Pi VPN mei meardere routers: set elke rûte op it apparaat dat de beslissing nimt
In downstream router foeget in twadde kliïnt-subnet ta, en fjouwer apparaten hawwe elk ien beslissing. Pleats de rûtes, kontrolearje de boarne en test dan fan in echte kliïnt.
In Wi-Fi-doaze efter de Pi feroaret ien routingbeslissing yn fjouwer, en it plan brekt as alle fjouwer op ien apparaat nommen wurde. De earste fraach is net hokker rûte te foegjen. It is oft de nije doaze brêget of rûtet, want dat antwurd beslút hoefolle subnetten der binne en hokker apparaten deroer leare moatte. Kies earst it oanslútmode; elke rûte folget derút.
Brêge of rûte: de kar dy't it oantal fêststelt
In brêge set de nije kliïnten op itselde subnet dat de Pi al betsjinnet. Ien subnet, ien DHCP-autoriteit en gjin oerdracht om te rûtsjen. Dit is de ienfâldiger regeling en de juste as in apart kliïntnetwurk nea in eask wie. In rûte ferbining is in oar ûntwerp: de doaze hâldt syn eigen subnet en dat foarheaksel moat oeral drage wurde dêr't it ferkear hinne giet.
De rest fan dit plan hâldt de downstream router en bewarret de boarneadressen fan kliïnten. It doel is ien privee VPN-netwurk, net in folsleine ynternetútgong. Skriuw it model op foar de adressen, want de list hjirûnder is mar in foarbyld fan in rûte oansluting.
client subnet 10.41.0.0/24
client gateway 10.41.0.1
router-to-Pi link 192.168.71.2
Pi on that link 192.168.71.1
private target 10.72.9.0/24Wa beslút wat
| Decision owner | Entry that encodes the decision | Failure when the entry is missing |
|---|---|---|
| Pi VPN host | Return route for 10.41.0.0/24 via 192.168.71.2, and a tunnel route for 10.72.9.0/24 | Replies to downstream clients die at the Pi |
| Owner of the remote network | A path for 10.41.0.0/24 over the permitted tunnel | Replies stop at the first unaware hop |
| LAN router behind the Pi | Specific route for 10.72.9.0/24 via 192.168.71.1, or a suitable default | Clients never send private traffic to the Pi |
| Client machine | Default via 10.41.0.1, or a specific entry for 10.72.9.0/24 | The private network is unreachable from the client |
Elk apparaat nimt ien beslissing, en gjinien kin dy fan in oar foar him nimme. De Pi hat twa ynfieringen nedich, net ien, en it werompaad is dejinge dy't minsken ferjitte. Trochstjoerd ferkear berikt it privee netwurk korrekt en stjert dan op 'e weromwei, om't de Pi gjin idee hat wêr't 10.41.0.0/24 wennet. Dat liket op in firewallprobleem en is eins in ûntbrekkende rûte.
De fiere kant hat ek syn eigen rûte nedich. As de tsjinst oan 'e fiere ein net wit dat 10.41.0.0/24 troch jo tunnel berikber is, stopje antwurden by de earste hop sûnder antwurd. Foegje beide rjochtingen ta foar't jo pakketfilters lêze.
De folgjende hops komme út 'e oansluting
In folgjende hop moat in adres wêze op in netwurk dat it apparaat echt berikke kin. It iepenbiere adres fan 'e VPN-peer is net de folgjende hop foar in privee subnet, en it fiere tsjinstnetwurk is hielendal gjin folgjende hop. In rûte nei in ûnberikbere gateway liket korrekt yn in list en smyt elk pakket fuort. Kontrolearje dat de gateway antwurdet foar't jo it doel beskuldigje.
Hâld de bûtenste VPN-peer fan 'e Pi berikber fia syn eigen ûnderlaachrûte. Dy ynfiering is apart fan 'e ladingrûtes, en har mingen jout in tunnel dy't him nei in paadferoaring net wer opbouwe kin.
Dokumintaasje oer statyske rûtes makket it ûnderskie tusken doel en gateway dúdlik, ek al neame elke platfoarm syn menus oars. Lês de dokumintaasje foar it apparaat foar jo ynstee fan it skerm fan in oare leveransier te kopiearjen. De opdrachten hjirûnder litte de foarm fan 'e ynfieringen sjen op Linux.
# on the Pi
ip route add 10.41.0.0/24 via 192.168.71.2
ip route add 10.72.9.0/24 dev tun0
# on the downstream router
ip route add 10.72.9.0/24 via 192.168.71.1Wat oersetting mei de boarne docht
As de downstream router syn kliïnten al oerset nei it transytadres, sjocht de Pi ien oersette boarne ynstee fan it eigen adres fan elke kliïnt. Dat is in oar ûntwerp as it boarnebewarjende hjirboppe. It feroaret belied op basis fan boarne, logging en hokker kant ferbiningen begjinne kin. Beide ûntwerpen wurkje; se beantwurdzje ferskillende fragen.
As in upstream VPN-tsjinst wegeret it kliïntfoarheaksel werom te rûtsjen, kin in smelle oersetting by de tunnelútgong fan 'e Pi in legitime needoplossing wêze. It is gjin bewiis dat de ûntbrekkende rûte oerstallich wie. Skriuw op hokker adres it fiere netwurk echt sjocht en hokker werompaad dêrút folget.
Rûtekar, trochstjoerfoech en boarneoersetting bliuwe trije aparte taken. In dielde NAT-ketting leegje of elke ynterface tastean om't ien triedde kliïnt wurket, is hoe't in wurkjende test in iepen trochstjoerder wurdt.
Bewiis it fan in kliïntmasine
Stjoer in fersyk fan in masine op it downstream LAN, folgje dan syn boarne út en werom. In ping fan 'e Pi brûkt nea it downstream werompaad, dêrom bewiist in slagge ping minder as it liket. Foegje in twadde test ta fan in triedde kliïnt op it eigen LAN fan 'e Pi, sadat de twa paden ferlike wurde kinne. Werhelje beide nei it opnij opstarten fan ien fan 'e apparaten.
Rûtes dy't mei de hân tafoege binne en oersettings dy't nea bewarre waarden, ferdwine tegearre. Dan liket it pear op in nije storing ynstee fan ûnfoltôge wurk.
Bewarje it oanslútmode mei de rûtes, de tastiene privee tsjinst en elke oersetting yn ien notysje. Dy notysje is wat de folgjende persoan tsjinhâldt om draadleaze pleatsing as in fraach fan routingbelied te behanneljen.