Pi VPN bideratzaile anitzekin: jarri bide bakoitza erabakitzen duen gailuan
Beheragoko bideratzaile batek bigarren bezero azpisare bat gehitzen du, eta lau gailuetako bakoitzak erabaki bat du. Jarri bideak, egiaztatu iturria, eta gero probatu benetako bezero batetik.
Pi-ren atzean Wi-Fi kaxa bat jartzeak bideratze-erabaki bat lau bihurtzen ditu, eta plana hausten da lauak gailu bakarrean hartzen direnean. Lehen galdera ez da zein bide gehitu. Kaxa berriak zubia egiten duen ala bideratu egiten duen da, erantzun horrek zehazten baitu zenbat azpisare dauden eta zein gailuk ikasi behar duten haiei buruz. Aukeratu lehenengo konektatzeko eredua; bide bakoitza hartatik dator.
Zubia edo bideratzea: kopurua finkatzen duen aukera
Zubi batek bezero berriak Pi-ak jadanik zerbitzatzen duen azpisare berean jartzen ditu. Azpisare bat, DHCP autoritate bat eta ez dago bideratzeko eskualdaketarik. Hau da antolamendu sinpleena eta egokia bezero-sare bereizi bat inoiz baldintza izan ez zenean. Esteka bideratuak beste diseinu bat da: kaxak bere azpisarea mantentzen du, eta aurrizki hori trafikoa doan leku guztietara eraman behar da.
Planaren gainerakoak beheragoko bideratzailea mantentzen du eta bezeroen iturburu-helbideak gordetzen ditu. Helburua VPN sare pribatu bat da, ez interneterako irteera osoa. Idatzi eredua helbideen aurretik, beheko zerrenda konexio bideratu baten adibidea besterik ez baita.
client subnet 10.41.0.0/24
client gateway 10.41.0.1
router-to-Pi link 192.168.71.2
Pi on that link 192.168.71.1
private target 10.72.9.0/24Nork erabakitzen du zer
| Decision owner | Entry that encodes the decision | Failure when the entry is missing |
|---|---|---|
| Pi VPN host | Return route for 10.41.0.0/24 via 192.168.71.2, and a tunnel route for 10.72.9.0/24 | Replies to downstream clients die at the Pi |
| Owner of the remote network | A path for 10.41.0.0/24 over the permitted tunnel | Replies stop at the first unaware hop |
| LAN router behind the Pi | Specific route for 10.72.9.0/24 via 192.168.71.1, or a suitable default | Clients never send private traffic to the Pi |
| Client machine | Default via 10.41.0.1, or a specific entry for 10.72.9.0/24 | The private network is unreachable from the client |
Gailu bakoitzak erabaki bat hartzen du, eta inork ezin du beste baten erabakia hartu haren ordez. Pi-k bi sarrera behar ditu, ez bat, eta itzulera-bidea da jendeak ahazten duena. Birbidalitako trafikoak zuzen iristen da sare pribatura eta gero bidean hiltzen da, Pi-k ez baitu ideiarik non bizi den 10.41.0.0/24. Horrek suebaki arazoa dirudi eta, egia esan, falta den bide bat da.
Urrutiko aldeak ere bere bidea behar du. Mutur urruneko zerbitzuak ez badaki 10.41.0.0/24 zure tunelaren bidez iristeko modukoa dela, erantzunak erantzunik gabeko lehen jauzian gelditzen dira. Gehitu bi norabideak pakete-iragazkiak irakurri aurretik.
Hurrengo jauziak konexiotik datoz
Hurrengo jauziak gailuak benetan irits dezakeen sare bateko helbidea izan behar du. VPN parearen helbide publikoa ez da hurrengo jauzia azpisare pribatu baterako, eta urrutiko zerbitzu-sarea ez da inolaz ere hurrengo jauzi bat. Iritsi ezineko ate baterako bidea zuzena dirudi zerrenda batean eta pakete guztiak botatzen ditu. Egiaztatu atea erantzuten duela helmuga erruduntzatu aurretik.
Mantendu Pi-ren kanpoko VPN parekidea bere azpiko bide propioaren bidez irisgarri. Sarrera hori karga-bidietatik bereizita dago, eta haiek nahasteak bidea aldatu ondoren berrezarri ezin den tunel bat ematen du.
Bide estatikoen dokumentazioak helmugaren eta atearen arteko bereizketa argi uzten du, plataforma bakoitzak bere menuak modu ezberdinean izendatzen baditu ere. Irakurri zure aurrean duzun gailuaren dokumentazioa, beste fabrikatzaile baten pantaila kopiatu beharrean. Beheko komandoek Linux-en sarreren itxura erakusten dute.
# on the Pi
ip route add 10.41.0.0/24 via 192.168.71.2
ip route add 10.72.9.0/24 dev tun0
# on the downstream router
ip route add 10.72.9.0/24 via 192.168.71.1Zer egiten dion itzulpenak iturriari
Beheragoko bideratzaileak bere bezeroak jadanik trantsitu-helbidera itzultzen baditu, Pi-k iturri itzuli bat ikusten du bezero bakoitzaren helbide propioaren ordez. Hau goiko iturria gordetzen duen diseinuaren desberdina da. Iturburuan oinarritutako politika, erregistroa eta zein aldek has dezakeen konexioa aldatzen ditu. Bi diseinuek funtzionatzen dute; galdera ezberdinei erantzuten diete.
Goiko VPN zerbitzu batek bezeroaren aurrizkia atzera bideratzeari uko egiten dionean, Pi-ren tunel-irteeran itzulpen estu bat irtenbide legitimo bat izan daiteke. Ez da froga falta zen bidea alferrikakoa zela. Erregistratu zein helbide ikusten duen urrutiko sareak eta zein itzulera-bide ateratzen den.
Bidearen hautaketa, birbidaltze-baimena eta iturri-itzulpena hiru lan bereizi izaten jarraitzen dute. NAT kate partekatu bat garbitzea edo interfaze guztiei baimena ematea kablezko bezero bat funtzionatzen duelako da funtzionatzen duen proba bat birbidaltzaile ireki bihurtzeko modua.
Bezero-makina batetik frogatzea
Bidali eskaera bat beheragoko LANeko makina batetik, eta jarraitu haren iturburua kanpora eta atzera. Pi-ak bidalitako ping batek ez du inoiz beheragoko itzulera-bidea erabiltzen, horregatik ping arrakastatsu batek dirudiena baino gutxiago frogatzen du. Gehitu bigarren proba bat kablezko bezero batetik Pi-ren LAN propioan, bi bideak alderatu ahal izateko. Errepikatu biak edozein gailu berrabiarazi ondoren.
Eskuz gehitutako bideak eta inoiz gorde ez ziren itzulpenak elkarrekin desagertzen dira. Orduan bikotea akats berri bat dirudi, amaitu gabeko lana beharrean.
Gorde konexio-eredua bideekin, baimendutako zerbitzu pribatuarekin eta edozein itzulpenekin ohar bakarrean. Ohar horrek eragozten dio hurrengo pertsonari haririk gabeko kokapena bideratze-politikako kontu gisa tratatzea.