Del én VPN-forbindelse med hver enhed på dit LAN

Én bærbar computer holder tunnelen, resten af huset vil have samme adgang, og det første forsøg er at pege alt mod den tilsluttede maskine. Det fejler af årsager, der intet har med VPN at gøre: den modtagende vært skal videresende pakken, omskrive dens kilde og sikre, at svar finder vej tilbage. Mangler ét af de tre, bliver den tilsluttede computer ved med at virke, mens hver anden enhed får timeout. Løsningen er et routingdesign, ikke en klientindstilling.

Hvorfor det fejler at pege enheder mod værten

En vært, der modtager en pakke adresseret til et fjernt netværk, bliver router i det øjeblik, uanset om nogen har konfigureret den som en. Videresendelse er slået fra som standard på Linux og på Windows, medmindre en funktion tænder den. Oversættelsen er vigtig, fordi fjernsiden skal vide, hvor svarene skal sendes hen, og en privat LAN-adresse betyder intet for den. Returruten er den tredje del, og den glemmer folk, når det første ping ser ud til at lykkes.

Diagnosticér i den rækkefølge i stedet for at skifte indstillinger på må og få. Hver manglende del giver et lidt anderledes symptom.

Slå videresendelse og oversættelse til på værten

To ændringer på den tilsluttede vært dækker de første to dele: slå IPv4-videresendelse til og oversæt LAN-trafikken til tunnelgrænsefladen.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Gem sysctl-værdien i en fil under /etc/sysctl.d, og tjek MASQUERADE-reglen igen efter en genstart, da firewall-frontends kan tømme egne kæder. På Windows udfører delingsfunktionen begge trin, men den omadresserer også LAN-adapteren til et fast subnet og rydder dens gateway, hvilket ødelægger statisk adressering og portvideresendelse. Gendan routerens vej til værten på dens nye adresse, før du konkluderer, at delingen mislykkedes. Se derefter, hvordan regeltællerne stiger, mens en anden enhed sender trafik.

Giv LAN'et en vej, der overlever genstarter

De andre enheder har brug for en rute til det fjerne præfiks, og de to måder at levere den på adskiller sig i omfang.

ip route add 10.8.0.0/24 via 192.168.1.20 dev eth0

At pege en klients standardgateway mod værten sender al dens trafik gennem værten, inklusive lokal udskrivning og fildeling, så urelaterede ting stopper, når værten sover. At tilføje en bestemt rute på routeren til det fjerne præfiks er smallere: kun destinationer bag tunnelen går til den tilsluttede maskine, og resten af LAN'et virker fortsat. Subnettene ovenfor er eksempler, så udskift dem med dine egne LAN- og tunnelområder. Test under alle omstændigheder fra en anden enhed med tunnelen oppe og derefter nede.

Hold øje med MTU, før du bebrejder tunnelen

Tunneler mindsker den brugbare pakkestørrelse, og den anden enhed aner intet. Store overførsler og TLS-håndtryk går i stå, mens små forespørgsler lykkes.

ping -M do -s 1400 10.8.0.5

Et svar beviser, at den størrelse passerer vejen uden fragmentering; en timeout betyder, at indkapslingens overhead har skubbet pakken forbi tunnelens MTU. Sænk MTU'en på delingsgrænsefladen eller begræns den maksimale segmentstørrelse på videresenderen, og gentag derefter den samme prøve. Test først den samme størrelse på LAN-siden, fordi en lokal fejl peger på LAN'et og ikke på tunnelen. Notér den fungerende størrelse, da en senere udbyder- eller tunnelændring kan flytte den.

Til en enkelt ekstra enhed er værtsdeling nok. Til en husstand læg ruten på routeren. Når adgang skal overleve, at computeren tager med dig, hører tunnelen selv på en dedikeret gateway.