Abokan ciniki na hotspot a kan Pi ba sa isa LAN na gida ta hanyar TUN VPN

Abokan ciniki na Wi-Fi da Ethernet na gida suna haɗawa da hotspot ɗin Pi, suna karɓar adireshi daga kewayon DHCP ɗinsa, kuma suna loda shafukan intanet ba tare da gunaguni ba. Waɗannan abokan ciniki ɗin suna ƙarewa lokaci sa’ad da suka buɗe rabon fayil ko fuskar yanar gizo a kan LAN na gida, yayin da Pi da kansa ke isa wannan LAN ta hanyar tunnel. Babu wani abu da ya karye a cikin layin mara waya. Abin da ya ɓace shine yarjejeniyar da aka yi wa hanya: dole ne a ɗauki prefix ɗin hotspot cikin hanyar TUN, kuma wani abu a gefen gida dole ne ya san yadda ake aika amsoshi zuwa gare shi. Dole ne rabin biyu su kasance kafin fakiti ɗaya ya iya kammala tafiyar komawa da dawowa.

Haɗi uku da ayyuka uku daban-daban

Gadar Ethernet ta Linux tana tura frames ta adireshin MAC na inda aka nufa. OpenVPN a yanayin TUN yana ɗaukar fakitin IP kuma ba shi da layin MAC ko kaɗan, don haka ƙara gada ta gida ba ya taɓa yin rijistar tunnel a matsayin tashar jiragen ruwa. takardun TUN/TAP na kernel suna bayyana wannan rabuwa: na'urar TAP tana kama da hanyar Ethernet, na'urar TUN ba haka ba. Zane da ya haɗa tashoshin jiragen ruwa biyu na gida sannan ya yi hanya shine na'urar hanya, ko menene sunayen hanyoyin suka ce.

Wannan bambanci yana ƙayyade mallaka. Ƙaramin cibiyar abokan ciniki, ƙofar su ta asali da ikon DHCP na wannan kewayon na shirin gida na Pi ne. Watsa DHCP na gida ba ya ƙetare tunnel ɗin da aka yi wa hanya, kuma babu wani saitin gada da zai canza hakan; nuna abokan ciniki zuwa uwar garken DHCP na gida wani zane ne na relay daban da aka yi da gangan wanda ke da nasa hanyoyin gazawa.

Ka riƙe modem ɗin a wajen gadar abokan ciniki kuma. Haɗin PPP ba na'urar Ethernet ba ce da wata alama, kuma dabarar hanyar asali da aka rubuta ta pppd tana aiki bayan tattaunawar IPCP kuma tana janye hanyarta lokacin da wannan hanyar ta faɗi. Kwafin samfurin DHCP da sake suna kowace usb0 zuwa ppp0 ba ya tabbatar da komai game da ƙofa, ma'auni ko yanayin rayuwa.

Zaɓi prefixes kafin ka gyara kowane saiti

Prefixes masu haɗuwa suna ɓata maraice fiye da dokokin wuta, saboda haɗuwa tana tura binciken hanya zuwa hanyar da ba daidai ba koda tunnel ɗin yana cikin lafiya. Fara da lissafin abin da ya riga ya kasance a kan Pi, sannan ka karanta sakamakon a matsayin tafkuna huɗu daban.

ip -4 addr show scope global
ip -4 route show table main
ip -4 route get 192.168.77.10

Tafki na farko shine adireshin underlay da mai ɗaukar kaya ya ba modem ɗin; dole ne ya kasance a wajen kowane shiri da ke fuskantar abokan ciniki. Na biyu shine ƙaramin cibiyar tunnel da uwar garken ta zaɓa, sau da yawa /24 mai zaman kansa nata. Na uku shine gadar hotspot, na huɗu kuma shine prefix ɗin gida da kake son isa. A cikin wannan tafiya hotspot ɗin yana samun 172.28.90.0/24 tare da gada a 172.28.90.1, kuma LAN ɗin sabis na gida yana riƙe 192.168.77.0/24, wanda ke guje wa tsoffin 192.168.1.0/24 da 10.0.0.0/24 waɗanda na'urorin hanya na mabukaci ke zuwa da su da kewayon mai ɗaukar kaya 100.64.0.0/10.

Sanar da adireshin gada a matsayin ƙofa a cikin kewayon DHCP na hotspot kuma ba wani abu ba. Kada ka taɓa ba abokan cinikin hotspot adireshin gida a matsayin ƙofa; ba su da hanyar layin haɗi zuwa wannan ɓangaren.

Yi hanya kowace alkibla a gefen da ya mallake ta

Pi yana buƙatar hanya don prefix ɗin gida ta cikin tunnel. Uwar garken da ke cikin yanayin uwar garke suna tura wannan hanya yawanci, don haka fara tabbatar da cewa turawa tana kunne kuma kernel ɗin yana warware adireshin gida daga tun0.

sysctl net.ipv4.ip_forward
ip route add 192.168.77.0/24 dev tun0
ip -4 route get 192.168.77.10

Idan ip route get har yanzu yana ba da rahoton hanyar underlay, tsaya a can; babu wani abu a gaba a kan hanyar da zai iya gyara bincike mara kyau.

Na'urorin gida ba su da hanya zuwa 172.28.90.0/24, don haka amsoshinsu suna bin ƙofar asali kuma suna mutuwa a na'urar hanya. Akwai gyare-gyare biyu da aka tallafa. Ko dai ƙara hanya tsayayye a kan na'urar hanyar gida wanda ke nuna prefix ɗin hotspot zuwa adireshin LAN na uwar garken VPN, ko, lokacin da uwar garken ita ce ƙofar, yi rajistar prefix ɗin abokin ciniki a cikin teburin hanya na uwar garken kanta. A cikin yanayin abokan ciniki da yawa na OpenVPN, jagorar da ta keɓanta da abokin ciniki tana ɗaukar wannan alaƙa: fayil da aka yi wa suna bayan sunan gama gari na takardar shaidar abokin ciniki, wanda ke ɗauke da iroute 172.28.90.0 255.255.255.0 tare da layin route da ya dace wanda ke sanya shi a cikin kernel ɗin uwar garke. Hanyar kernel da aka yi hasashe a kan uwar garken ba ita ce maganar da za a gaya wa uwar garken wane abokin ciniki ne ya mallaki prefix ɗin ba.

Kada ka matsar da sabis ɗin DHCP na cibiyar gida zuwa uwar garken VPN don wannan ya yi aiki. Maye gurbin ƙofar asali ga dukan gida babban canji ne fiye da ƙara hanyar dawowa ɗaya mai zaman kanta, kuma yana jan DNS, ajiyar adireshi da kowace na'urar da ta yi watsi da sabon hayar cikin gazawar.

Buɗe turawa ba tare da yin hasashe kan bangon wuta ba

Kasancewar turawa a kunne ba ya nufin an ba da izinin fakiti ya wuce. Harkar daga gada zuwa tunnel har yanzu tana cin karo da dokokin tacewa, kuma manufar turawa ta asali drop tana watsar da harkar hotspot yayin da harkar Pi kanta ke ci gaba da aiki, wanda ke haifar da ainihin alamun tsagewar da ke sama.

iptables -S FORWARD
iptables -t nat -S POSTROUTING
nft list ruleset

Nemo dokar karɓa daga br0 zuwa tun0 da alkiblar amsa da ta dace, da dokar postrouting da za ta iya sake rubuta tushen. Idan manufar sarkar ita ce drop kuma babu wata doka da ta dace, ƙara ƙunƙuntattun karɓa kuma sake gwadawa maimakon juya manufar zuwa accept.

Fassara zaɓin manufa ne ba buƙata ba. NAT na tushe zuwa LAN na gida yana sa kowane abokin cinikin hotspot ya yi kama da adireshin tunnel na Pi, wanda ke rasa rabon kowane abokin ciniki a cikin rajistan gida kuma yana karya ayyukan da suke tsammanin tushen asali. Yin hanya ba tare da NAT ba yana barin adireshin abokan ciniki a bayyane amma ya dogara da hanyar dawowa da ke sama. Zaɓi ɗaya kuma ka kula da DNS da IPv6 haka, domin hanyar IPv4 mai aiki kusa da hanyar IPv6 da ta karye har yanzu ana karanta ta a matsayin rabin karye a cikin burauza.

Tabbatar da tafiyar komawa da dawowa, sannan ka karya ta da gangan

Gwada daga abokin cinikin hotspot, ba daga Pi ba, saboda harkar Pi kanta tana ƙetare duka hanyar gaba da hanyar dawowa. Kalli hanyoyin biyu yayin da abokin ciniki ɗaya ke ƙoƙarin isa sabis na gida.

tcpdump -ni br0 host 192.168.77.10
tcpdump -ni tun0 host 192.168.77.10
ping -c 3 192.168.77.10

Karanta rikodin biyu tare. Buƙatun a kan br0 waɗanda ba sa fitowa a kan tun0 suna nufin Pi baya turawa ko hanyar tana nuni zuwa wani wuri. Buƙatun a kan tun0 ba tare da amsoshi ba suna nufin gefen gida ba shi da hanyar dawowa ko uwar garken ta tace fakitin. Amsoshi a kan tun0 waɗanda ba sa sake fitowa a kan br0 suna nufin dokar tacewa ta baya ta ɓace, inda tunnel ɗin ya yi kama da cikakke kuma abokin ciniki har yanzu bai ga komai ba.

Sannan ka karya hanyar da gangan. Saurara haɗin modem ɗin ƙasa sannan ka sake ɗagawa kuma sake gudanar da binciken hanya da rikodi; hanyar da ta tsira daga tunnel amma ta ɓace yayin sake haɗawa tana cikin bayanin haɗin, ba cikin umarnin lokaci ɗaya ba. Tabbatar cewa jigilar tunnel ɗin har yanzu tana fita ta underlay ba ta kanta ba, madauki na gargajiya lokacin da aka karɓi hanyar asali da aka tura ba tare da hanyar mai masauki zuwa abokin haɗin ba.

Karɓi zanen ne kawai lokacin da abokin cinikin hotspot zai iya warware sunan gida, buɗe sabis ɗin TCP, kuma ya riƙe zaman yana aiki a tsawon sake haɗa modem ɗaya. Idan aikace-aikacen yana buƙatar gano matakin Ethernet da gaske a ɓangaren gida, zaɓi zanen Layer 2 da aka tallafa maimakon kwatanta gadar gida a matsayin an haɗa ta da jira watsawa ta bayyana.