Geata VPN ar Raspberry Pi: aon chárta líonra nó port cliaint tiomnaithe

Tá Pi amháin agat, próifíl VPN amach atá ag obair, agus dhá fheiste ar cheart dóibh teacht ar an idirlíon tríd. Ní hé an cheist a shocraíonn an tógáil ar fad cé acu treoir le leanúint, ach cé mhéad coimeádta atá uait. Ligeann aon phort amháin don Pi seasamh le hais na bhfeistí sin ar LAN an ródaire agus gníomhú mar gheata breise; ligeann dara port duit iad a chur ar dheighleog ina bhfuil an Pi ar an aon bhealach amach. Tagann gach rud tar éis an rogha sin — DHCP, scóip an bhalla dóiteáin, DNS, an cás titime — as.

Cad a dhealaíonn an dá leagan amach i ndáiríre

Déanann an dá dhearadh ródú. Is é an difríocht cé eile atá ar an sreang agus cad a tharlaíonn nuair atá do pholasaí mícheart.

Is é an choimeád an bhfíor-ais. Tá leagan A comhairleach: oibríonn feiste a dhéanann neamhaird den gheata a sholáthraíonn DHCP agus a roghnaíonn an ródaire fós, gan chriptiú. Cuirtear leagan B i bhfeidhm trí thopolaíocht, mar níl aon chéad chéim eile le roghnú.

Leagan A: an Pi mar gheata breise ar an LAN atá ann cheana

Cuir i gcás gurb é ródaire an ISP 192.168.50.1, gurb é an Pi 192.168.50.2, agus go bhfuil na cliaint roghnaithe ag díriú ar an Pi. Is é an rud tábhachtach go roinneann dhá shreabhadh paicéad éagsúla aon chábla amháin. Sroicheann paicéad inmheánach an chliaint an Pi agus caithfidh sé imeacht tríd an tollán; caithfidh paicéad criptithe an Pi féin chuig piara VPN imeacht tríd an gcábla céanna chuig an ródaire. Taistealaíonn siad i dtreonna urchomhaireacha thar an gcomhéadan céanna agus teastaíonn láimhseáil éagsúil uathu.

Tabhair a sheoladh don Pi tríd an mbainisteoir líonra atá suiteáilte, ní trí shean-oideas comhaid chomhéadain a throideann leis as an bhfeiste. Ansin socraigh na cliaint: geata statach ar fheiste amháin, nó áirithint DHCP a thugann 192.168.50.2 mar ródaire. Ná hathraigh scóip DHCP iomlán an ródaire ar son dhá fheiste, agus ná glac leis go n-urramaíonn cliant an rogha — fíoraigh é.

Tá an laige struchtúrach seachas in-fheistithe. Is féidir le haon chliant ar an deighleog sin díriú ar 192.168.50.1 agus imeacht go soiléir, agus fágann feiste a bhfuil dara comhéadan nó raidió cille aici do chonair forfheidhmithe go hiomlán. Má tá an abairt sin do-ghlactha don fheiste atá i gceist, tá do fhreagra agat cheana: bain úsáid as leagan B.

Leagan B: cuireann port tiomnaithe na feistí faoi ghlas istigh

Anseo coimeádann an Pi 192.168.50.2 ar an nasc suas le geata 192.168.50.1, agus tógann sé 10.20.0.1/24 ar dhara comhéadan do na feistí atá ceangailte. Tá an Pi anois ina ródaire le dhá líonra, agus níl ach aon bhealach amháin ag an deighleog cheangailte.

Seiceáil an raon i gcoinne gach rud eile sula ngeallann tú: fo-líonra an tolláin féin, réimíreanna eile idir shuíomhanna, agus aon rud atá inrochtana tríd an VPN. Cruthaíonn 10.20.0.0/24 a imbhuaileann le LAN i bhfad i gcéin an cineál toraidh leath-oibrithe a thógann tráthnóna le diagnóisiú. Más adaptóir USB é an dara port, deimhnigh go bhfuil tacaíocht aige agus greamaigh a ainm sa bhainisteoir líonra ionas nach n-aistreoidh atheagrú tar éis atosaigh do sheoladh LAN.

Rith an t-éisteoir DHCP ar an gcomhéadan sin amháin. Déanann freastalaí a fhreagraíonn ar an nasc suas iomaíocht le ródaire an ISP agus tugann sé seoltaí do dheighleog don chuid eile den teach. Ceangail é leis an gcomhéadan LAN, srian é leis an raon dearbhaithe, agus coimeád seoladh an Pi féin amach as an linn.

Seoladh ar aghaidh, aistriú agus an riail dúnta ar theip

Is minic a dhéantar cur síos ar cheithre rud mar rud amháin agus ní hea. Ní insíonn cumasú seolta ar aghaidh (net.ipv4.ip_forward=1) don eithne ach go bhféadfaidh sé paicéid a bhogadh idir chomhéadain; ní cheadaíonn sé rud ar bith leis féin agus ní ráthaíonn sé aon chonair. Is cinneadh ródaithe é an t-easnamh a roghnú. Is cinneadh polasaí sa slabhra forward é cead a thabhairt don phaicéad. Is cinneadh postrouting é a fhoinse a athscríobh. Táirgeann tógáil nach ndéanann ach an chéad rud Pi a sheolann trácht cliant amach an nasc suas go sásta.

Srian an cead leis na foinsí a bhí i gceist agat agus leis an gcomhéadan ar cheart don trácht úsáid a bhaint as, agus cuir an chonair fillte agus na cinn scríbe a theastaíonn ón Pi féin san áireamh. Ansin aistrigh ar easnamh an tolláin mura ndéanann an soláthraí do réimír LAN a ródú ar ais chugat. lámhleabhar nftables déileáil le seoladh ar aghaidh, aschur áitiúil agus aistriú foinse mar oibríochtaí ar leith, agus sin an tsamhail mheabhrach cheart anseo.

Is é an teip choitianta riail masquerade leathan ar an gcomhéadan fisiceach. Sroicheann an trácht an t-idirlíon trí chonair an ISP ansin agus é, ó thaobh an chliaint de, ag breathnú go beacht cosúil le VPN atá ag obair. Ní chruthaíonn sé sin aon rud. Coimeád an t-aistriú ceangailte leis an easnamh dearbhaithe, agus coimeád do rialacha sa bhalla dóiteáin a úsáideann an t-óstach cheana féin in ionad tacar rialacha iomaíoch a chur leis a fholmhaíonn slabhra postrouting roinnte.

Ansin déileáil le heaspa an tolláin. Ciallaíonn próifíl cliaint a shuiteálann mórchonair réamhshocraithe freisin, nuair a thiteann an tollán, gur féidir leis an réamhshocrú gnásúil teacht ar ais agus filleann trácht an chliaint go ciúin ar an nasc suas. Nuair nach bhfuil titim siar ar théacs soiléir inghlactha, caithfidh an polasaí forward trácht ó chliant go dtí an nasc suas a dhiúltú go sainráite, sa staid ina bhfuil conair an VPN imithe. Scríobh é sin mar riail diúltaithe, ní mar thoimhde. Is sreabhadh local-output ar leith é iompar criptithe an Pi féin chuig piara VPN agus caithfidh sé fanacht ceadaithe, nó ní féidir leis an tollán teacht ar ais go deo.

Teastaíonn a bhfreagra féin ó DNS agus IPv6

Má úsáideann cliaint an Pi mar réiteoir, buaileann siad le héisteoir áitiúil agus tosaíonn an Pi fiosrú nua. Leanann an fiosrú suas sin conair an Pi féin, ní an riail forward a scríobh tú do chliaint, mar sin is sceitheadh gan aon teachtaireacht earráide é conair cliaint tríd an tollán amháin móide réiteoir a théann amach go díreach. Socraigh go stuama: réiteoir a shroichtear tríd an tollán, nó ceann áitiúil a nglacann tú leis mar cheann díreach, agus déan polasaí aschuir an Pi féin a mheaitseáil leis an gcinneadh sin.

Tá IPv6 ina chás ar leith arís. Ní chuireann riail forward do IPv4 srian ar bith ar IPv6, agus is féidir le fógraí ródaire ar an nasc suas réamhshocrú eile a thabhairt don Pi, agus tríd sin don deighleog cheangailte, a théann timpeall ar do pholasaí. Buail an dá rud: tabhair conair chosanta féin do IPv6 ar an bprionsabal céanna, nó srian é go sainráite ar dheighleog an chliaint agus abair é.

Tástáil an teorainn sula mbíonn muinín agat as

Ná glac leis an dearadh ach tar éis ceithre sheiceáil ar leith, mar éiríonn leis an tástáil aonair mhealltach — brabhsálaí a oscailt ar chliant amháin — i roinnt staid bhriste.

Deimhnigh go sroicheann cliant fíor amháin an t-idirlíon tríd an tollán, ansin deimhnigh nach féidir leis an gcliant céanna an t-idirlíon a shroicheadh agus an tollán síos. Deimhnigh go n-oibríonn réiteach DNS agus go n-imeoidh an fiosrú mar a bhí beartaithe agat. Deimhnigh go n-oibríonn iompar an Pi féin fós tar éis atosú an tolláin, agus nach dteastaíonn atosú an mheaisín chun teacht chuige féin. Faoi dheireadh, seiceáil feiste nár roghnaigh tú: faoi leagan A ba cheart di leanúint ag obair go gnásúil, agus faoi leagan B nár cheart di a bheith ann ar an deighleog sin ar chor ar bith.

• Tugann dhá phort agus riail diúltaithe forfheidhmiú; tugann port amháin agus rogha DHCP comhairle.
• Breathnaíonn aistriú ar an gcomhéadan mícheart cosúil le rath agus ní rath é.
• Teastaíonn cinneadh, ní tátal, ó thrácht an Pi féin, ó DNS agus ó IPv6 araon.