Jaa yksi VPN-yhteys kaikille lähiverkkosi laitteille

Yksi kannettava pitää tunnelia, muu talo haluaa saman pääsyn, ja ensimmäinen yritys on ohjata kaikki yhdistettyyn koneeseen. Se epäonnistuu syistä, joilla ei ole mitään tekemistä VPN:n kanssa: vastaanottavan isännän on välitettävä paketti, kirjoitettava sen lähde uudelleen ja varmistettava, että vastaukset löytävät paluutien. Jos yksikin kolmesta puuttuu, yhdistetty kannettava toimii edelleen, kun taas jokainen muu laite aikakatkaistaan. Ratkaisu on reitityssuunnittelu, ei asiakasasetus.

Miksi laitteiden ohjaaminen isäntään epäonnistuu

Isäntä, joka vastaanottaa etäverkkoon osoitetun paketin, muuttuu reitittimeksi sillä hetkellä, riippumatta siitä, onko kukaan määrittänyt sitä sellaiseksi. Edelleenlähetys on oletuksena pois päältä Linuxissa ja Windowsissa, ellei jokin ominaisuus kytke sitä päälle. Käännös on tärkeä, koska etäpuolen on tiedettävä, minne vastaukset lähetetään, eikä yksityinen LAN-osoite merkitse sille mitään. Paluureitti on kolmas osa, ja juuri se unohdetaan, kun ensimmäinen ping näyttää onnistuvan.

Diagnosoi siinä järjestyksessä sen sijaan, että vaihtaisit asetuksia satunnaisesti. Jokainen puuttuva osa tuottaa hieman erilaisen oireen.

Kytke edelleenlähetys ja käännös päälle isännässä

Kaksi muutosta yhdistetyssä isännässä kattaa kaksi ensimmäistä osaa: kytke IPv4-edelleenlähetys päälle ja käännä LAN-liikenne tunnelin rajapintaan.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Tallenna sysctl-arvo tiedostoon /etc/sysctl.d-hakemistossa ja tarkista MASQUERADE-sääntö uudelleen uudelleenkäynnistyksen jälkeen, koska palomuurin edustat voivat tyhjentää mukautettuja ketjuja. Windowsissa jakamisominaisuus tekee molemmat vaiheet, mutta se myös osoittaa LAN-sovittimen uudelleen kiinteään aliverkkoon ja tyhjentää sen yhdyskäytävän, mikä rikkoo staattisen osoitteetuksen ja porttien edelleenlähetyksen. Palauta reitittimen reitti isäntään sen uudessa osoitteessa ennen kuin päättelet jakamisen epäonnistuneen. Tarkkaile sitten sääntölaskureiden kasvua, kun toinen laite lähettää liikennettä.

Anna LAN-verkolle reitti, joka kestää uudelleenkäynnistykset

Muut laitteet tarvitsevat reitin etäetuliitteeseen, ja kaksi tapaa tarjota se eroavat vaikutusalaltaan.

ip route add 10.8.0.0/24 via 192.168.1.20 dev eth0

Asiakkaan oletusyhdyskäytävän ohjaaminen isäntään lähettää kaiken sen liikenteen isännän kautta, mukaan lukien paikallinen tulostus ja tiedostojen jakaminen, joten asiaankuulumattomat asiat pysähtyvät, kun isäntä nukkuu. Tietyn reitin lisääminen reitittimeen etäetuliitteelle on kapeampi: vain tunnelin takana olevat kohteet menevät yhdistettyyn koneeseen, ja muu LAN jatkaa toimintaa. Yllä olevat aliverkot ovat esimerkkejä, joten korvaa ne omilla LAN- ja tunnelialueillasi. Testaa joka tapauksessa toisesta laitteesta tunnelin ollessa päällä ja sitten pois päältä.

Tarkkaile MTU:ta ennen kuin syytät tunnelia

Tunnelit pienentävät käytettävää pakettikokoa, eikä toinen laite tiedä siitä mitään. Suuret siirrot ja TLS-kättelyt pysähtyvät, kun taas pienet pyynnöt onnistuvat.

ping -M do -s 1400 10.8.0.5

Vastaus todistaa, että koko kulkee reitin läpi pirstaloimatta; aikakatkaisu tarkoittaa, että kapseloinnin ylimäärä työnsi paketin tunnelin MTU:n yli. Laske MTU:ta jakamisrajapinnassa tai rajoita suurinta segmenttikokoa välittimessä ja toista sitten sama koe. Testaa sama koko ensin LAN-puolella, koska paikallinen epäonnistuminen viittaa LAN-verkkoon eikä tunneliin. Kirjaa toimiva koko, sillä myöhempi palveluntarjoajan tai tunnelin muutos voi siirtää sitä.

Yhdelle lisälaitteelle isännän jakaminen riittää. Kotitaloudelle laita reitti reitittimeen. Kun pääsyn on kestettävä se, että kannettava lähtee mukaasi, tunneli itse kuuluu erilliselle yhdyskäytävälle.