Smart TV na VPN: proč se vysílání a DNS rozbíjejí odděleně

Váš televizor zobrazuje zahraniční katalog a tlačítko vysílání v telefonu už ho neuvádí. Obě stížnosti začínají jednou větou, která pojmenovává čtyři nastavení na čtyřech stránkách routeru. Opravte východ a objevování se rozbije; opravte objevování a další lease předá východ jinému zařízení. Pořadí níže jde od selektoru k cestě vysílání.

Kde žije každé ze čtyř rozhodnutí

Zapište si všechny čtyři, než otevřete menu, protože každé žije na jiné stránce a selhává na jiném místě. Selektor určuje, na kterého klienta se tunel vztahuje, resolver rozhoduje, kde se jména zodpovídají, rodina adres rozhoduje, zda je IPv6 vůbec pokryta, a lokální cesta rozhoduje, zda telefon a televizor ještě vidí jeden druhý. Změna jednoho vypadá úplně ze stránky, na které stojíte. Škoda od ostatních tří se objeví později, v jiném menu, jako jiná stížnost.

Menu firmwaru se liší, ale čtyři místa málokdy. Selektor je statické mapování na serveru DHCP plus firewallové pravidlo, které mu odpovídá. Resolver sedí u služby DNS, kde položka forwarderu nebo seznam upstream serverů rozhoduje, na která jména router odpovídá a odkud dotazy odcházejí. Nastavení rodiny patří samotnému rozhraní, kde se IPv4 a IPv6 konfigurují odděleně a politika může pokrýt jen první. Lokální cesta je přepínač přístupového bodu, buď izolace klientů, nebo hostovská síť s vlastním firewallem.

Ať selektor přežije lease

Funguje politika pro každé zařízení i vyhrazený segment a lepší volba je ta, kterou firmware dokáže udržovat, aniž by si ji musel pamatovat druhý člověk. Pastí je pravidlo přikované k adrese, kterou server DHCP přidělil podle vlastního rozvrhu: funguje, dokud se lease neposune, a pak směruje notebook přes jinou zemi z důvodů, které jeho majitel nevidí. Trvalost, ne pořádek, je vlastnost, kterou stojí za to optimalizovat.

Pošlete rezervaci a pravidlo jako jednu změnu, protože pravidlo, které přežije svou rezervaci, míří na cizí hardware. Pravidlo pro celý segment je nejtrvanlivější a nejhrubší selektor, protože každé zařízení za tím rozhraním dědí východ, ať už ho potřebovalo, nebo ne. Ať vyberete jakýkoli selektor, další je otázka pokrytí: politika jen pro IPv4 je polovina rozhodnutí a nepokrytá rodina je ta, která odchází bez povšimnutí.

Zjistěte, který resolver televizor skutečně používá

Otevřete vlastní síťové nastavení televizoru, než se dotknete routeru, protože spor rozhoduje zařízení. Pole DNS nastavené ručně dál používá ten server, ať DHCP nabízí cokoli, a set-top box jednou nakonfigurovaný pro jiný region může stále mířit na adresu, která už neodpovídá. Je-li pole automatické, rozhoduje možnost DHCP routeru a vlastní resolver routeru se stává další otázkou. V obou případech je odpověď na obrazovce zařízení, ne v příručce firmwaru.

Na straně routeru je důležité rozlišení mezi jmény, která router zodpovídá sám, a jmény, která přeposílá, protože tyto dvě cesty mohou odcházet přes různá rozhraní. Úspěšně vyřešený dotaz tedy nic neříká o tom, kam jde mediální požadavek, a na linuxové bráně tabulka politik plus jedno hledání trasy odpoví na obě otázky, aniž by na televizoru cokoli zachytilo:

ip rule show
ip route get 203.0.113.10

Přečtěte první příkaz pro pravidlo, které označuje provoz televizoru, a druhý pro rozhraní, které by paket na ukázkovou adresu skutečně použil. Když se oba rozcházejí, resolver není viník; politika je. Změňte jednu věc, pak dvojici spusťte znovu, protože seznam pravidel je citlivý na pořadí a nová položka může zastínit pravidlo, které provoz neslo. Cíl je vyhrazen pro dokumentaci, takže vložený výstup se čte jako ukázka.

Vysílání se láme při objevování, ne při streamu

Vysílání jsou nejméně tři konverzace a jen jedna z nich nese video. Telefon objeví televizor přes multicast nebo broadcast v lokálním segmentu, otevře řídicí kanál, aby řekl, co přehrát, a pak televizor buď stream stáhne sám, nebo ho přijme přeposlaný z telefonu. Objevování nikdy nepřekročí router, který tento provoz nepřeposílá, a právě proto může být televizor směrován přesně podle záměru a přesto se nikdy neobjeví v seznamu pro vysílání.

Hostovské sítě a izolace klientů jsou obvyklou příčinou a obojí dělá přesně to, k čemu bylo nakonfigurováno. Vypnutí izolace v celé bezdrátové síti, aby se jedno zařízení znovu objevilo, je obvyklá přehnaná oprava a znovu otevírá každou cestu telefon-telefon, kterou mělo nastavení zavřít. Existují užší odpovědi: pravidlo propuštění pro objevovací a řídicí provoz mezi dvěma adresami, samostatná SSID pro televizory nebo jedna zdokumentovaná výjimka v hostovské síti.

Otestujte vysílání, zatímco pravidlo izolace ještě platí, pak přidejte jen výjimku pro objevování a otestujte znovu. Pokud druhý pokus televizor najde, výjimka je řešení a zbytek segmentu může zůstat, jak byl.

Zastavte tunel a sledujte, kterým směrem selže

Poslední kontrola je ta, kterou většina instalací vynechává: sundejte tunel a sledujte, zda se televizor zastaví, nebo tiše odejde přes lokální připojení. Politika, která vyjadřuje preferenci, selhává otevřeně a toto selhání se snadno přehlédne, protože přehrávání pokračuje, zatímco východ se vrací k ISP. Pravidlo kill-switch selhává zavřeně a televizor nic nehlásí, dokud se tunel nevrátí. Ani jedno chování není špatné; nevědět, které jste nakonfigurovali, je.

Po každé změně znovu zkontrolujte čtyři věci v tomto pořadí. Selektor po dalším lease nebo restartu stále odpovídá zařízení. Resolver odpovídá na cestě, kterou politika zamýšlí, ne ze serveru, který si zařízení pamatovalo. Rodina adres v politice pokrývá každou rodinu, kterou televizor a přístupová síť skutečně používají. Vysílání stále nachází televizor z telefonu, který se opravdu použije, ne z testovacího telefonu na stejné SSID.

Tyto čtyři řádky mějte vedle konfigurace routeru, ne v chatovém vlákně: co pravidlo odpovídá, na který resolver se televizor ptá, která rodina je pokryta a kterou lokální cestu vysílání potřebuje. Další člověk, který otevře firewall, si konfiguraci přečte mnohem dřív, než si přečte tiket. Do té doby tím člověkem můžete být vy.