Կամրջված VPN հոթսփոթ. ո՞ր լռելյայն երթուղին է օգտագործում հեռախոսը
Pi-ի լռելյայն երթուղին հեռախոսի դարպասը չէ։ Առանձնացրե՛ք երկու որոշումները, uplink-ը պահե՛ք կամրջից դուրս և lease-ը փորձարկե՛ք թունելից առաջ։
Ձեր կամրջված հոթսփոթի հեռախոսը իր հասցեն ու դարպասը ստանում է ինչ-որ տեղից, և դա Pi-ի լռելյայն երթուղին չէ։ Pi-ի լռելյայնը փոխելը փոխում է, թե Pi-ն իր սեփական տրաֆիկը ուր է ուղարկում։ Հեռախոսը շարունակում է օգտագործել իրեն ասված դարպասը, և երբ այդ դարպասը հեռավոր LAN-ում է, նրա կադրերը պարզապես անցնում են կամրջով։ Երկու սպառող, երկու որոշում։ Դրանց տարանջատումը բացատրում է առանց ինտերնետ հոթսփոթի մասին հաղորդումների մեծ մասը, երբ Pi-ն ինքը կարգին է։
Երկու սարք, երկու տարբեր դարպասի որոշում
Pi-ն ունի իր IP փաթեթը և իր լռելյայն երթուղին։ Հեռախոսն ունի իր IP փաթեթը և իր լռելյայն երթուղին։
| Consumer | Who chooses its gateway | What carries the traffic |
|---|---|---|
| Phone on the bridged AP | The remote LAN router, delivered in its client configuration | An Ethernet frame toward that router crosses the AP and TAP bridge |
| Pi's encrypted connection | The travel uplink's route toward the VPN peer | The Pi sends its own outer transport packets over the underlay |
Այդ աղյուսակը ամբողջ մոդելն է։ Հեռախոսի դարպասը հեռավոր LAN-ի հասցե է, և նրա կադրերը շերտ 2-ում փոխանցվում են դեպի այդ երթուղիչը։ Pi-ի լռելյայն երթուղին վերաբերում է Pi-ի սեփական արտաքին տրանսպորտին, որը պետք է հասնի VPN զուգընկերոջը ճամփորդական uplink-ով։
Կամուրջը փոխանցում է կադրեր, այն չի երթուղավորում փաթեթներ
Linux կամուրջը Ethernet կադրերը փոխանցում է նշանակման MAC-ով, և դա է այն ամենը, ինչ անում է իր պորտերի միջև։ Հեռախոսի կադրը, որը հասցեավորված է հեռավոր երթուղիչի MAC-ին, փոխարկվում է TAP պորտին և անցնում թունելով՝ չհպվելով Pi-ի երթուղավորման աղյուսակին։ Այդ պատճառով փչացած Pi լռելյայն երթուղին կարող է հեռախոսը թողնել աշխատունակ, և այդ պատճառով ճիշտը չի կարող ուղղել սխալ դարպաս ստացած հեռախոսը։
TAP-ը կրում է Ethernet կադրեր և կարող է լինել կամրջի պորտ։ TUN-ը կրում է IP փաթեթներ և չի կարող։ Եթե ձեր ձևավորումը մեկը փոխարինել է մյուսով, կամուրջը կամուրջ չէ, և մնացածն այստեղ չի կիրառվում։
Որոշե՛ք, թե ով է բաժանում հեռախոսի lease-ը
DHCP 3-րդ ընտրանքը երթուղիչի ընտրանքն է, և այն հաճախորդին ասում է, թե որ դարպասն օգտագործի իր ենթացանցի համար։ Երբ հեռավոր LAN-ի DHCP սերվերը միակ բաշխողն է, հեռախոսը ստանում է հեռավոր դարպաս, և ձևավորումը համահունչ է։ Երբ ճամփորդության կողմում այլ բան առաջինն է պատասխանում, հեռախոսը ստանում է տեղական դարպաս, նրա ինտերնետ տրաֆիկը դուրս է գալիս ճամփորդական uplink-ով, և նրա հեռավոր LAN տրաֆիկը ընդհանրապես ուղի չունի։
Այդ հեռարձակման տիրույթի համար գործարկե՛ք մեկ բաշխող և գրանցե՛ք, թե ինչ է բաժանում։
Pi-ն առանձին դեպք է նույնիսկ այն ժամանակ, երբ հասցե է վերցնում նույն lease-ից։ Գիտակցաբար որոշե՛ք՝ արդյոք այն պետք է տեղադրի lease-ի առաջարկած երթուղիները, որովհետև ներմուծված հեռավոր լռելյայնը կարող է քաշել Pi-ի սեփական VPN տրանսպորտը այն թունելի մեջ, որը փորձում է կենդանի պահել։ systemd-networkd-ի դեպքում այդ որոշումը DHCP բաժնում UseRoutes= է, dhclient-ի դեպքում՝ հարցումների ցանկի routers ընտրանքը։
Uplink-ը պահե՛ք կամրջված LAN-ից դուրս
Այն ինտերֆեյսը, որը կրում է Pi-ի արտաքին VPN կապը, չպետք է դառնա կամրջի պորտ։ Եթե դառնա, գաղտնագրված տրանսպորտը փոխարկվում է ընդլայնված LAN, և թունելը վերջում կրում է իր իսկ արտաքին փաթեթները, ինչը ձախողվում է այնպես, որ նման է փաթեթի կորստի, ոչ թե օղակի։ Պահե՛ք նաև AP ունակությունը և կամրջի աջակցությունը բացահայտ։ Station ռեժիմի անլար ինտերֆեյսը սովորաբար չի կարող լինել կամրջի պորտ, որովհետև 802.11 գլխամասում տեղ չկա կամրջի պահանջած երկրորդ MAC հասցեի համար։
Սահմանե՛ք ընդլայնված հեռարձակման տիրույթը, մեկ հասցեային պլան և այն կադրերի զտումը, որն իրականում ցանկանում եք։ Pi-ի վրա VPN լսիչին թույլ տալը չի տալիս յուրաքանչյուր կամրջված հաճախորդի մուտք Pi-ի կառավարման ծառայություններին։ Դրանք առանձին կանոններ են, և դրանք որպես մեկը դիտարկելն այն է, ինչի շնորհիվ հոթսփոթը հանգիստ դառնում է բաց դուռ։
Երբ փչանում է, փորձարկե՛ք չորսը առանձին
Երբ հեռախոսը չի կարողանում հասնել հեռավոր LAN, չորս դիտարկում բաժանում են պատճառները։ Գործարկե՛ք դրանք այս հերթականությամբ և կանգ առե՛ք առաջին ձախողման վրա։
ip route show default
bridge link show
ip -4 neigh show dev br0
tcpdump -ni br0 arp or icmpՍկսե՛ք lease-ից. արդյոք հեռախոսն ունի հասցե և դարպաս հեռավոր ենթացանցում։ Հետո նայե՛ք կամրջին և հաստատե՛ք, որ AP պորտը և TAP պորտը երկուսն էլ փոխանցում են։ Հետո կարդացե՛ք հարևանների աղյուսակը, որովհետև հեռավոր երթուղիչի չլուծված գրառումը նշանակում է, որ կադրերը դուրս են գալիս, և ոչինչ չի պատասխանում։ Վերջում դիտե՛ք կադրերը կամրջի վրա, մինչ հեռախոսը ping է անում, ինչը ձեզ ասում է՝ արդյոք խափանումն ընդհանրապես IP-ից ցածր է։
Ավարտելիս գրանցե՛ք, թե որ սարքն է տիրապետում յուրաքանչյուր լռելյայն երթուղուն։ Փաստաթղթի մեկ տողը տեղական ընդդեմ հեռավոր ելքի հարցը դարձնում է գիտակցված հաճախորդի որոշում, և կամրջի հղումը արժե պահել դրա կողքին։