Sillatud VPN-hotspot: millist vaikimisi marsruuti telefon kasutab?
Pi vaikimisi marsruut ei ole telefoni lüüs. Eraldage kaks otsust, hoidke uplink sillast väljas ja testige lease'i enne tunnelit.
Teie sillatud hotspoti telefon saab oma aadressi ja lüüsi kuskilt, ja see ei ole Pi vaikimisi marsruut. Pi vaikimisi muutmine muudab seda, kuhu Pi oma liiklust saadab. Telefon kasutab edasi lüüsi, millest talle räägiti, ja kui see lüüs asub kaug-LAN-is, liiguvad tema kaadrid lihtsalt sillast läbi. Kaks tarbijat, kaks otsust. Nende eraldamine selgitab enamikku teatisi hotspotist, millel pole internetti, samal ajal kui Pi ise on korras.
Kaks seadet, kaks erinevat lüüsiotsust
Pi-l on oma IP-pinu ja oma vaikimisi marsruut. Telefonil on oma IP-pinu ja oma vaikimisi marsruut.
| Consumer | Who chooses its gateway | What carries the traffic |
|---|---|---|
| Phone on the bridged AP | The remote LAN router, delivered in its client configuration | An Ethernet frame toward that router crosses the AP and TAP bridge |
| Pi's encrypted connection | The travel uplink's route toward the VPN peer | The Pi sends its own outer transport packets over the underlay |
See tabel on kogu mudel. Telefoni lüüs on aadress kaug-LAN-is ja tema kaadrid edastatakse kihis 2 selle ruuteri poole. Pi vaikimisi marsruut puudutab Pi enda välist transporti, mis peab jõudma VPN-partnerini reisi-uplinki kaudu.
Sild edastab kaadreid, see ei marsruudi pakette
Linuxi sild edastab Etherneti kaadreid siht-MAC-i järgi ja see on kõik, mida ta oma portide vahel teeb. Telefoni kaader, mis on adresseeritud kaugruuteri MAC-ile, lülitatakse TAP-pordile ja läbib tunneli ilma Pi marsruutimistabelit puutumata. Seetõttu võib katkine Pi vaikimisi marsruut jätta telefoni tööle ja seetõttu ei saa õige parandada telefoni, millele anti vale lüüs.
TAP kannab Etherneti kaadreid ja võib olla sillaport. TUN kannab IP-pakette ja ei saa. Kui teie disain asendas ühe teisega, ei ole sild sild ja ülejäänu siit ei kehti.
Otsustage, kes jagab telefoni lease'i
DHCP valik 3 on ruuteri valik ja ütleb kliendile, millist lüüsi tema alamvõrgus kasutada. Kui kaug-LAN-i DHCP-server on ainus jagaja, saab telefon kauglüüsi ja disain on järjekindel. Kui reisi poolel vastab esimesena miski muu, saab telefon kohaliku lüüsi, tema internetiliiklus väljub reisi-uplinki kaudu ja tema liiklusel kaug-LAN-i pole üldse ühtegi teed.
Käitage selle broadcast-domeeni jaoks üks jagaja ja kirjutage üles, mida see jagab.
Pi on eraldi juhtum ka siis, kui ta võtab aadressi samast lease'ist. Otsustage teadlikult, kas ta peaks paigaldama marsruudid, mida lease pakub, sest imporditud kaug-vaikimisi võib tõmmata Pi enda VPN-transpordi tunnelisse, mida ta püüab elus hoida. systemd-networkd korral on see otsus DHCP jaotises UseRoutes=; dhclienti korral on see päringuloendi valik routers.
Hoidke uplink sillatud LAN-ist väljas
Liides, mis kannab Pi välist VPN-ühendust, ei tohi saada sillaportiks. Kui saab, lülitatakse krüpteeritud transport laiendatud LAN-i ja tunnel hakkab kandma oma enda väliseid pakette, mis ebaõnnestub nii, et see näeb välja nagu paketikaotus, mitte silmus. Hoidke ka AP-võimekus ja silla tugi selgesõnalisena. Traadita liides station-režiimis ei saa tavaliselt sillaport olla, sest 802.11 päises pole ruumi teisele MAC-aadressile, mida sild vajab.
Määratlege laiendatud broadcast-domeen, üks aadressiplaan ja kaadrite filtreerimine, mida te tegelikult soovite. VPN-kuulaja lubamine Pi-l ei anna igale sillatud kliendile juurdepääsu Pi haldusteenustele. Need on eraldi reeglid ja nende käsitlemine ühena on viis, kuidas hotspot vaikselt avatud ukseks muutub.
Testige nelja asja eraldi, kui see katki läheb
Kui telefon ei saa kaug-LAN-i, eraldavad neli vaatlust põhjused. Käitage neid selles järjekorras ja peatuge esimesel, mis ebaõnnestub.
ip route show default
bridge link show
ip -4 neigh show dev br0
tcpdump -ni br0 arp or icmpAlustage lease'ist: kas telefonil on aadress ja lüüs kaug-alamvõrgus? Seejärel vaadake silda ja kinnitage, et AP-port ja TAP-port mõlemad edastavad. Seejärel lugege naabrite tabelit, sest lahendamata kirje kaugruuteri kohta tähendab, et kaadrid lahkuvad ja miski ei vasta. Lõpuks jälgige kaadreid silla peal, kui telefon pingib, mis ütleb teile, kas viga on üldse IP all.
Kirjutage üles, milline seade omab iga vaikimisi marsruuti, kui olete lõpetanud. Üks rida dokumentatsiooni muudab kohaliku ja kaugväljundi teadlikuks kliendiotsuseks ja silla viidet tasub selle kõrval hoida.