VPN Pi aml-llwybrydd: rhowch bob llwybr ar y ddyfais sy'n penderfynu
Mae llwybrydd i lawr yr afon yn ychwanegu ail is-rwydwaith cleient, ac mae gan bob un o'r pedair dyfais un penderfyniad. Gosodwch y llwybrau, gwiriwch y ffynhonnell, yna profwch o gleient go iawn.
Mae rhoi blwch Wi-Fi y tu ôl i'r Pi yn troi un penderfyniad llwybro yn bedwar, ac mae'r cynllun yn torri pan wneir y pedwar ar un ddyfais. Nid pa lwybr i'w ychwanegu yw'r cwestiwn cyntaf. Y cwestiwn yw a yw'r blwch newydd yn pontio neu'n llwybro, oherwydd mae'r ateb hwnnw'n penderfynu faint o is-rwydweithiau sydd a pha ddyfeisiau sy'n gorfod dysgu amdanynt. Dewiswch y model cysylltu yn gyntaf; mae pob llwybr yn dilyn ohono.
Pontio neu lwybro: y dewis sy'n pennu'r cyfrif
Mae pont yn rhoi'r cleientiaid newydd ar yr un is-rwydwaith y mae'r Pi eisoes yn ei gwasanaethu. Un is-rwydwaith, un awdurdod DHCP, a dim trosglwyddiad i lwybro. Dyma'r trefniant symlach a'r un iawn pan nad yw rhwydwaith cleient ar wahân erioed wedi bod yn ofyniad. Mae cyswllt llwybrol yn ddyluniad gwahanol: mae'r blwch yn cadw ei is-rwydwaith ei hun, a rhaid cario'r rhagddodiad hwnnw i bob man y mae'r traffig yn mynd.
Mae gweddill y cynllun hwn yn cadw'r llwybrydd i lawr yr afon ac yn diogelu cyfeiriadau ffynhonnell y cleientiaid. Y nod yw un rhwydwaith VPN preifat, nid allanfa rhyngrwyd lawn. Ysgrifennwch y model cyn y cyfeiriadau, oherwydd dim ond enghraifft o gysylltiad llwybrol yw'r rhestr isod.
client subnet 10.41.0.0/24
client gateway 10.41.0.1
router-to-Pi link 192.168.71.2
Pi on that link 192.168.71.1
private target 10.72.9.0/24Pwy sy'n penderfynu beth
| Decision owner | Entry that encodes the decision | Failure when the entry is missing |
|---|---|---|
| Pi VPN host | Return route for 10.41.0.0/24 via 192.168.71.2, and a tunnel route for 10.72.9.0/24 | Replies to downstream clients die at the Pi |
| Owner of the remote network | A path for 10.41.0.0/24 over the permitted tunnel | Replies stop at the first unaware hop |
| LAN router behind the Pi | Specific route for 10.72.9.0/24 via 192.168.71.1, or a suitable default | Clients never send private traffic to the Pi |
| Client machine | Default via 10.41.0.1, or a specific entry for 10.72.9.0/24 | The private network is unreachable from the client |
Mae pob dyfais yn gwneud un penderfyniad, ac ni all yr un wneud un arall drosti. Mae angen dau gofnod ar y Pi, nid un, a'r llwybr dychwelyd yw'r un y mae pobl yn ei anghofio. Mae traffig a anfonir ymlaen yn cyrraedd y rhwydwaith preifat yn gywir ac yna'n marw ar y ffordd yn ôl, oherwydd nid oes gan y Pi syniad ble mae 10.41.0.0/24 yn byw. Mae hynny'n edrych fel problem wal dân ac mewn gwirionedd mae'n llwybr ar goll.
Mae angen ei lwybr ei hun ar yr ochr bell hefyd. Os nad yw'r gwasanaeth yn y pen pell yn gwybod bod 10.41.0.0/24 yn gyrraeddadwy drwy eich twmnel, mae atebion yn stopio ar y naid gyntaf heb ateb. Ychwanegwch y ddau gyfeiriad cyn darllen hidlwyr pecynnau.
Daw'r naid nesaf o'r cysylltiad
Rhaid i'r naid nesaf fod yn gyfeiriad ar rwydwaith y gall y ddyfais gyrraedd mewn gwirionedd. Nid yw cyfeiriad cyhoeddus y cymar VPN yn naid nesaf ar gyfer is-rwydwaith preifat, ac nid yw'r rhwydwaith gwasanaeth pell yn naid nesaf o gwbl. Mae llwybr i borth anghyrraeddadwy yn edrych yn gywir mewn rhestr ac yn gollwng pob pecyn. Gwiriwch fod y porth yn ateb cyn beio'r cyrchfan.
Cadwch gymar VPN allanol y Pi yn gyrraeddadwy drwy ei lwybr underlay ei hun. Mae'r cofnod hwnnw ar wahân i lwybrau'r llwyth, ac mae eu cymysgu'n rhoi twmnel na all ailsefydlu ar ôl newid llwybr.
Mae dogfennaeth llwybrau statig yn egluro'r gwahaniaeth rhwng cyrchfan a phorth, er bod pob platfform yn labelu ei fwydlenni'n wahanol. Darllenwch ddogfennaeth y ddyfais o'ch blaen yn lle copïo sgrin gwerthwr arall. Mae'r gorchmynion isod yn dangos siâp y cofnodion ar Linux.
# on the Pi
ip route add 10.41.0.0/24 via 192.168.71.2
ip route add 10.72.9.0/24 dev tun0
# on the downstream router
ip route add 10.72.9.0/24 via 192.168.71.1Beth mae cyfieithu'n ei wneud i'r ffynhonnell
Os yw'r llwybrydd i lawr yr afon eisoes yn cyfieithu ei gleientiaid i'r cyfeiriad tramwy, mae'r Pi yn gweld un ffynhonnell gyfieithiedig yn lle cyfeiriad ei hun pob cleient. Mae hwn yn ddyluniad gwahanol i'r un sy'n diogelu'r ffynhonnell uchod. Mae'n newid polisi sy'n seiliedig ar ffynhonnell, cofnodi, a pha ochr all gychwyn cysylltiadau. Mae'r ddau ddyluniad yn gweithio; maent yn ateb cwestiynau gwahanol.
Pan fo gwasanaeth VPN i fyny'r afon yn gwrthod llwybro rhagddodiad y cleient yn ôl, gall cyfieithiad cul wrth allanfa twmnel y Pi fod yn weithred atebol dilys. Nid yw'n brawf bod y llwybr coll yn ddiangen. Cofnodwch ba gyfeiriad y mae'r rhwydwaith pell yn ei weld mewn gwirionedd a pha lwybr dychwelyd sy'n deillio.
Mae dewis llwybr, caniatâd anfon ymlaen a chyfieithu ffynhonnell yn parhau'n dri swydd ar wahân. Mae fflysio cadwyn NAT a rennir neu ganiatáu pob rhyngwyneb oherwydd bod un cleient gwifrog yn gweithio yn ffordd o droi prawf sy'n gweithio yn anfonwr agored.
Profi hyn o beiriant cleient
Anfonwch gais o beiriant ar y LAN i lawr yr afon, yna dilynwch ei ffynhonnell allan ac yn ôl. Nid yw ping a wneir gan y Pi byth yn ymarfer y llwybr dychwelyd i lawr yr afon, a dyna pam mae ping llwyddiannus yn profi llai nag y mae'n edrych. Ychwanegwch ail brawf o gleient gwifrog ar LAN y Pi ei hun fel y gellir cymharu'r ddau lwybr. Ailadroddwch y ddau ar ôl ailgychwyn naill ai dyfais.
Mae llwybrau a ychwanegwyd â llaw a chyfieithiadau na chawsant eu cadw byth yn diflannu gyda'i gilydd. Yna mae'r pâr yn edrych fel nam newydd yn hytrach na gwaith heb ei orffen.
Cadwch y model cysylltu gyda'r llwybrau, y gwasanaeth preifat a ganiateir ac unrhyw gyfieithiad mewn un nodyn. Y nodyn hwnnw sy'n atal y person nesaf rhag trin lleoliad di-wifr fel cwestiwn polisi llwybro.