Sillattu VPN-hotspot: mitä oletusreittiä puhelin käyttää?
Pi:n oletusreitti ei ole puhelimen yhdyskäytävä. Erottele kaksi päätöstä, pidä uplink sillan ulkopuolella ja testaa lease ennen tunnelia.
Sillatun hotspotisi puhelin saa osoitteensa ja yhdyskäytävänsä jostain, eikä se ole Pi:n oletusreitti. Pi:n oletuksen muuttaminen muuttaa sitä, mihin Pi lähettää omaa liikennettään. Puhelin käyttää edelleen sitä yhdyskäytävää, joka sille kerrottiin, ja kun se yhdyskäytävä sijaitsee etä-LANissa, sen kehykset yksinkertaisesti ylittävät sillan. Kaksi kuluttajaa, kaksi päätöstä. Niiden erottaminen selittää useimmat raportit hotspotista ilman internetyhteyttä, kun Pi itse on kunnossa.
Kaksi laitetta, kaksi erilaista yhdyskäytäväpäätöstä
Pi:llä on oma IP-pino ja oma oletusreitti. Puhelimella on oma IP-pino ja oma oletusreitti.
| Consumer | Who chooses its gateway | What carries the traffic |
|---|---|---|
| Phone on the bridged AP | The remote LAN router, delivered in its client configuration | An Ethernet frame toward that router crosses the AP and TAP bridge |
| Pi's encrypted connection | The travel uplink's route toward the VPN peer | The Pi sends its own outer transport packets over the underlay |
Tuo taulukko on koko malli. Puhelimen yhdyskäytävä on osoite etä-LANissa, ja sen kehykset välitetään kerroksessa 2 kohti tuota reititintä. Pi:n oletusreitti koskee Pi:n omaa ulompaa siirtotietä, jonka on saavutettava VPN-vastapuoli matkan uplinkin kautta.
Silta välittää kehyksiä, se ei reititä paketteja
Linux-silta välittää Ethernet-kehyksiä kohde-MAC:n perusteella, ja se on kaikki, mitä se tekee porttiensa välillä. Puhelimen kehys, joka on osoitettu etäreitittimen MAC:lle, kytketään TAP-porttiin ja ylittää tunnelin koskematta Pi:n reititystauluun. Siksi rikkinäinen Pi:n oletusreitti voi jättää puhelimen toimimaan, ja siksi oikea ei voi korjata puhelinta, jolle annettiin väärä yhdyskäytävä.
TAP kuljettaa Ethernet-kehyksiä ja voi olla siltaportti. TUN kuljettaa IP-paketteja eikä voi. Jos suunnitelmasi korvasi toisen toisella, silta ei ole silta eikä muu tästä päde.
Päätä, kuka jakaa puhelimen leasen
DHCP-vaihtoehto 3 on reititinvaihtoehto, ja se kertoo asiakkaalle, mitä yhdyskäytävää sen aliverkossa käytetään. Kun etä-LANin DHCP-palvelin on ainoa jakaja, puhelin saa etäyhdyskäytävän ja suunnitelma on johdonmukainen. Kun jokin muu matkan puolella vastaa ensin, puhelin saa paikallisen yhdyskäytävän, sen internetliikenne poistuu matkan uplinkin kautta eikä sen etä-LAN-liikenteellä ole lainkaan reittiä.
Aja yksi jakaja tuolle broadcast-verkkotunnukselle ja kirjaa, mitä se jakaa.
Pi on erillinen tapaus, vaikka se ottaisi osoitteen samasta leasesta. Päätä tietoisesti, pitäisikö sen asentaa leasen tarjoamat reitit, koska tuotu etäoletus voi vetää Pi:n oman VPN-siirtotien tunneliin, jota se yrittää pitää elossa. systemd-networkd:ssä tämä päätös on UseRoutes= DHCP-osiossa; dhclientissä se on routers-vaihtoehto pyyntöluettelossa.
Pidä uplink sillatun LANin ulkopuolella
Liittymä, joka kuljettaa Pi:n ulompaa VPN-yhteyttä, ei saa tulla siltapordiksi. Jos tulee, salattu siirtotie kytketään laajennettuun LANiin ja tunneli päätyy kuljettamaan omia ulompia pakettejaan, mikä epäonnistuu tavalla, joka näyttää pakettihäviöltä eikä silmukalta. Pidä myös AP-kyvykkyys ja siltatuki eksplisiittisinä. Langaton liittymä station-tilassa ei yleensä voi olla siltaportti, koska 802.11-otsikossa ei ole tilaa toiselle MAC-osoitteelle, jota silta tarvitsee.
Määrittele laajennettu broadcast-verkkotunnus, yksi osoitesuunnitelma ja se kehyssuodatus, jota todella haluat. VPN-kuuntelijan salliminen Pi:llä ei anna jokaiselle sillatulle asiakkaalle pääsyä Pi:n hallintapalveluihin. Ne ovat erillisiä sääntöjä, ja niiden kohteleminen yhtenä on se, miten hotspotista hiljaa tulee avoin ovi.
Testaa neljä asiaa erikseen, kun se hajoaa
Kun puhelin ei saa yhteyttä etä-LANiin, neljä havaintoa erottavat syyt. Suorita ne tässä järjestyksessä ja pysähdy ensimmäiseen, joka epäonnistuu.
ip route show default
bridge link show
ip -4 neigh show dev br0
tcpdump -ni br0 arp or icmpAloita leasesta: onko puhelimella osoite ja yhdyskäytävä etäaliverkossa? Katso sitten siltaa ja varmista, että AP-portti ja TAP-portti molemmat välittävät. Lue sitten naapuritaulukko, koska ratkaisematon merkintä etäreitittimelle tarkoittaa, että kehykset lähtevät eikä mikään vastaa. Lopuksi seuraa kehyksiä sillalla, kun puhelin pingaa, mikä kertoo, onko vika lainkaan IP:n alapuolella.
Kirjaa, mikä laite omistaa kunkin oletusreitin, kun olet valmis. Yksi dokumentaation rivi tekee paikallisesta ja etäulostulosta tietoisen asiakaspäätöksen, ja siltaviite kannattaa pitää sen vieressä.