Rhannwch un cysylltiad VPN â phob dyfais ar eich LAN

Mae un gliniadur yn dal y tiwnel, mae gweddill y tŷ eisiau'r un mynediad, a'r ymgais gyntaf yw pwyntio popeth at y peiriant cysylltiedig. Mae'n methu am resymau heb ddim i'w wneud â'r VPN: rhaid i'r gwesteiwr sy'n derbyn anfon y pecyn ymlaen, ailysgrifennu ei ffynhonnell, a sicrhau bod atebion yn dod o hyd i'w ffordd yn ôl. Collwch unrhyw un o'r tri ac mae'r gliniadur cysylltiedig yn parhau i weithio tra bod pob dyfais arall yn amseru allan. Ateb yw cynllun llwybro, nid gosodiad cleient.

Pam mae pwyntio dyfeisiau at y gwesteiwr yn methu

Mae gwesteiwr sy'n derbyn pecyn a gyfeiriwyd at rwydwaith bell yn dod yn llwybrydd am y foment honno, p'un a wnaeth rhywun ei ffurfweddu felly ai peidio. Mae anfon ymlaen i ffwrdd yn ddiofyn ar Linux ac ar Windows oni bai bod nodwedd yn ei droi ymlaen. Mae cyfieithu yn bwysig oherwydd rhaid i'r ochr bell wybod ble i anfon atebion, ac nid yw cyfeiriad LAN preifat yn golygu dim iddi. Y llwybr dychwelyd yw'r trydydd darn, a dyna'r un y mae pobl yn ei anghofio pan fydd y ping cyntaf yn ymddangos yn llwyddiannus.

Diagnoswch yn y drefn honno yn lle toglo gosodiadau ar hap. Mae pob darn coll yn cynhyrchu symptom ychydig yn wahanol.

Galluogwch anfon ymlaen a chyfieithu ar y gwesteiwr

Mae dau newid ar y gwesteiwr cysylltiedig yn gorchuddio'r ddau ddarn cyntaf: galluogi anfon ymlaen IPv4 a chyfieithu traffig LAN i ryngwyneb y tiwnel.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Cadwch y gwerth sysctl mewn ffeil o dan /etc/sysctl.d, ac ailwirio'r rheol MASQUERADE ar ôl ailgychwyn, oherwydd gall flaenau mur tanau glirio cadwyni personol. Ar Windows mae'r nodwedd rhannu yn cyflawni'r ddau gam, ond mae hefyd yn ailgyfeirio'r addasydd LAN i is-rwydwaith sefydlog ac yn clirio ei borth, sy'n torri cyfeirio statig ac anfon ymlaen porthladdoedd. Adferwch lwybr y llwybrydd at y gwesteiwr yn ei gyfeiriad newydd cyn casglu bod rhannu wedi methu. Yna gwyliwch y cyfrifwyr rheolau yn cynyddu wrth i ail ddyfais anfon traffig.

Rhowch lwybr i'r LAN sy'n goroesi ailgychwyn

Mae angen llwybr i'r rhagddodiad pell ar y dyfeisiau eraill, ac mae'r ddwy ffordd o'i ddarparu yn gwahaniaethu yn y graddau o effaith.

ip route add 10.8.0.0/24 via 192.168.1.20 dev eth0

Mae pwyntio porth diofyn cleient at y gwesteiwr yn anfon ei holl draffig trwy'r gwesteiwr, gan gynnwys argraffu lleol a rhannu ffeiliau, felly mae pethau di-gysylltiad yn stopio pan fydd y gwesteiwr yn cysgu. Mae ychwanegu llwybr penodol ar y llwybrydd ar gyfer y rhagddodiad pell yn gulach: dim ond cyrchfannau y tu ôl i'r tiwnel sy'n mynd i'r peiriant cysylltiedig, ac mae gweddill y LAN yn parhau i weithio. Mae'r is-rwydweithiau uchod yn enghreifftiau, felly disodlwch nhw â'ch ystodau LAN a thiwnel eich hun. Beth bynnag, profwch o ail ddyfais gyda'r tiwnel i fyny ac yna i lawr.

Gwyliwch MTU cyn beio'r tiwnel

Mae tiwneli yn crebachu maint defnyddiadwy'r pecyn, ac nid oes gan yr ail ddyfais unrhyw syniad. Mae trosglwyddiadau mawr a chydlawest TLS yn stopio tra bod ceisiadau bach yn llwyddo.

ping -M do -s 1400 10.8.0.5

Mae ateb yn profi bod y maint hwnnw yn croesi'r llwybr heb ei darnio; mae amseru allan yn golygu bod gorbenion ymgorffori wedi gwthio'r pecyn y tu hwnt i MTU y tiwnel. Gostyngwch y MTU ar y rhyngwyneb rhannu neu cyfyngwch faint mwyaf y segment ar y trosglwyddydd, yna ailadroddwch yr un prawf. Profwch yr un maint ar ochr y LAN yn gyntaf, oherwydd mae methiant lleol yn pwyntio at y LAN yn hytrach nag at y tiwnel. Cofnodwch y maint sy'n gweithio, gan y gall newid darparwr neu diwnel yn ddiweddarach ei symud.

Ar gyfer un ddyfais ychwanegol, mae rhannu o'r gwesteiwr yn ddigon. Ar gyfer cartref, rhowch y llwybr ar y llwybrydd. Pan fydd rhaid i fynediad oroesi i'r gliniadur fynd gyda chi, mae'r tiwnel ei hun yn perthyn i borth pwrpasol.