VPN Pi με πολλούς δρομολογητές: βάλτε κάθε διαδρομή στη συσκευή που αποφασίζει

Το να βάλετε ένα κουτί Wi-Fi πίσω από το Pi μετατρέπει μία απόφαση δρομολόγησης σε τέσσερις, και το σχέδιο σπάει όταν και οι τέσσερις λαμβάνονται σε μία συσκευή. Το πρώτο ερώτημα δεν είναι ποια διαδρομή να προσθέσετε. Είναι αν το νέο κουτί γεφυρώνει ή δρομολογεί, γιατί αυτή η απάντηση καθορίζει πόσα υποδίκτυα υπάρχουν και ποιες συσκευές πρέπει να μάθουν γι’ αυτά. Επιλέξτε πρώτα το μοντέλο σύνδεσης· κάθε διαδρομή προκύπτει από αυτό.

Γέφυρα ή δρομολόγηση: η επιλογή που καθορίζει τον αριθμό

Μια γέφυρα βάζει τους νέους πελάτες στο ίδιο υποδίκτυο που εξυπηρετεί ήδη το Pi. Ένα υποδίκτυο, μία αρχή DHCP και καμία παράδοση για δρομολόγηση. Αυτή είναι η απλούστερη διάταξη και η σωστή όταν ένα ξεχωριστό δίκτυο πελατών δεν ήταν ποτέ απαίτηση. Μια δρομολογημένη ζεύξη είναι διαφορετικός σχεδιασμός: το κουτί κρατά το δικό του υποδίκτυο, και αυτό το πρόθεμα πρέπει να μεταφέρεται παντού όπου πηγαίνει η κίνηση.

Το υπόλοιπο σχέδιο κρατά τον δρομολογητή πιο κάτω και διατηρεί τις διευθύνσεις πηγής των πελατών. Ο στόχος είναι ένα ιδιωτικό δίκτυο VPN, όχι πλήρης έξοδος στο διαδίκτυο. Γράψτε το μοντέλο πριν από τις διευθύνσεις, γιατί η λίστα παρακάτω είναι μόνο ένα παράδειγμα δρομολογημένης σύνδεσης.

client subnet       10.41.0.0/24
client gateway      10.41.0.1
router-to-Pi link   192.168.71.2
Pi on that link     192.168.71.1
private target      10.72.9.0/24

Ποιος αποφασίζει τι

Κάθε συσκευή λαμβάνει μία απόφαση, και καμία δεν μπορεί να λάβει την απόφαση μιας άλλης για λογαριασμό της. Το Pi χρειάζεται δύο καταχωρίσεις, όχι μία, και η διαδρομή επιστροφής είναι αυτή που ξεχνά ο κόσμος. Η προωθημένη κίνηση φτάνει σωστά στο ιδιωτικό δίκτυο και μετά πεθαίνει στον δρόμο της επιστροφής, γιατί το Pi δεν έχει ιδέα πού ζει το 10.41.0.0/24. Αυτό μοιάζει με πρόβλημα τείχους προστασίας και στην πραγματικότητα είναι μια διαδρομή που λείπει.

Και η απομακρυσμένη πλευρά χρειάζεται τη δική της διαδρομή. Αν η υπηρεσία στο μακρινό άκρο δεν γνωρίζει ότι το 10.41.0.0/24 είναι προσβάσιμο μέσω της σήραγγάς σας, οι απαντήσεις σταματούν στο πρώτο άλμα που δεν έχει απάντηση. Προσθέστε και τις δύο κατευθύνσεις πριν διαβάσετε φίλτρα πακέτων.

Τα επόμενα άλματα προκύπτουν από τη σύνδεση

Το επόμενο άλμα πρέπει να είναι μια διεύθυνση σε δίκτυο που η συσκευή μπορεί πραγματικά να φτάσει. Η δημόσια διεύθυνση του ομότιμου VPN δεν είναι το επόμενο άλμα για ένα ιδιωτικό υποδίκτυο, και το απομακρυσμένο δίκτυο υπηρεσίας δεν είναι καθόλου επόμενο άλμα. Μια διαδρομή προς απρόσιτη πύλη φαίνεται σωστή σε μια λίστα και ρίχνει κάθε πακέτο. Ελέγξτε ότι η πύλη απαντά πριν κατηγορήσετε τον προορισμό.

Κρατήστε τον εξωτερικό ομότιμο VPN του Pi προσβάσιμο μέσω της δικής του διαδρομής υποβάθρου. Αυτή η καταχώριση είναι ξεχωριστή από τις διαδρομές ωφέλιμου φορτίου, και η ανάμειξή τους δίνει μια σήραγγα που δεν μπορεί να επανέλθει μετά από αλλαγή διαδρομής.

Η τεκμηρίωση στατικών διαδρομών κάνει σαφή τη διάκριση μεταξύ προορισμού και πύλης, αν και κάθε πλατφόρμα ονομάζει διαφορετικά τα μενού της. Διαβάστε την τεκμηρίωση για τη συσκευή μπροστά σας αντί να αντιγράφετε την οθόνη άλλου κατασκευαστή. Οι εντολές παρακάτω δείχνουν τη μορφή των καταχωρίσεων στο Linux.

# on the Pi
ip route add 10.41.0.0/24 via 192.168.71.2
ip route add 10.72.9.0/24 dev tun0
# on the downstream router
ip route add 10.72.9.0/24 via 192.168.71.1

Τι κάνει η μετάφραση στην πηγή

Αν ο δρομολογητής πιο κάτω μεταφράζει ήδη τους πελάτες του στη διεύθυνση διέλευσης, το Pi βλέπει μία μεταφρασμένη πηγή αντί για τη διεύθυνση κάθε πελάτη. Αυτός είναι διαφορετικός σχεδιασμός από τον σχεδιασμό που διατηρεί την πηγή παραπάνω. Αλλάζει την πολιτική με βάση την πηγή, την καταγραφή και ποια πλευρά μπορεί να ξεκινήσει συνδέσεις. Και οι δύο σχεδιασμοί λειτουργούν· απαντούν σε διαφορετικά ερωτήματα.

Όταν μια υπηρεσία VPN ανάντη αρνείται να δρομολογήσει το πρόθεμα πελάτη προς τα πίσω, μια στενή μετάφραση στην έξοδο της σήραγγας του Pi μπορεί να είναι νόμιμη λύση ανάγκης. Δεν είναι απόδειξη ότι η διαδρομή που λείπει ήταν περιττή. Καταγράψτε ποια διεύθυνση βλέπει πραγματικά το απομακρυσμένο δίκτυο και ποια διαδρομή επιστροφής προκύπτει.

Η επιλογή διαδρομής, η άδεια προώθησης και η μετάφραση πηγής παραμένουν τρεις ξεχωριστές δουλειές. Το ξέπλυμα μιας κοινόχρηστης αλυσίδας NAT ή η άδεια σε κάθε διεπαφή επειδή ένας ενσύρματος πελάτης λειτουργεί είναι ο τρόπος με τον οποίο μια δοκιμή που λειτουργεί γίνεται ανοιχτός προωθητής.

Αποδείξτε το από μηχάνημα πελάτη

Στείλτε ένα αίτημα από μηχάνημα στο δίκτυο LAN πιο κάτω και μετά ακολουθήστε την πηγή του προς τα έξω και πίσω. Ένα ping από το Pi δεν ασκεί ποτέ τη διαδρομή επιστροφής του κατώτερου δικτύου, γι’ αυτό ένα επιτυχημένο ping αποδεικνύει λιγότερα από όσα φαίνεται. Προσθέστε μια δεύτερη δοκιμή από ενσύρματο πελάτη στο δικό του LAN του Pi ώστε να συγκριθούν οι δύο διαδρομές. Επαναλάβετε και τις δύο μετά από επανεκκίνηση οποιασδήποτε συσκευής.

Διαδρομές που προστέθηκαν με το χέρι και μεταφράσεις που δεν αποθηκεύτηκαν ποτέ εξαφανίζονται μαζί. Τότε το ζεύγος μοιάζει με νέα βλάβη αντί για ημιτελή δουλειά.

Αποθηκεύστε το μοντέλο σύνδεσης μαζί με τις διαδρομές, την επιτρεπόμενη ιδιωτική υπηρεσία και κάθε μετάφραση σε ένα σημείωμα. Αυτό το σημείωμα είναι που εμποδίζει τον επόμενο να αντιμετωπίσει την ασύρματη τοποθέτηση ως ζήτημα πολιτικής δρομολόγησης.