Γεφυρωτό hotspot VPN: ποια προεπιλεγμένη διαδρομή χρησιμοποιεί το τηλέφωνο;
Η προεπιλεγμένη διαδρομή του Pi δεν είναι η πύλη του τηλεφώνου. Διαχωρίστε τις δύο αποφάσεις, κρατήστε το uplink έξω από τη γέφυρα και δοκιμάστε το lease πριν από τη σήραγγα.
Το τηλέφωνο στο γεφυρωτό hotspot σας παίρνει τη διεύθυνση και την πύλη του από κάπου, και αυτό δεν είναι η προεπιλεγμένη διαδρομή του Pi. Η αλλαγή της προεπιλεγμένης διαδρομής του Pi αλλάζει πού στέλνει το Pi την δική του κίνηση. Το τηλέφωνο συνεχίζει να χρησιμοποιεί την πύλη που του είπαν, και όταν αυτή η πύλη βρίσκεται στο απομακρυσμένο LAN, τα πλαίσιά του απλώς περνούν τη γέφυρα. Δύο καταναλωτές, δύο αποφάσεις. Ο διαχωρισμός τους εξηγεί τις περισσότερες αναφορές για hotspot χωρίς internet ενώ το ίδιο το Pi είναι εντάξει.
Δύο συσκευές, δύο διαφορετικές αποφάσεις πύλης
Το Pi έχει τη δική του στοίβα IP και τη δική του προεπιλεγμένη διαδρομή. Το τηλέφωνο έχει τη δική του στοίβα IP και τη δική του προεπιλεγμένη διαδρομή.
| Consumer | Who chooses its gateway | What carries the traffic |
|---|---|---|
| Phone on the bridged AP | The remote LAN router, delivered in its client configuration | An Ethernet frame toward that router crosses the AP and TAP bridge |
| Pi's encrypted connection | The travel uplink's route toward the VPN peer | The Pi sends its own outer transport packets over the underlay |
Αυτός ο πίνακας είναι το όλο μοντέλο. Η πύλη του τηλεφώνου είναι μια διεύθυνση στο απομακρυσμένο LAN, και τα πλαίσιά του προωθούνται στο επίπεδο 2 προς αυτόν τον δρομολογητή. Η προεπιλεγμένη διαδρομή του Pi αφορά τη δική του εξωτερική μεταφορά, που πρέπει να φτάσει τον ομότιμο VPN μέσω του uplink ταξιδιού.
Η γέφυρα προωθεί πλαίσια, δεν δρομολογεί πακέτα
Μια γέφυρα Linux προωθεί πλαίσια Ethernet κατά MAC προορισμού, και αυτό είναι το μόνο που κάνει μεταξύ των θυρών της. Το πλαίσιο του τηλεφώνου που απευθύνεται στο MAC του απομακρυσμένου δρομολογητή μεταφέρεται στη θύρα TAP και διασχίζει τη σήραγγα χωρίς να αγγίζει τον πίνακα δρομολόγησης του Pi. Γι' αυτό μια χαλασμένη προεπιλεγμένη διαδρομή του Pi μπορεί να αφήσει το τηλέφωνο να δουλεύει, και γι' αυτό μια σωστή δεν μπορεί να διορθώσει ένα τηλέφωνο που πήρε λάθος πύλη.
Το TAP μεταφέρει πλαίσια Ethernet και μπορεί να είναι θύρα γέφυρας. Το TUN μεταφέρει πακέτα IP και δεν μπορεί. Αν ο σχεδιασμός σας αντικατέστησε το ένα με το άλλο, η γέφυρα δεν είναι γέφυρα και τα υπόλοιπα δεν ισχύουν.
Αποφασίστε ποιος δίνει το lease του τηλεφώνου
Η επιλογή 3 του DHCP είναι η επιλογή δρομολογητή και λέει στον πελάτη ποια πύλη να χρησιμοποιήσει για το υποδίκτυό του. Όταν ο διακομιστής DHCP του απομακρυσμένου LAN είναι ο μόνος διανομέας, το τηλέφωνο παίρνει απομακρυσμένη πύλη και ο σχεδιασμός είναι συνεπής. Όταν κάτι άλλο στην πλευρά του ταξιδιού απαντήσει πρώτο, το τηλέφωνο παίρνει τοπική πύλη, η κίνησή του προς το internet φεύγει από το uplink ταξιδιού, και η κίνησή του προς το απομακρυσμένο LAN δεν έχει καμία διαδρομή.
Τρέξτε έναν διανομέα για αυτό το πεδίο εκπομπής, και καταγράψτε τι δίνει.
Το Pi είναι ξεχωριστή περίπτωση ακόμη και όταν παίρνει διεύθυνση από το ίδιο lease. Αποφασίστε συνειδητά αν πρέπει να εγκαταστήσει τις διαδρομές που προσφέρει το lease, γιατί μια εισαγόμενη απομακρυσμένη προεπιλογή μπορεί να σύρει την δική του μεταφορά VPN του Pi μέσα στη σήραγγα που προσπαθεί να κρατήσει ζωντανή. Με το systemd-networkd αυτή η απόφαση είναι UseRoutes= στην ενότητα DHCP· με το dhclient είναι η επιλογή routers στη λίστα αιτημάτων.
Κρατήστε το uplink έξω από το γεφυρωτό LAN
Η διεπαφή που μεταφέρει την εξωτερική σύνδεση VPN του Pi δεν πρέπει να γίνει θύρα γέφυρας. Αν γίνει, η κρυπτογραφημένη μεταφορά μεταφέρεται στο εκτεταμένο LAN και η σήραγγα καταλήγει να μεταφέρει τα δικά της εξωτερικά πακέτα, κάτι που αποτυγχάνει με τρόπο που μοιάζει με απώλεια πακέτων παρά με βρόχο. Κρατήστε επίσης ρητές τη δυνατότητα AP και την υποστήριξη γέφυρας. Μια ασύρματη διεπαφή σε λειτουργία station συνήθως δεν μπορεί να είναι θύρα γέφυρας, γιατί η κεφαλίδα 802.11 δεν έχει χώρο για τη δεύτερη διεύθυνση MAC που χρειάζεται μια γέφυρα.
Ορίστε το εκτεταμένο πεδίο εκπομπής, ένα σχέδιο διευθύνσεων και το φιλτράρισμα πλαισίων που θέλετε πραγματικά. Το να επιτρέψετε τον ακροατή VPN στο Pi δεν δίνει σε κάθε γεφυρωτό πελάτη πρόσβαση στις υπηρεσίες διαχείρισης του Pi. Αυτοί είναι ξεχωριστοί κανόνες, και το να τους αντιμετωπίζετε ως έναν είναι ο τρόπος με τον οποίο ένα hotspot γίνεται ήσυχα μια ανοιχτή πόρτα.
Δοκιμάστε τα τέσσερα χωριστά όταν χαλάσει
Όταν το τηλέφωνο δεν φτάνει το απομακρυσμένο LAN, τέσσερις παρατηρήσεις διαχωρίζουν τα αίτια. Τρέξτε τις με αυτή τη σειρά και σταματήστε στην πρώτη που αποτυγχάνει.
ip route show default
bridge link show
ip -4 neigh show dev br0
tcpdump -ni br0 arp or icmpΞεκινήστε με το lease: κρατά το τηλέφωνο διεύθυνση και πύλη στο απομακρυσμένο υποδίκτυο; Μετά κοιτάξτε τη γέφυρα, και επιβεβαιώστε ότι η θύρα AP και η θύρα TAP προωθούν και οι δύο. Μετά διαβάστε τον πίνακα γειτόνων, γιατί μια άλυτη εγγραφή για τον απομακρυσμένο δρομολογητή σημαίνει ότι τα πλαίσια φεύγουν και τίποτα δεν απαντά. Τέλος παρακολουθήστε τα πλαίσια στη γέφυρα ενώ το τηλέφωνο κάνει ping, που σας λέει αν το σφάλμα είναι καθόλου κάτω από το IP.
Καταγράψτε ποια συσκευή κατέχει κάθε προεπιλογή όταν τελειώσετε. Μία γραμμή τεκμηρίωσης μετατρέπει την τοπική έναντι της απομακρυσμένης εξόδου σε συνειδητή απόφαση πελάτη, και η αναφορά της γέφυρας αξίζει να μείνει δίπλα.