Կիսվել մեկ VPN միացումով ձեր LAN-ի բոլոր սարքերի հետ

Մեկ նոթբուք պահում է թունելը, տան մնացածը ուզում է նույն հասանելիությունը, և առաջին փորձը ամեն ինչ ուղղելն է դեպի միացված մեքենան։ Այն ձախողվում է պատճառներով, որոնք ոչ մի կապ չունեն VPN-ի հետ. ընդունող հյուրընկալողը պետք է փոխանցի փաթեթը, վերագրի դրա աղբյուրը և համոզվի, որ պատասխանները գտնեն վերադարձի ճանապարհը։ Բաց թողեք երեքից գոնե մեկը, և միացված նոթբուքը շարունակում է աշխատել, մինչդեռ յուրաքանչյուր այլ սարք ստանում է ժամանակի սպառում։ Լուծումը երթուղային նախագիծ է, ոչ թե հաճախորդի կարգավորում։

Ինչու է սարքերը հյուրընկալողին ուղղելը ձախողվում

Հեռավոր ցանցին հասցեագրված փաթեթ ստացող հյուրընկալողը այդ պահին դառնում է երթուղղիչ՝ անկախ նրանից, թե ինչ-որ մեկը կարգավորել է այն այդպես, թե ոչ։ Փոխանցումը լռելյայն անջատված է Linux-ում և Windows-ում, եթե որևէ գործառույթ միացնում է այն։ Թարգմանությունը կարևոր է, որովհետև հեռավոր կողմը պետք է իմանա, թե ուր ուղարկել պատասխանները, իսկ մասնավոր LAN հասցեն ոչինչ չի նշանակում նրա համար։ Վերադարձի ուղին երրորդ մասն է, և հենց այն մոռանում են մարդիկ, երբ առաջին ping-ը հաջող է թվում։

Ախտորոշեք այդ հերթականությամբ՝ պատահականորեն կարգավորումներ փոխելու փոխարեն։ Յուրաքանչյուր բացակայող մաս տալիս է մի փոքր այլ ախտանիշ։

Միացրեք փոխանցումն ու թարգմանությունը հյուրընկալողի վրա

Երկու փոփոխություն միացված հյուրընկալողի վրա ծածկում է առաջին երկու մասերը. միացրեք IPv4 փոխանցումը և թարգմանեք LAN երթևեկությունը դեպի թունելի ինտերֆեյս։

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Պահեք sysctl արժեքը /etc/sysctl.d-ի տակ գտնվող ֆայլում և վերաստուգեք MASQUERADE կանոնը վերագործարկումից հետո, քանի որ firewall-ի ճակատամասերը կարող են մաքրել հատուկ շղթաները։ Windows-ում կիսման գործառույթը կատարում է երկու քայլերը, բայց այն նաև վերահասցեավորում է LAN ադապտերը ֆիքսված ենթացանցի և մաքրում դրա դարպասը, ինչը կոտրում է ստատիկ հասցեավորումը և պորտի փոխանցումը։ Վերականգնեք երթուղղիչի ուղին դեպի հյուրընկալող նրա նոր հասցեում՝ նախքան եզրակացնելը, որ կիսումը ձախողվել է։ Այնուհետև դիտեք, թե ինչպես են կանոնների հաշվիչները աճում, մինչ երկրորդ սարքն ուղարկում է երթևեկություն։

Տվեք LAN-ին ուղի, որը դիմանում է վերագործարկումներին

Մյուս սարքերին պետք է ուղի դեպի հեռավոր նախադիր, և այն ապահովելու երկու եղանակները տարբերվում են ազդեցության ծավալով։

ip route add 10.8.0.0/24 via 192.168.1.20 dev eth0

Հաճախորդի լռելյայն դարպասը հյուրընկալողին ուղղելը նրա ամբողջ երթևեկությունն ուղարկում է հյուրընկալողի միջով՝ ներառյալ տեղական տպագրությունը և ֆայլերի կիսումը, այնպես որ անկապ բաները կանգ են առնում, երբ հյուրընկալողը քնում է։ Երթուղղիչի վրա հեռավոր նախադիրի համար կոնկրետ ուղի ավելացնելն ավելի նեղ է. միայն թունելի հետևում գտնվող նպատակակետերն են գնում միացված մեքենա, և LAN-ի մնացածը շարունակում է աշխատել։ Վերևի ենթացանցերը օրինակներ են, այնպես որ փոխարինեք դրանք ձեր սեփական LAN և թունելի միջակայքերով։ Ամեն դեպքում, փորձարկեք երկրորդ սարքից՝ թունելը միացված, ապա անջատված։

Ուշադրություն դարձրեք MTU-ին՝ նախքան թունելին մեղադրելը

Թունելները փոքրացնում են փաթեթի օգտագործելի չափը, և երկրորդ սարքը այդ մասին գաղափար չունի։ Մեծ փոխանցումները և TLS ձեռքսեղմումները կանգ են առնում, մինչ փոքր հարցումները հաջողվում են։

ping -M do -s 1400 10.8.0.5

Պատասխանը ապացուցում է, որ այդ չափը անցնում է ուղին առանց մասնատման. ժամանակի սպառումը նշանակում է, որ ինկապսուլացիայի ծախսը փաթեթը մղել է թունելի MTU-ից այն կողմ։ Իջեցրեք MTU-ն կիսման ինտերֆեյսի վրա կամ սահմանափակեք առավելագույն սեգմենտի չափը փոխանցիչի վրա, ապա կրկնեք նույն փորձարկումը։ Նախ փորձարկեք նույն չափը LAN կողմում, որովհետև տեղական ձախողումը մատնանշում է LAN-ը, ոչ թե թունելը։ Գրանցեք աշխատող չափը, քանի որ ավելի ուշ մատակարարի կամ թունելի փոփոխությունը կարող է տեղափոխել այն։

Մեկ լրացուցիչ սարքի համար հյուրընկալողի կիսումը բավական է։ Ընտանիքի համար դրեք ուղին երթուղղիչի վրա։ Երբ հասանելիությունը պետք է դիմանա նոթբուքի ձեզ հետ հեռանալուն, թունելն ինքը պատկանում է նվիրված դարպասի։