Osszon meg egy VPN-kapcsolatot a LAN minden eszközével

Egy laptop tartja a tunelt, a ház többi része ugyanazt a hozzáférést akarja, és az első próbálkozás mindent a csatlakoztatott gépre irányítani. Olyan okokból vall kudarcot, amelyeknek semmi közük a VPN-hez: a fogadó hosztnak továbbítania kell a csomagot, át kell írnia a forrását, és gondoskodnia kell arról, hogy a válaszok megtalálják a visszautat. Ha bármelyik hiányzik a háromból, a csatlakoztatott laptop tovább működik, míg minden más eszköz időtúllépést kap. A megoldás útválasztási terv, nem kliensbeállítás.

Miért vall kudarcot az eszközök hosztra irányítása

Az a hoszt, amely egy távoli hálózatnak címzett csomagot kap, arra a pillanatra útválasztóvá válik, akár beállította valaki így, akár nem. A továbbítás Linuxon és Windowson alapértelmezés szerint ki van kapcsolva, hacsak egy funkció be nem kapcsolja. A fordítás azért fontos, mert a távoli félnek tudnia kell, hová küldje a válaszokat, és egy privát LAN-cím semmit sem jelent neki. A visszaút a harmadik darab, és épp ezt felejtik el az emberek, amikor az első ping sikeresnek tűnik.

Ebben a sorrendben diagnosztizáljon, ahelyett hogy véletlenszerűen kapcsolgatná a beállításokat. Minden hiányzó darab kicsit más tünetet ad.

Kapcsolja be a továbbítást és a fordítást a hoszton

Két változtatás a csatlakoztatott hoszton lefedi az első két darabot: kapcsolja be az IPv4-továbbítást, és fordítsa a LAN-forgalmat a tunel interfészére.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Őrizze meg a sysctl értékét egy fájlban a /etc/sysctl.d alatt, és indítás után ellenőrizze újra a MASQUERADE-szabályt, mert a tűzfal felületek törölhetik az egyéni láncokat. Windowson a megosztási funkció mindkét lépést elvégzi, de a LAN-adaptert fix alhálózatra címezi át, és törli az átjáróját, ami elrontja a statikus címzést és a porttovábbítást. Állítsa vissza az útválasztó útját a hoszthoz az új címén, mielőtt arra következtetne, hogy a megosztás kudarcot vallott. Utána figyelje, hogyan nőnek a szabályszámlálók, miközben egy második eszköz forgalmat küld.

Adjon a LAN-nak újraindításokat túlélő utat

A többi eszköznek útvonalra van szüksége a távoli előtaghoz, és ennek két módja hatókörében különbözik.

ip route add 10.8.0.0/24 via 192.168.1.20 dev eth0

Egy kliens alapértelmezett átjárójának a hosztra irányítása a teljes forgalmát a hoszton keresztül küldi, beleértve a helyi nyomtatást és a fájlmegosztást is, így a nem kapcsolódó dolgok leállnak, amikor a hoszt alszik. Egy adott útvonal hozzáadása az útválasztón a távoli előtaghoz szűkebb: csak a tunel mögötti célok mennek a csatlakoztatott gépre, a LAN többi része pedig tovább működik. A fenti alhálózatok példák, ezért cserélje ki őket a saját LAN- és tuneltartományaira. Mindenképp tesztelje egy második eszközről, amikor a tunel fel van kapcsolva, majd le van kapcsolva.

Figyelje az MTU-t, mielőtt a tunelt hibáztatja

A tunelek csökkentik a használható csomagméretet, és a második eszköznek erről fogalma sincs. A nagy átvitelek és a TLS-kézfogások elakadnak, míg a kis kérések sikerülnek.

ping -M do -s 1400 10.8.0.5

Egy válasz bizonyítja, hogy az a méret töredezés nélkül halad át az úton; az időtúllépés azt jelenti, hogy a beágyazási többlet a tunel MTU-ja fölé tolta a csomagot. Csökkentse az MTU-t a megosztási interfészen, vagy korlátozza a maximális szegmensméretet a továbbítón, majd ismételje meg ugyanazt a próbát. Először a LAN oldalán tesztelje ugyanazt a méretet, mert a helyi hiba a LAN-ra mutat, nem a tunelre. Jegyezze fel a működő méretet, mert egy későbbi szolgáltató- vagy tunelváltozás elmozdíthatja.

Egyetlen további eszközhöz elég a hosztmegosztás. Egy háztartáshoz tegye az útvonalat az útválasztóra. Amikor a hozzáférésnek túl kell élnie, hogy a laptop magával viszi, maga a tunel dedikált átjáróra tartozik.