hostapd agus OpenVPN ar aon Pi amháin: cé leis an mbealach réamhshocraithe?

Ceanglaíonn teileafóin leis an bpointe rochtana, faigheann siad seoladh, agus ansin ní shroicheann siad aon rud ar chor ar bith nuair a éiríonn an tollán. Bíonn hostapd sláintiúil de ghnáth sa riocht sin, agus OpenVPN freisin; is é an bealach réamhshocraithe a bhriseann, a raibh sé riamh ar an droichead nó a tháinig an tollán ina áit gan bealach chuig an bhfreastalaí VPN féin a fhágáil. Cuireann an treoir seo an bealach sin ar ais san áit a mbaineann sé agus cruthaíonn sé an toradh ó chliant seachas ón Pi. Tá gach céim inchúlaithe, agus ní athraíonn aon rud anseo cumraíocht an tolláin go dtí go mbeidh a fhios agat cén trácht atá uait istigh ann.

Déan fardal de na comhéadain sula n-athraíonn tú aon rud

Cuireann an leagan amach aithnidiúil an raidió gan sreang agus an port sreangaithe taobh istigh de br0, tosaíonn sé hostapd in aghaidh an droichid agus roinneann sé léasanna ó dnsmasq, agus cruthaíonn cliant OpenVPN tun0. Ansin breathnaíonn trí riachtanas ar leith mar aon cheann amháin: teastaíonn an Pi mar gheata ó chliaint an phointe rochtana, teastaíonn bealach chuig an idirlíon ón Pi chun a fhreastalaí a shroicheadh, agus teastaíonn seoladh geata ón droichead is féidir leis na cliaint sin a úsáid.

Léigh an riocht reatha sula n-athraíonn tú é, mar déanann na ceithre ordú seo idirdhealú idir fadhb chomhéadain agus fadhb ródaithe.

ip -br addr
ip route show
ip link show master br0
bridge link show

Má tá seoladh ag br0 ach gan aon bhealach réamhshocraithe, sroicheann cliaint an Pi agus faic eile. Má dhíríonn an bealach réamhshocraithe ar tun0 agus an tollán síos, níl aon bhealach oibre ag an Pi ar chor ar bith, agus tá comhartha an chliaint go díreach mar an gcéanna. Breathnaíonn an dá chás mar an gcéanna ó theileafón, agus is ar an ábhar sin a chaithfear an tábla ródaithe a léamh go díreach.

Tabhair bealach réamhshocraithe don droichead a bhaineann leis féin

Fágann Raspberry Pi OS an droichead gan bhealach réamhshocraithe go minic nuair a tháinig an droichead ann tar éis an comhad comhéadain a scríobh. Baineann an bloc le /etc/dhcpcd.conf, agus ba cheart dó an ródaire suas an tsrutha a ainmniú seachas an Pi.

interface br0
static ip_address=192.168.50.2/24
static routers=192.168.50.1
static domain_name_servers=192.168.50.1

Sa sampla sin is é 192.168.50.1 an ródaire atá ann cheana agus is é 192.168.50.2 seoladh droichid an Pi sa bhfo-líonra céanna, mar sin cuir do phlean féin ina ionad seachas na huimhreacha a chóipeáil. Níor cheart do chomhaltaí an droichid ródairí a iarraidh freisin, nó críochnóidh an Pi le réamhshocruithe iomaíocha a mbíonn a mbuaiteoir ag brath ar mhéadracht agus ar am seachas ar rún.

Tar éis systemctl restart dhcpcd ba cheart do ip route show default br0 a liostú uair amháin agus gan aon dúblach ón bport sreangaithe. Deimhnigh an chuardach seachas an tábla, mar is féidir le hiontráil sheanbhunaithe suí in aice le hiontráil bhuach: caithfidh ip -4 route get 203.0.113.10 br0 a ainmniú. Tagann an seoladh sin ó raon doiciméadúcháin TEST-NET-3, mar sin ní féidir leis teacht salach ar fhreastalaí fíor agus tú ag léamh seo.

Cuir stop leis an tollán ag fuadach an bhealaigh chuig a fhreastalaí féin

Glacann cliant OpenVPN a ghlacann redirect-gateway an bealach réamhshocraithe agus díríonn sé isteach sa tollán é. Tá sé sin ceart nuair ba cheart do gach cliant pointe rochtana an VPN a úsáid, agus mícheart nuair nach mba cheart ach do chuid de na cinn scríbe é. Cibé bealach é, ní cheart do nasc an Pi féin leis an bhfreastalaí taisteal taobh istigh den tollán atá á thógáil aige fós. Cuireann OpenVPN bealach ósta leis chuig an bhfad i gcéin tríd an ngeata bunaidh nuair a atreoraíonn sé an réamhshocrú, agus is é sin go díreach an t-iompar a choinníonn an t-iompar beo; mura bhfuil an bealach sin ann, titeann an tollán go gasta a luaithe a bhunaítear é.

Is fiú na deich soicind comparáid thapa a dhéanamh ar an mbealach iompair sin roimh cheangal agus ina dhiaidh. Ba cheart do ip -4 route get 203.0.113.10 an gléas fo-léara a ainmniú sa dá riocht, agus ní athraíonn ach an mhéadracht. Má ainmníonn sé tun0 tar éis don tollán éirí, níor suiteáladh an bealach ósta riamh agus teipfidh an chéad athcheangal eile.

Nuair nach mba cheart ach do réimíreanna roghnaithe an tollán a thrasnú, bain úsáid as route-nopull agus cuir na bealaí atá uait leis de láimh, nó brúigh sraith níos cúinge ón bhfreastalaí. Coinníonn an droichead an bealach réamhshocraithe sa dearadh sin, agus tagann DNS chun bheith ina chéad chinneadh eile: ní dhéanann sé ciall dnsmasq a chur ar aghaidh chuig réititheoir baile ach amháin do na hainmneacha a chónaíonn ann i ndáiríre.

Socraigh scéal an aistrithe agus an NAT

Teastaíonn aistriú cumasaithe ar an Pi agus geata ar an taobh thall atá sásta fo-líonra an phointe rochtana a ródú le haghaidh tollán iomlán. Seiceáil an t-aistriú roimh aon rud eile, mar déanann nialas gach athrú ródaithe a dhéanamh neamhábhartha.

sysctl net.ipv4.ip_forward
sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -s 192.168.50.0/24 -o tun0 -j MASQUERADE

Is é an riail NAT an aicearra a oibríonn nuair nach nglacfaidh an freastalaí le réimír an phointe rochtana, ar chostas gach cliant a bheith le feiceáil mar sheoladh tolláin an Pi i logaí an taobh thall. Coinníonn ródú an réimíre gan NAT na seoltaí le feiceáil agus braitheann sé ar bhealach fillte do 192.168.50.0/24 ar an taobh baile.

Scríobh an rogha síos in aice le rialacha an bhalla dhóiteáin, mar éiríonn riail NAT atá dofheicthe sa dearadh doshannta sé mhí ina dhiaidh sin. Coinnigh IPv6 sa chinneadh céanna; léitear bealach IPv4 atá ag obair in aice le bealach IPv6 briste fós mar rud leathbhriste i mbrabhsálaí.

Fíoraigh ó chliant, ansin aisiompaigh go glan

Tástáil san ord seo ó theileafón nó ó ríomhaire glúine ar an bpointe rochtana: léas ó dnsmasq, ping chuig seoladh an droichid, ansin ceann scríbe ar an taobh thall den tollán. Déanann gach céim ciseal amháin a leithlisiú seachas teip amháin gan úsáid a chruthú.

ip -4 route get 203.0.113.10
ping -c 3 -I br0 203.0.113.10

Ansin deimhnigh go bhfuil a bhealach féin amach fós ag an Pi: ba cheart do ip route get 203.0.113.10 an gléas fo-léara a ainmniú, agus ba cheart do ping -c 3 -I br0 203.0.113.10 freagra a thabhairt má cheadaíonn an freastalaí ICMP. Má éiríonn leis an gcéad dá chéim chliaint agus má theipeann ar an tríú ceann, tá an locht san aistriú nó sa NAT. Má theipeann ar an dara céim, tá an droichead nó DHCP fós neamhiomlán.

Is é an t-aisiompú ná eagarthóireacht amháin ar chomhad agus dhá ordú: bain an bloc, atosaigh dhcpcd, agus cuir an bealach réamhshocraithe in ionad go sainráite le ip route replace default via 192.168.50.1 dev br0. Déan é sin sula ndúnfar an fhuinneog chothabhála seachas ina dhiaidh, mar tá Pi a chaill a bhealach réamhshocraithe doshroichte ón líonra a d'úsáidfeá chun é a dheisiú.