Pi-VPN kun pluraj enkursigiloj: metu ĉiun vojon sur la aparaton, kiu decidas
Malsupra enkursigilo aldonas duan klientan subreton, kaj ĉiu el kvar aparatoj posedas unu decidon. Metu la vojojn, kontrolu la fonton, poste testu el reala kliento.
Meti Wi-Fi-skatolon malantaŭ la Pi transformas unu enkursigan decidon en kvar, kaj la plano rompiĝas kiam ĉiuj kvar estas farataj sur unu aparato. La unua demando ne estas, kiun vojon aldoni. Ĝi estas, ĉu la nova skatolo pontas aŭ enkursigas, ĉar tiu respondo decidas kiom da subretoj ekzistas kaj kiuj aparatoj devas lerni pri ili. Elektu unue la konektan modelon; ĉiu vojo sekvas el ĝi.
Ponto aŭ enkursigo: la elekto, kiu fiksas la nombron
Ponto metas la novajn klientojn en la saman subreton, kiun la Pi jam servas. Unu subreto, unu DHCP-aŭtoritato kaj neniu transdono por enkursigi. Ĉi tio estas la pli simpla aranĝo kaj la ĝusta, kiam aparta klienta reto neniam estis postulo. Enkursigita ligo estas alia dezajno: la skatolo konservas sian propran subreton, kaj tiu prefikso devas esti portata ĉie, kien la trafiko iras.
La resto de ĉi tiu plano konservas la malsupran enkursigilon kaj protektas la fontajn adresojn de klientoj. La celo estas unu privata VPN-reto, ne plena interreta eliro. Skribu la modelon antaŭ la adresoj, ĉar la listo sube estas nur ekzemplo de enkursigita konekto.
client subnet 10.41.0.0/24
client gateway 10.41.0.1
router-to-Pi link 192.168.71.2
Pi on that link 192.168.71.1
private target 10.72.9.0/24Kiu decidas kion
| Decision owner | Entry that encodes the decision | Failure when the entry is missing |
|---|---|---|
| Pi VPN host | Return route for 10.41.0.0/24 via 192.168.71.2, and a tunnel route for 10.72.9.0/24 | Replies to downstream clients die at the Pi |
| Owner of the remote network | A path for 10.41.0.0/24 over the permitted tunnel | Replies stop at the first unaware hop |
| LAN router behind the Pi | Specific route for 10.72.9.0/24 via 192.168.71.1, or a suitable default | Clients never send private traffic to the Pi |
| Client machine | Default via 10.41.0.1, or a specific entry for 10.72.9.0/24 | The private network is unreachable from the client |
Ĉiu aparato faras unu decidon, kaj neniu povas fari alian anstataŭ ĝi. La Pi bezonas du enskribojn, ne unu, kaj la revena vojo estas tiu, kiun homoj forgesas. Plusendita trafiko ĝuste atingas la privatan reton kaj poste mortas survoje reen, ĉar la Pi havas neniun ideon, kie loĝas 10.41.0.0/24. Tio aspektas kiel fajroŝirma problemo kaj estas fakte mankanta vojo.
Ankaŭ la malproksima flanko bezonas sian propran vojon. Se la servo ĉe la malproksima fino ne scias, ke 10.41.0.0/24 estas atingebla tra via tunelo, respondoj haltas ĉe la unua salto sen respondo. Aldonu ambaŭ direktojn antaŭ ol legi pakaĵfiltrilojn.
La sekvaj saltoj venas de la konekto
Sekva salto devas esti adreso en reto, kiun la aparato povas reale atingi. La publika adreso de la VPN-partnero ne estas sekva salto por privata subreto, kaj la malproksima serva reto tute ne estas sekva salto. Vojo al neatingebla pordego aspektas ĝusta en listo kaj faligas ĉiun pakaĵon. Kontrolu, ĉu la pordego respondas, antaŭ ol kulpigi la celon.
Tenu la eksteran VPN-partneron de la Pi atingebla tra ĝia propra baza vojo. Tiu enskribo estas aparta de la utilŝarĝaj vojoj, kaj miksado donas tunelon, kiu ne povas restarigi sin post voja ŝanĝo.
La dokumentaro pri statikaj vojoj klarigas la distingon inter celo kaj pordego, kvankam ĉiu platformo nomas siajn menuojn malsame. Legu la dokumentaron por la aparato antaŭ vi anstataŭ kopii la ekranon de alia vendisto. La komandoj sube montras la formon de la enskriboj en Linux.
# on the Pi
ip route add 10.41.0.0/24 via 192.168.71.2
ip route add 10.72.9.0/24 dev tun0
# on the downstream router
ip route add 10.72.9.0/24 via 192.168.71.1Kion tradukado faras al la fonto
Se la malsupra enkursigilo jam tradukas siajn klientojn al la transitadreso, la Pi vidas unu tradukitan fonton anstataŭ la propran adreson de ĉiu kliento. Tio estas alia dezajno ol la fontkonserva supre. Ĝi ŝanĝas fontbazitan politikon, protokoladon kaj kiun flankon povas komenci konektojn. Ambaŭ dezajnoj funkcias; ili respondas al malsamaj demandoj.
Kiam VPN-servo supre rifuzas enkursigi la klientan prefikson reen, mallarĝa traduko ĉe la tunela eliro de la Pi povas esti laŭleĝa provizora solvo. Ĝi ne estas pruvo, ke la mankanta vojo estis senutila. Registru, kiun adreson la malproksima reto fakte vidas kaj kiu revena vojo rezultas.
Vojoselekto, plusenda permeso kaj fonttraduko restas tri apartaj taskoj. Malplenigi komunan NAT-ĉenon aŭ permesi ĉiun interfacon ĉar unu kabla kliento funkcias estas la maniero, kiel funkcianta testo iĝas malferma plusendilo.
Pruvi ĝin el klienta maŝino
Sendu peton el maŝino en la malsupra LAN, poste sekvu ĝian fonton eksteren kaj reen. Ping farita de la Pi neniam ekzercas la malsupran revenan vojon, tial sukcesa ping pruvas malpli ol ĝi aspektas. Aldonu duan teston el kabla kliento en la propra LAN de la Pi, por ke la du vojoj povu esti komparataj. Ripetu ambaŭ post restarigo de iu ajn aparato.
Vojoj aldonitaj mane kaj tradukoj, kiuj neniam estis konservitaj, malaperas kune. La paro tiam aspektas kiel nova paneo anstataŭ nefinita laboro.
Konservu la konektan modelon kune kun la vojoj, la permesita privata servo kaj iu ajn traduko en unu noto. Tiu noto estas kio malhelpas la sekvan personon trakti sendratan lokigon kiel demandon de enkursiga politiko.