Pi mar chliant VPN: aon bhainisteoir nó script dá chuid féin?

Tá dhá dhearadh réalaíocha ag Raspberry Pi nach gá dó ach a thrácht amach féin a chosaint: lig don bhainisteoir líonra an tollán a bheith aige, nó coinnigh script a bhfuil sé aige. Is féidir leis an dá cheann trácht a iompar. Teipeann siad in áiteanna éagsúla, agus is é an teip ar féidir leat a dhiagnóisiú go cianda ag a dó ar maidin an ceann is fiú a roghnú. Cuir iad i gcomparáid ó thaobh úinéireachta, ó thaobh cad a chiallaíonn tollán iomlán nuair a bhíonn IPv6 agus DNS i gceist, agus ó thaobh cad a tharlaíonn an nóiméad a thiteann an tollán.

Dhá úinéir ar aon tollán amháin

Is é dearadh A próifíl taobh istigh de bhainisteoir líonra an chórais: próifíl OpenVPN iompórtáilte nó nasc WireGuard dúchasach, a ghníomhachtaítear ag am tosaithe ag an tseirbhís chéanna a ardaíonn Ethernet agus Wi-Fi. Is é dearadh B aonad de do chuid féin a ritheann an cliant go díreach, a chuireann cumraíocht an réitigh in eagar agus a shuiteálann a bhealaí agus a rialacha balla dóiteáin féin. Tá an dá cheann dlisteanach; tá siad difriúil ó thaobh cé atá ceadaithe an tábla ródaithe a athrú.

Tá na teipeanna difriúil mar tá na húinéirí difriúil. Le A, fágann próifíl nach ngníomhachtaítear an comhéadan suas agus an tollán síos, agus deir logaí an bhainisteora cén fáth. Le B, fágann script nach n-éiríonn ach go leathbhealach bealaí ina dhiaidh nach maireann an próiseas a chruthaigh iad. Is é an dá cheann a rith an toradh is measa: dhá phróiseas ag scríobh an ród réamhshocraithe, dhá eagarthóireacht réitigh ag rásáil ag am tosaithe, agus dhá thacar rún le rothlú.

Roghnaigh aon úinéir amháin in aghaidh an tolláin agus díchumasaigh an ceann eile sula dtástáil tú aon rud. Ciallaíonn dhá úinéir dhá áit le breathnú freisin nuair a bhíonn an tollán suas agus nach réitítear aon rud. Cuireann an aon riail sin stop le formhór na staid mhearbhallacha a gcuirtear síos orthu i snáitheanna Pi VPN.

Cad a chruthaíonn iompórtáil, agus nach gcruthaíonn

Ar Raspberry Pi OS Bookworm agus níos déanaí is é NetworkManager an uirlis chumraíochta líonra réamhshocraithe, mar sin is é próifíl an baile nádúrtha do thollán cliaint. Teastaíonn an breiseán comhoiriúnach suiteáilte don iompórtáil; gan é teipeann an iompórtáil le teachtaireacht faoi chineál naisc nach dtacaítear leis, agus is é sin an comhartha macánta stopadh agus an breiseán a shuiteáil.

nmcli connection import type openvpn file ./provider.ovpn
nmcli connection show
nmcli --ask connection up id provider-name

Sábhálann iompórtáil próifíl. Ní chruthaíonn sé go bhfuil an taobh eile inrochtana, agus ní ráthaíonn sé gur mhair gach treoir sa chomhad an tiontú. Léigh an nasc a tháinig as ar ais agus seiceáil na codanna a iompraíonn féiniúlacht agus muinín: an teastas, an t-óstach cianda agus an port, agus an n-iarrtar pasfhocal nó an stóráiltear é.

Coinníonn gníomhachtú le --ask frása faireacháin amach as stair an bhlaosc ar mheaisín roinnte. Do Pi gan mhaoirseacht beidh tú ag iarraidh sa deireadh go n-ardódh an phróifíl ag am tosaithe, rud atá ina chinneadh ar leith ó é a ardú uair amháin de láimh.

Tollán iomlán, i gcomparáid thar an dá dhearadh

Is éard atá i dtollán iomlán ná ráiteas faoi bhealaí, ní faoi rún, agus cuireann an dá dhearadh in iúl é ar bhealaí éagsúla. Iarrann cur chuige na próifíle ar an mbainisteoir ród réamhshocraithe agus a shocruithe réitigh a shuiteáil; déanann cur chuige an scripte a deir an script, lena n-áirítear faic. Ní chlúdaíonn ceachtar dearadh IPv6 mura ndeirtear leis, agus iompróidh ród réamhshocraithe IPv6 gan teagmháil trácht go sásta lasmuigh den tollán agus IPv4 ag breathnú go foirfe.

ip -4 route get 198.51.100.23
ip -6 route show default
resolvectl query example.org

Úsáid seoladh doiciméadúcháin don chuardach róid agus cuir óstach a bhfuil cead agat a iniúchadh ina ionad. Taispeánann an chéad ordú cén comhéadan a d’úsáidfeadh an Pi do cheann scríbe coitianta; taispeánann an dara ceann an bhfuil ród réamhshocraithe IPv6 ann fós; cruthaíonn an tríú ceann cén réiteach a d’fhreagair. Léigh an triúr sula gcreideann tú aon ráiteas faoi thollán iomlán.

Má gheallann treoracha an tsoláthraí tollán iomlán ach má mhaireann an ród réamhshocraithe IPv6, tá an Pi ag sceitheadh. Díchumasaigh IPv6 ar an nasc suas nó iarr ar an bpróifíl é a éileamh, agus socraigh go comhfhiosach in áit é a fháil amach níos déanaí.

Teip oscailte in aghaidh teip dhúnta

Nuair a thiteann an tollán, filleann tábla ródaithe a chailleann a ród réamhshocraithe go simplí ar an nasc fisiciúil, agus leanann an trácht go hoscailte. Is teip oscailte é sin, agus is é iompar réamhshocraithe an dá dhearadh mura gcuireann rud éigin cosc air. Faigheann mórchuid na ndaoine amach faoi seachtainí níos déanaí agus iad ag léamh loga balla dóiteáin.

Coscann teip dhúnta rochtain chianda ort nuair a bhíonn an tollán síos, mar sin teastaíonn eisceacht chomhfhiosach uaidh don chosán bainistíochta. Bealach amháin is ea riail nach gceadaíonn ach seoladh an phiarach VPN lasmuigh den tollán:

sudo nft add table inet vpnkill
sudo nft 'add chain inet vpnkill out { type filter hook output priority 0; policy accept; }'
sudo nft add rule inet vpnkill out oifname != "tun0" ip daddr != 203.0.113.24 reject

Cuir an costas oibríochtúil i gcomparáid go macánta. De ghnáth ní féidir le próifíl an riail seo a chur in iúl, mar sin brúnn teip dhúnta tú i dtreo dearadh an scripte nó i dtreo aonad beag a shuiteálann an riail go neamhspleách ar an tollán. Cibé scéal é, logáil na diúltuithe ar feadh seachtaine: breathnaíonn diúltú ciúin go díreach mar an gcéanna le seirbhís bhriste, agus beidh an t-áiritheoir uait nuair a thuairisceoidh úsáideoir gur stop suíomh amháin de luchtú.

Roghnú do Pi gan scáileán

Má ritheann an íomhá NetworkManager cheana féin, mura dteastaíonn aon rud eachtrannach ón tollán, agus más mian leat go leanfadh sé an nasc suas go huathoibríoch, tóg an phróifíl. Má theastaíonn ródú beartais uait, roinnt tollán a roghnaítear de réir cinn scríbe, nó riail teipe dúnta nach mór a bheith ann sula n-ardaíonn an tollán, tóg an script agus bí i seilbh gach cuid de, lena n-áirítear ord tosaithe agus glanadh. Cosnaíonn meascadh an dá dhearadh níos mó ná ceachtar acu ina aonar.

Is ábhar ordaithe go príomha é aistriú eatarthu: díchumasaigh an seanúinéir, deimhnigh nach maireann aon ród nó iontráil réitigh sean, ansin cumasaigh an ceann nua agus atosaigh faoi dhó. Is féidir le hatosú amháin rás a cheilt a nochtaíonn an dara ceann. Críochnaigh tríd an Pi a thástáil seachas an tollán: réitigh ainm, faigh rud éigin thar IPv4, faigh thar IPv6 má choinnigh tú é, ansin scaoil an tollán agus deimhnigh go dtarlaíonn an t-iompar a roghnaigh tú i ndáiríre. Tús na trialach is ea comhéadan in ip link, ní a deireadh.