Ní shroicheann cliaint hotspot ar Pi LAN an tí thar VPN TUN

Ceanglaíonn cliaint Wi-Fi agus Ethernet áitiúla le hotspot an Pi, tógann siad seoladh óna raon DHCP agus lódálann siad leathanaigh idirlín gan ghearán. Ansin téann na cliaint chéanna in am istigh nuair a osclaíonn siad comhroinnt comhad nó comhéadan gréasáin ar LAN an tí, agus sroicheann an Pi féin an LAN sin tríd an tollán. Níl aon rud briste sa chiseal gan sreang. Is é atá in easnamh conradh ródáilte: caithfear réimír an hotspot a iompar isteach sa chomhéadan TUN, agus caithfidh rud éigin ar thaobh an tí a bheith eolach ar conas freagraí a sheoladh ar ais chuige. Caithfidh an dá leath a bheith ann sula bhféadfaidh aon phaicéad amháin an turas anonn is anall a chríochnú.

Trí cheangal le trí phost éagsúla

Seolann droichead Ethernet Linux frámaí de réir sheoladh MAC an chinn scríbe. OpenVPN i mód TUN iompraíonn sé paicéid IP agus níl aon chiseal MAC aige ar chor ar bith, mar sin ní chláraíonn sé an tollán mar phort riamh nuair a chuirtear droichead áitiúil leis. Míníonn doiciméadú TUN/TAP an eithne an deighilt sin: breathnaíonn gléas TAP cosúil le comhéadan Ethernet, ní dhearna gléas TUN amhlaidh. Is ródaire é dearadh a dhéanann droichead de dhá phort áitiúla agus a ródálann ansin, cibé rud a deir ainmneacha na gcomhéadan.

Socraíonn an deighilt sin an úinéireacht. Baineann foshraith na gcliaint, a ngeata réamhshocraithe agus údarás DHCP an raoin sin le plean áitiúil an Pi. Ní thrasnaíonn craoltaí DHCP tí tollán ródáilte, agus ní athraíonn aon socrú droichid é sin; is dearadh athsheoltóra ar leith agus d'aon ghnó é cliaint a dhíriú ar fhreastalaí DHCP tí, agus tá a mhodhanna teipe féin aige.

Coinnigh an móidím lasmuigh de dhroichead na gcliaint freisin. Ní gléas Ethernet é ceangal PPP le lipéad eile, agus ritheann loighic réamhshocraithe bealaigh dhoiciméadaithe pppd tar éis idirbheartaíochta IPCP agus tarraingíonn sé a bhealach siar nuair a thiteann an nasc sin. Ní chruthaíonn cóip de theimpléad DHCP agus athainmniú gach usb0 go ppp0 aon rud faoi gheata, mhéadrach nó shaolré.

Roghnaigh na réimíreanna sula ndéanann tú aon chumraíocht a chur in eagar

Cailleann réimíreanna forluiteacha níos mó tráthnóna ná rialacha balla dóiteáin, mar seolann forluí an chuardach bealaigh chuig an gcomhéadan mícheart fiú nuair a bhíonn an tollán sláintiúil. Tosaigh trí liosta a dhéanamh de na rudaí atá ann cheana ar an Pi, ansin léigh an toradh mar cheithre linn ar leith.

ip -4 addr show scope global
ip -4 route show table main
ip -4 route get 192.168.77.10

Is é an chéad linn an seoladh underlay a thug an t-iompróir don mhóidím; caithfidh sé fanacht lasmuigh de gach plean atá dírithe ar chliaint. Is é an dara ceann foshraith an tolláin a roghnaigh an freastalaí, go minic /24 príobháideach dá chuid féin. Is é an tríú ceann droichead an hotspot, agus is é an ceathrú ceann réimír an tí ar mhaith leat a shroicheadh. Sa siúlóid seo faigheann an hotspot 172.28.90.0/24 agus an droichead ar 172.28.90.1, agus coimeádann LAN seirbhíse an tí 192.168.77.0/24, rud a sheachnaíonn na réamhshocruithe 192.168.1.0/24 agus 10.0.0.0/24 a thagann le ródairí tomhaltóra agus raon an iompróra 100.64.0.0/10.

Fógair seoladh an droichid mar gheata i raon DHCP an hotspot agus faic eile. Ná tabhair seoladh tí do chliaint hotspot mar gheata riamh; níl aon chonair acu ag leibhéal naisc chuig an deighilt sin.

Ródáil gach treo ar an taobh a shealbhaíonn é

Teastaíonn bealach ón Pi don réimír tí tríd an tollán. Is gnách le freastalaithe i mód freastalaí an bealach sin a bhrú, mar sin deimhnigh ar dtús go bhfuil an t-ardú romhainn ar siúl agus go réitíonn an t-eithne seoladh tí as tun0.

sysctl net.ipv4.ip_forward
ip route add 192.168.77.0/24 dev tun0
ip -4 route get 192.168.77.10

Má tá ip route get fós ag tuairisciú an chomhéadain underlay, stop ansin; ní féidir le haon rud níos faide síos an bealach cuardach mícheart a dheisiú.

Níl aon bhealach ag gléasanna tí chuig 172.28.90.0/24, mar sin leanann a bhfreagraí an geata réamhshocraithe agus faigheann siad bás ag an ródaire. Tá dhá dheisiú tacaithe ann. Ceachtar cuir bealach statach leis ar ródaire an tí a dhíríonn réimír an hotspot chuig seoladh LAN fhreastalaí an VPN, nó, nuair is é an freastalaí féin an geata, cláraigh réimír an chliaint i dtábla ródála an fhreastalaí féin. I mód ilchliant OpenVPN iompraíonn an t-eolaire a bhaineann go sonrach leis an gcliaint an chomhlachas sin: comhad ainmnithe i ndiaidh gnáthainm theastas an chliaint, ina bhfuil iroute 172.28.90.0 255.255.255.0 móide an líne route chomhfhreagrach a shuiteálann sa chrann eithne an fhreastalaí é. Ní hé an bealach eithne a buaileadh amach ar an bhfreastalaí an ráiteas céanna le insint don fhreastalaí cé acu cliant a shealbhaíonn an réimír.

Ná bog seirbhís DHCP an líonra tí chuig freastalaí an VPN chun go n-oibreodh sé seo. Is athrú i bhfad níos mó é an geata réamhshocraithe a athsholáthar do theach iomlán ná aon bhealach fillte príobháideach a chur leis, agus tarraingíonn sé DNS, áirithintí seoltaí agus gach gléas a dtugann neamhaird ar an léas nua isteach sa teip.

Oscail an t-ardú romhainn gan buille faoi thuairim a thabhairt faoin mballa dóiteáin

Ní chiallaíonn an t-ardú romhainn a bheith cumasaithe go bhfuil cead ag an bpaicéad dul tríd. Buaileann trácht ón droichead chuig an tollán na rialacha scagtha fós, agus caitheann polasaí ardaigh romhainn réamhshocraithe drop trácht an hotspot cé go leanann trácht an Pi féin ag obair, rud a tháirgeann go beacht an tsíomptóm scoilte thuas.

iptables -S FORWARD
iptables -t nat -S POSTROUTING
nft list ruleset

Cuardaigh riail ghlactha ó br0 go tun0 agus an treo freagartha comhfhreagrach, agus riail postrouting a d'fhéadfadh an fhoinse a athscríobh. Má tá polasaí na slabhra drop agus mura n-oireann aon riail, cuir leis na glacthaí cúnga agus ath-thástáil seachas an polasaí a chasadh go accept.

Is rogha polasaí é an t-aistriúchán seachas riachtanas. Déanann NAT foinse i dtreo LAN an tí gach cliant hotspot a dhéanamh cosúil le seoladh tolláin an Pi, rud a chailleann leithdháileadh in aghaidh an chliaint i logaí tí agus a bhriseann seirbhísí a bhfuil an fhoinse bhunaidh ag teastáil uathu. Coimeádann ródú gan NAT seoltaí cliant le feiceáil ach braitheann sé ar an mbealach fillte thuas. Roghnaigh ceann amháin agus láimhseáil DNS agus IPv6 ar an mbealach céanna, mar léitear bealach IPv4 oibre taobh le bealach IPv6 briste fós mar rud leathbhriste i mbrabhsálaí.

Fíoraigh an turas anonn is anall, ansin bris é d'aon ghnó

Tástáil ó chliant hotspot, riamh ón Pi, mar seachnaíonn trácht an Pi féin an bealach anonn agus an bealach ar ais araon. Féach ar an dá chomhéadan agus cliant amháin ag iarraidh seirbhís tí a shroicheadh.

tcpdump -ni br0 host 192.168.77.10
tcpdump -ni tun0 host 192.168.77.10
ping -c 3 192.168.77.10

Léigh an dá ghabháil le chéile. Ciallaíonn iarratais ar br0 nach bhfeictear riamh ar tun0 nach bhfuil an Pi ag ardu romhainn nó go bhfuil an bealach ag díriú áit eile. Ciallaíonn iarratais ar tun0 gan freagraí nach bhfuil bealach fillte ag taobh an tí nó gur scag an freastalaí an paicéad. Ciallaíonn freagraí ar tun0 nach dtagann chun solais arís ar br0 go bhfuil an riail scagtha chomhchúiseach ar iarraidh, áit a bhfuil an tollán foirfe agus nach bhfeiceann an cliant aon rud fós.

Ansin bris an bealach d'aon ghnó. Tóg nasc an mhóidím anuas agus suas arís agus rit na seiceálacha bealaigh agus gabhála arís; baineann bealach a mhaireann an tollán ach a imíonn ar athnascadh le próifíl an naisc, ní le hordú aonuaire. Deimhnigh go bhfágann iompar an tolláin tríd an underlay fós agus ní tríd féin, an lúb chlasaiceach nuair a ghlactar le bealach réamhshocraithe brúite gan bealach ósta chuig an bpiara.

Ná glac leis an dearadh go dtí gur féidir le cliant hotspot ainm tí a réiteach, seirbhís TCP a oscailt agus seisiún a choinneáil beo thar aon athnascadh móidím amháin. Má theastaíonn fionnachtain ag leibhéal Ethernet ar an deighilt tí ó fheidhmchlár i ndáiríre, roghnaigh dearadh Layer 2 tacaithe seachas cur síos a dhéanamh ar an droichead áitiúil mar rud droichidithe agus fanacht le craoladh a theacht chun solais.