáší IP pakety a nemůže. Pokud váš návrh nahradil jedno druhým, most není most a zbytek tohoto neplatí.

Rozhodněte, kdo přiděluje lease telefonu

DHCP volba 3 je volba routeru a říká klientovi, kterou bránu má použít pro svou podsíť. Když je DHCP server vzdálené LAN jediným přidělovačem, telefon dostane vzdálenou bránu a návrh je konzistentní. Když na cestovní straně odpoví první něco jiného, telefon dostane místní bránu, jeho internetový provoz odchází cestovním uplinkem a jeho provoz do vzdálené LAN nemá vůbec žádnou cestu.

Spusťte jeden přidělovač pro tuto broadcast doménu a zaznamenejte, co přiděluje.

Pi je samostatný případ, i když bere adresu ze stejného lease. Vědomě rozhodněte, zda má instalovat trasy, které lease nabízí, protože importovaná vzdálená výchozí trasa může vtáhnout vlastní VPN transport Pi do tunelu, který se snaží udržet živý. U systemd-networkd je tím rozhodnutím UseRoutes= v sekci DHCP; u dhclient je to volba routers v seznamu požadavků.

Držte uplink mimo premostěnou LAN

Rozhraní, které nese vnější VPN připojení Pi, se nesmí stát portem mostu. Pokud se jím stane, šifrovaný transport se přepne do rozšířené LAN a tunel nakonec nese své vlastní vnější pakety, což selhává způsobem, který vypadá jako ztráta paketů, nikoli jako smyčka. Držte také explicitně schopnost AP a podporu mostu. Bezdrátové rozhraní v režimu station obvykle nemůže být portem mostu, protože hlavička 802.11 nemá místo pro druhou MAC adresu, kterou most potřebuje.

Definujte rozšířenou broadcast doménu, jeden plán adres a filtrování rámců, které skutečně chcete. Povolení VPN posluchače na Pi nedává každému premostěnému klientovi přístup ke službám správy Pi. To jsou oddělená pravidla a jejich sloučení je způsob, jak se hotspot tiše stane otevřenými dveřmi.

Otestujte čtyři věci odděleně, když se to rozbije

Když se telefon nedostane do vzdálené LAN, čtyři pozorování oddělí příčiny. Proveďte je v tomto pořadí a zastavte se u prvního, které selže.

ip route show default
bridge link show
ip -4 neigh show dev br0
tcpdump -ni br0 arp or icmp

Začněte lease: drží telefon adresu a bránu ve vzdálené podsíti? Pak se podívejte na most a potvrďte, že port AP i port TAP přeposílají. Pak přečtěte tabulku sousedů, protože nevyřešený záznam pro vzdálený router znamená, že rámce odcházejí a nic neodpovídá. Nakonec sledujte rámce na mostě, zatímco telefon pinguje, což vám řekne, zda je závada vůbec pod IP.

Zaznamenejte, které zařízení vlastní každou výchozí trasu, až skončíte. Jeden řádek dokumentace mění místní versus vzdálený výstup v uvědomělé rozhodnutí klienta a odkaz na most stojí za to mít vedle.