Raspberry Pi VPN zerbitzaria Ethernet-era nola eraman

Pi Wi-Fi-tik kable batera aldatzeak bost minutuko lana dirudi, eta hala izaten jarraituko du soilik mugimendua lau ezarpen bereizitzat hartzen badituzu bat bakartzat hartu beharrean. Zure bezeroek deitzen duten amaiera-puntuaren izena berbera izan daiteke, azpian dagoen helbidea aldatu arren. Benetan hausten dena helbide zaharrean finkatutako entzule bat da, oraindik haririk gabeko lease-era zuzendutako portu-birbidalketa bat, edo erretiratu zenuela uste zenuen interfazetik irteten den itzulera-bide bat. Ibilbide honek berreskuratze-bidea irekita edukitzen du urrats bakoitzean, hala trantsizio huts batek berrabiarazte bat bakarrik kostatzen du.

Idatzi lau jabeak ezer deskonektatu aurretik

Lau ezarpenek erabakitzen dute trantsizioak bizirik irauten duen: Piaren helbidea, OpenVPN-ren lotura-helbidea, routerraren birbideratze-helburua eta erantzunek hartzen duten bidea. Idatzi laurak kablea ukitu aurretik, haririk gabeko leasea desagertzen denean ezingo baituzu balio zaharrak makinatik irakurri. Interfaze konektatuak ez du haririk gabeko profila heredatzen, eta Bookworm-en helbidea NetworkManager-en bizi da, Bullseye-k berriz dhcpcd.conf gordetzen du. Haririk gabeko MAC helbidea finkatzen zuen erreserbak ez du ezer esaten eth0-ri buruz. Hartu helbide berria bere proba propioa behar duen esleipen berri gisa.

Old wireless lease:   10.42.7.24/24 on wlan0
New wired address:    10.42.7.31/24 on eth0
Client endpoint:      vpn.lab.example:1194/udp

Entzulea bigarren jabea da. Zerbitzua lotura-helbide zehatz batekin abiatu bazen, socket-a interfaze zaharrarekin hiltzen da; helbide guztiak lotzen baditu, socket-ak bizirik irauten du eta routerraren araua konpontzeko geratzen den gauza bakarra bihurtzen da.

Birbideratze-helburua eta itzulera-bidea jendeak saltatzen dituen jabeak dira. Oraindik 10.42.7.24-ra seinalatzen duen birbidalketa batek Piak jada ez duen helbidera bidaltzen ditu iristen ari diren handshake-ak, beraz bezeroek denbora-muga gainditzen dute zerbitzariaren aldean log-lerrorik gabe. Itzulera-bidea garrantzitsua da bi estekak aldi berean bizirik daudenean, Piak bideratze-taulak lehenesten duen interfazetik erantzuten baitu, eta ez da beti paketea iritsi zen interfaze bera. Beheko bide-kontsultak kernelak zein iturburu aukeratzen duen erakusten du.

Irakurri benetako socket-a helbide berrian fidatu aurretik

Konfigurazio-fitxategiek asmoa deskribatzen dute eta socket-ak errealitatea. Galdetu exekutatzen ari den zerbitzuari zeri lotuta dagoen, gogoratzen duzun konfigurazioan fidatu beharrean. OpenVPN 2.6 eskuliburuak --local helbide batera lotzea definitzen du eta ezabatzeak interfaze guztiak lotzen dituela ohartarazten du.

sudo systemctl cat openvpn-server@server | grep -n -- '--local'
sudo ss -lunp '( sport = :1194 )'

Irakurri helbide lokalaren zutabea egoera-zutabearen ordez. 10.42.7.24:1194 erakusten duen lerro batek socket-a kentzeko zorian zauden helbidera lotuta dagoela adierazten du; 0.0.0.0:1194 edo *:1194 ordez, daemon-ak interfaze-aldaketari bere kabuz jarraituko diola adierazten du. Helbidea lotuta badago, editatu profila eta berrabiarazi unitatea socket-a eskuz berridatzi beharrean, eta gero egiaztatu zerbitzuak oraindik bere ziurtagiri- eta gako-fitxategiak iristen dituela.

Egin mugimendua zuregana iristea ahalbidetzen duen ordenan

Ordena abiadurak baino garrantzi handiagoa du hemen. Altxatu esteka konektatua haririk gabekoa oraindik funtzionatzen duen bitartean, egiaztatu helbide berria eta itzulera-bidea, eta gero erretiratu haririk gabeko profila. Segida horrek laneko saio bat irekita edukitzen du ordezkoa frogatu arte.

ip -br addr show eth0
ip route get 203.0.113.10
nmcli -g ipv4.method,ipv4.addresses con show "Wired connection 1"

Lehen komandoak eth0 zure helbidea jaso duen ala ez erantzuten du, eta bigarrenak kernelak kanpoko helmuga baterako erabiliko lukeen iturburu-helbidea inprimatzen du, beraz exekutatu aldaketaren aurretik eta ondoren. Iturburu hori oraindik haririk gabeko helbidea bada, esteka konektatua ez da oraindik bide hobetsia eta kanpoko probak huts egingo du OpenVPN-rekin zerikusirik ez duen arrazoi batengatik. Konpondu bideratze-hobespena birbidalketa ukitu aurretik.

Bi estekak altxatuta, Piak haririk gabeko bide lehenetsia hobets dezake lehenago instalatu zelako edo esteka konektatuak metrika handiagoa daramalako. Bookworm-en onartutako ezarpena ipv4.route-metric da konexioan, eta Bullseye-n baliokidea interfaze bakoitzeko metric-lerro bat da dhcpcd.conf fitxategian. Murriztu haririk gabeko esteka desgaitu beharrean, atzera-egite bidea komando batera gera dadin.

Frogatu tunela kanpotik, ez LAN-etik

Sofatik funtzionatzen duen VPN konexioak itxura baino gutxiago frogatzen du. LAN-etik helbide publikora doan trafikoa hairpin edo isla-arauetatik pasatzen da, routerrek modu inkoherentean ezartzen dituztenak, beraz LAN proba arrakastatsu bat kanpoko bide haustu batekin batera egon daiteke. Erabili telefono bat datu mugikorrekin, edo saretik kanpoko edozein ostalari, onarpen-probarako. Etsi LAN saiakerari diagnostiko aukerako bereizi gisa.

Gero irakurri loga paketeak iristen diren ordenan. Ezer ere ez da handshake-a Pira inoiz iritsi ez zela esan nahi, beraz birbideratze-helburua edo ostalariaren suebakia okerra da. Hasi eta gelditzen den handshake batek gako, ziurtagiri edo MTU arazoa adierazten du. Osatzen eta erortzen den saio batek normalean itzulera-bidea edo bigarren bide lehenetsia esan nahi du, eta bezeroaren log-lerroak Initialization Sequence Completed tunela bera altxatu zela esaten dizu.

sudo journalctl -u openvpn-server@server -n 40 --no-pager
sudo tcpdump -ni any udp port 1194 -c 20

Bezeroa berriro saiatzen ari den bitartean zerbitzariaren logean ezer agertzen ez bada, utzi OpenVPN konfigurazioa irakurtzeari eta itzuli birbideratze-helburura. Harrapaketak iristearen galderari segundotan erantzuten dio, eta erantzunik gabeko sarrera-paketeek arazoa bidera murrizten dute.

Mantendu urrats bakarreko atzera-egitea eta erretiratu haririk gabeko profila

Utzi haririk gabeko profila instalatuta konfigurazio konektatuak berrabiarazte bat gainditu arte. nmcli con show beharko dituzun profiletako izenak zerrendatzen ditu, eta ezabatutako profil bat buruz berreraiki behar da momenturik okerrenean. Idatzi interfazearen izena, helbide-metodoa eta metrika beste lau balioen ondoan. Nota batetik idatz dezakezun atzera-egiteak gehiago balio du berreraiki behar duzunak baino.

Haririk gabeko mendekotasuna erretiratzea jabetza-aldaketa bat da, ezabaketa bat izan beharrean. connection.autoconnect no ezartzeak kredentzialak eta helbide-historia osorik mantentzen ditu, Piak utzi zenuen sare batera berriro konektatzea eragotziz.

nmcli con show
sudo nmcli con up "Wired connection 1"
sudo nmcli con mod "previously-used-wifi" connection.autoconnect no

Lana amaitutzat eman aurretik, egiaztatu lau gauza: birbideratze-helburua esteka konektatuaren helbidearekin bat datorrela, entzuleak berrabiarazte bat gainditu duela, kanpoko bezero batek handshake bat osatzen duela, eta Piak berrabiarazi ondoren ere erantzuten duela helbide konektatuan. Berrabiaraztea kernel exekutatzen ari zenean soilik existitzen zen esleipen bat harrapatzeko modurik merkeena da. Lau horietako edozeinek huts egiten badu, altxatu haririk gabeko profila berriro honekin: sudo nmcli con up eta alderatu erregistratutako balioak biziekin.