Bridged VPN-hotspot: hokker standertrûte brûkt de telefoan?
De standertrûte fan de Pi is net de gateway fan de telefoan. Skied de twa besluten, hâld de uplink bûten de brêge en test it lease foar de tunnel.
De telefoan op jo bridged hotspot krijt syn adres en syn gateway earne wei, en dat is net de standertrûte fan de Pi. It feroarjen fan de standert fan de Pi feroaret wêr't de Pi syn eigen ferkear hinne stjoert. De telefoan bliuwt de gateway brûken dy't him sein is, en as dy gateway op it fiere LAN sit, geane syn frames gewoan oer de brêge. Twa konsuminten, twa besluten. Harren skieding ferklearret de measte berjochten oer in hotspot sûnder ynternet wylst de Pi sels goed is.
Twa apparaten, twa ferskate gateway-besluten
De Pi hat in eigen IP-stack en in eigen standertrûte. De telefoan hat in eigen IP-stack en in eigen standertrûte.
| Consumer | Who chooses its gateway | What carries the traffic |
|---|---|---|
| Phone on the bridged AP | The remote LAN router, delivered in its client configuration | An Ethernet frame toward that router crosses the AP and TAP bridge |
| Pi's encrypted connection | The travel uplink's route toward the VPN peer | The Pi sends its own outer transport packets over the underlay |
Dy tabel is it hiele model. De gateway fan de telefoan is in adres op it fiere LAN, en syn frames wurde op laach 2 nei dy router trochstjoerd. De standertrûte fan de Pi giet oer it eigen bûtenste transport fan de Pi, dat de VPN-peer oer de reis-uplink berikke moat.
In brêge stjoert frames troch, hy routeret gjin pakketten
In Linux-brêge stjoert Ethernet-frames troch op bestimming-MAC, en dat is alles wat er tusken syn poarten docht. It frame fan de telefoan dat oan de MAC fan de fiere router rjochte is, wurdt nei de TAP-poart skakele en giet oer de tunnel sûnder de routingtabel fan de Pi oan te reitsjen. Dêrom kin in stikken standertrûte fan de Pi de telefoan wurkje litte, en dêrom kin in korrekte ien in telefoan net reparearje dy't de ferkearde gateway krige.
TAP ferfiert Ethernet-frames en kin in brêgepoart wêze. TUN ferfiert IP-pakketten en kin dat net. As jo ûntwerp it iene troch it oare ferfong, is de brêge gjin brêge en jildt de rest hjirfan net.
Beslis wa't it lease fan de telefoan útjout
DHCP-opsje 3 is de router-opsje, en dy fertelt de klant hokker gateway hy foar syn subnet brûke moat. As de DHCP-tsjinner fan it fiere LAN de iennichste útjouwer is, krijt de telefoan in fiere gateway en is it ûntwerp konsekwint. As iets oars oan de reiskant earst antwurdet, krijt de telefoan in lokale gateway, syn ynternetferkear giet fia de reis-uplink nei bûten, en syn ferkear nei it fiere LAN hat hielendal gjin paad.
Rin ien útjouwer foar dat broadcast-domein, en skriuw op wat er útjout.
De Pi is in apart gefal sels as er in adres út itselde lease nimt. Beslis bewust oft er de rûtes ynstallearje moat dy't it lease biedt, want in ymportearre fiere standert kin it eigen VPN-transport fan de Pi yn 'e tunnel lûke dy't er besiket libben te hâlden. Mei systemd-networkd is dat beslút UseRoutes= ûnder de DHCP-seksje; mei dhclient is it de routers-opsje yn 'e oanfreechlist.
Hâld de uplink bûten it bridged LAN
De ynterface dy't de bûtenste VPN-ferbining fan de Pi ferfiert, mei gjin brêgepoart wurde. As er dat wol wurdt, wurdt it fersifere transport yn it útwreide LAN skakele en de tunnel einiget mei it ferfieren fan syn eigen bûtenste pakketten, wat mislearret op in manier dy't op pakketferlies liket ynstee fan in lus. Hâld AP-kapasiteit en brêgestipe ek eksplisyt. In draadloze ynterface yn station-modus kin normaal gjin brêgepoart wêze, want de 802.11-kop hat gjin romte foar it twadde MAC-adres dat in brêge nedich hat.
Bepaal it útwreide broadcast-domein, ien adresplan en de framefiltering dy't jo echt wolle. It tastean fan de VPN-lluisterer op de Pi jout net elke bridged klant tagong ta de beheartsjinsten fan de Pi. Dat binne aparte regels, en se as ien behannelje is hoe't in hotspot stil in iepen doar wurdt.
Test de fjouwer dingen apart as it brekt
As de telefoan it fiere LAN net berikke kin, skiede fjouwer observaasjes de oarsaken. Rin se yn dizze folchoarder en stop by de earste dy't mislearret.
ip route show default
bridge link show
ip -4 neigh show dev br0
tcpdump -ni br0 arp or icmpBegjin mei it lease: hat de telefoan in adres en in gateway op it fiere subnet? Sjoch dan nei de brêge, en befêstigje dat de AP-poart en de TAP-poart beide trochstjoere. Lês dan de buerttabel, want in net-oploste yngong foar de fiere router betsjut dat frames fuortgeane en neat antwurdet. Besjoch as lêste de frames op de brêge wylst de telefoan pinget, wat jo fertelt oft de fout wol ûnder IP leit.
Skriuw op hokker apparaat elke standert besit as jo klear binne. Ien rigel dokumintaasje makket lokale tsjin fiere útgong in bewust klantbeslút, en de brêgeferwizing is it wurdich derneist te hâlden.