Mitme ruuteriga Pi VPN: pane iga marsruut seadmele, mis otsustab
Allavoolu ruuter lisab teise kliendi alamvõrgu ja iga neljast seadmest omab üht otsust. Paiguta marsruudid, kontrolli allikat ja testi siis päris kliendist.
Wi-Fi karbi panemine Pi taha muudab ühe marsruutimisotsuse neljaks ja plaan laguneb, kui kõik neli tehakse ühel seadmel. Esimene küsimus pole, millist marsruuti lisada. See on, kas uus karp sildab või marsruudib, sest see vastus määrab, mitu alamvõrku on olemas ja millised seadmed peavad neist teada saama. Vali esmalt ühendusmudel; iga marsruut tuleneb sellest.
Sild või marsruutimine: valik, mis määrab arvu
Sild paneb uued kliendid samasse alamvõrku, mida Pi juba teenindab. Üks alamvõrk, üks DHCP volitus ja mingit üleandmist marsruutimiseks. See on lihtsam lahendus ja õige, kui eraldi kliendivõrk polnud kunagi nõue. Marsruuditud ühendus on teistsugune disain: karp hoiab oma alamvõrku ja see prefiks tuleb kanda kõikjale, kuhu liiklus läheb.
Ülejäänud plaan hoiab allavoolu ruuteri ja säilitab klientide lähteaadressid. Eesmärk on üks privaatne VPN-võrk, mitte täielik internetiväljapääs. Kirjuta mudel enne aadresse üles, sest allolev loend on vaid marsruuditud ühenduse näide.
client subnet 10.41.0.0/24
client gateway 10.41.0.1
router-to-Pi link 192.168.71.2
Pi on that link 192.168.71.1
private target 10.72.9.0/24Kes mida otsustab
| Decision owner | Entry that encodes the decision | Failure when the entry is missing |
|---|---|---|
| Pi VPN host | Return route for 10.41.0.0/24 via 192.168.71.2, and a tunnel route for 10.72.9.0/24 | Replies to downstream clients die at the Pi |
| Owner of the remote network | A path for 10.41.0.0/24 over the permitted tunnel | Replies stop at the first unaware hop |
| LAN router behind the Pi | Specific route for 10.72.9.0/24 via 192.168.71.1, or a suitable default | Clients never send private traffic to the Pi |
| Client machine | Default via 10.41.0.1, or a specific entry for 10.72.9.0/24 | The private network is unreachable from the client |
Iga seade teeb ühe otsuse ja ükski ei saa teha teise oma. Pi vajab kaht kirjet, mitte üht, ja tagasitee on see, mille inimesed unustavad. Edastatud liiklus jõuab privaatsesse võrku õigesti ja sureb siis tagasiteel, sest Pil pole aimugi, kus 10.41.0.0/24 elab. See näeb välja nagu tulemüüri probleem ja on tegelikult puuduv marsruut.
Kaugpool vajab samuti oma marsruuti. Kui kaugema otsa teenus ei tea, et 10.41.0.0/24 on sinu tunnelist kättesaadav, peatuvad vastused esimesel hüppel, millel pole vastust. Lisa mõlemad suunad enne paketifiltrite lugemist.
Järgmised hüpped tulevad ühendusest
Järgmine hüpe peab olema aadress võrgus, kuhu seade tegelikult jõuab. VPN-partneri avalik aadress pole privaatse alamvõrgu järgmine hüpe ja kaugem teenusevõrk pole üldse järgmine hüpe. Marsruut kättesaamatuni lüüsini näeb loendis õige välja ja viskab iga paketi ära. Kontrolli, kas lüüs vastab, enne kui süüdistad sihtkohta.
Hoia Pi väline VPN-partner tema enda aluskihi marsruudi kaudu kättesaadav. See kirje on koormusmarsruutidest eraldi ja nende segamine annab tunneli, mis ei suuda pärast teemuutust uuesti ühenduda.
Staatiliste marsruutide dokumentatsioon teeb sihtkoha ja lüüsi vahe selgeks, kuigi iga platvorm nimetab oma menüüsid erinevalt. Loe dokumentatsiooni seadme kohta, mis on sinu ees, selle asemel et kopeerida teise tootja ekraani. Allolevad käsud näitavad kirjete kuju Linuxis.
# on the Pi
ip route add 10.41.0.0/24 via 192.168.71.2
ip route add 10.72.9.0/24 dev tun0
# on the downstream router
ip route add 10.72.9.0/24 via 192.168.71.1Mida tõlkimine allikaga teeb
Kui allavoolu ruuter juba tõlgib oma kliendid transiitaadressiks, näeb Pi üht tõlgitud allikat iga kliendi enda aadressi asemel. See on teistsugune disain kui ülal allikat säilitav lahendus. See muudab allikal põhinevat poliitikat, logimist ja seda, kumb pool saab ühendusi algatada. Mõlemad disainid töötavad; nad vastavad erinevatele küsimustele.
Kui ülesvoolu VPN-teenus keeldub kliendi prefiksi tagasi marsruutimast, võib Pi tunneli väljapääsu juures kitsas tõlge olla seaduslik ajutine lahendus. See pole tõestus, et puuduv marsruut oli tarbetu. Kirjuta üles, millist aadressi kaugem võrk tegelikult näeb ja milline tagasitee sellest tuleneb.
Marsruudi valik, edastusluba ja allika tõlkimine jäävad kolmeks eraldi tööks. Ühise NAT-abela tühjendamine või iga liidese lubamine, sest üks juhtmega klient töötab, on viis, kuidas töötav test muutub avatud edastajaks.
Tõesta seda kliendi masinast
Saada päring masinast allavoolu LAN-is ja jälgi siis selle allikat välja ja tagasi. Pi poolt saadetud ping ei kasuta kunagi allavoolu tagasiteed, mistõttu tõestab õnnestunud ping vähem, kui näib. Lisa teine test juhtmega kliendist Pi enda LAN-is, et kahte teed saaks võrrelda. Korda mõlemat pärast kummagi seadme taaskäivitamist.
Käsitsi lisatud marsruudid ja tõlked, mida kunagi ei salvestatud, kaovad koos. Siis näeb paar välja nagu uus rike, mitte lõpetamata töö.
Salvesta ühendusmudel koos marsruutide, lubatud privaatse teenuse ja iga tõlkega ühes märkmes. Just see märge takistab järgmisel inimesel käsitleda traadita paigutust marsruutimispoliitika küsimusena.