Hvernig á að flytja Raspberry Pi VPN-þjón á Ethernet

Að skipta Pi-inum úr Wi-Fi yfir á snúru lítur út eins og fimm mínútna verk, og það helst þannig aðeins ef þú meðhöndlar flutninginn sem fjórar aðskildar stillingar í stað einnar. Endapunktanafnið sem biðlararnir þínir hringja í getur haldist nákvæmlega það sama á meðan vistfangið undir því breytist. Það sem raunverulega brestur er hlustari sem er bundinn við gamla vistfangið, portflutningur sem stefnir enn á þráðlausu leiguna, eða bakleið sem fer út um tengið sem þú héltst hafa lagt af. Þessi leiðarvísir heldur afturköllunarleið opinni á hverju stigi, svo misheppnuð yfirfærsla kostar aðeins endurræsingu.

Skrifaðu niður fjóra ábyrgðaraðila áður en þú tekur eitthvað úr sambandi

Fjórar stillingar ákvarða hvort yfirfærslan lifir: Pi-vistfangið, OpenVPN-bindivistfangið, endurbeiningarmarkmið leiðarans og slóðin sem svör fara. Skrifaðu alla fjóra niður áður en þú snertir snúruna, því þegar þráðlausa leigan hverfur getur þú ekki lesið gömlu gildin af vélinni. Kapaltengið erfir ekki þráðlausa sniðið, og á Bookworm býr vistfangið í NetworkManager á meðan Bullseye heldur því í dhcpcd.conf. Frátekt sem festi þráðlausa MAC-vistfangið segir ekkert um eth0. Líttu á nýja vistfangið sem nýja úthlutun sem þarf sína eigin sönnun.

Old wireless lease:   10.42.7.24/24 on wlan0
New wired address:    10.42.7.31/24 on eth0
Client endpoint:      vpn.lab.example:1194/udp

Hlustarinn er annar ábyrgðaraðilinn. Ef þjónustan var ræst með ákveðnu bindivistanfangi deyr socketinn með gamla tenginu; ef hún bindur öll vistföng lifir socketinn og regla leiðarans verður eina atriðið sem eftir er að laga.

Endurbeiningarmarkmiðið og bakleiðin eru ábyrgðaraðilarnir sem fólk sleppir. Portflutningur sem stefnir enn á 10.42.7.24 sendir handabönd sem berast á vistfang sem Pi-inn hefur ekki lengur, svo biðlarar ná tímanum út án nokkurrar þjónustuloggreinar. Bakleiðin skiptir máli þegar báðir hlekkirnir eru stuttu stund uppi, því Pi-inn svarar frá því tengi sem leiðartöflunni þykir betra, og það er ekki alltaf það sem pakkinn kom á. Leiðaruppflettingin hér að neðan sýnir hvaða uppruna kjarninn velur.

Lestu raunverulega socketinn áður en þú treystir nýja vistfanginu

Stillingaskrár lýsa ætlun og socketinn lýsir raunveruleikanum. Spurðu ræsingarþjónustuna hvað hún er bundin við í stað þess að treysta stillingunni sem þú manst. OpenVPN 2.6 handbókin skilgreinir --local sem bindingu við eitt vistfang og bendir á að sleppa því bindir hvert tengi.

sudo systemctl cat openvpn-server@server | grep -n -- '--local'
sudo ss -lunp '( sport = :1194 )'

Lestu dálkinn fyrir staðbundna vistfangið í stað stöðudálksins. Lína sem sýnir 10.42.7.24:1194 þýðir að socketinn er bundinn við vistfangið sem þú ert að fara að fjarlægja, á meðan 0.0.0.0:1194 eða *:1194 þýðir að daemoninn fylgir tengisbreytingunni sjálfur. Ef vistfangið er bundið skaltu breyta sniðinu og endurræsa eininguna í stað þess að endurskrifa lifandi socketinn með höndunum, og staðfesta svo að þjónustan nái enn skírteini- og lyklaskrám sínum.

Farðu flutninginn í röð sem heldur þér aðgengilegum

Röðin skiptir meira máli en hraðinn hér. Komdu kapaltenginu upp á meðan þráðlausa tengið virkar enn, staðfestu nýja vistfangið og bakleiðina og lestu svo þráðlausa sniðinu af. Þessi röð heldur virku lotu opinni þar til staðgengillinn hefur verið sannaður.

ip -br addr show eth0
ip route get 203.0.113.10
nmcli -g ipv4.method,ipv4.addresses con show "Wired connection 1"

Fyrsta skipunin svarar því hvort eth0 fékk vistfangið sem þú ætlaðir, og önnur prentar upprunavistfangið sem kjarninn myndi nota fyrir áfangastað utan netsins, svo keyrðu hana fyrir og eftir breytinguna. Ef sá uppruni er enn þráðlausa vistfangið er kapaltengið ekki enn valda leiðin og prófunin utan frá mistekst af ástæðu sem hefur ekkert með OpenVPN að gera. Lagaðu leiðarvalið áður en þú snertir portflutninginn.

Með báða hlekki uppi gæti Pi-inn viljað þráðlausu sjálfgefnu leiðina frekar vegna þess að hún var sett upp fyrst eða vegna þess að kapaltengið ber hærra metrik. Á Bookworm er studdi hnappurinn ipv4.route-metric á tengingunni, og á Bullseye er jafngildið tengisbundin metric-lína í dhcpcd.conf. Lækkaðu þráðlausa hlekkinn í stað þess að slökkva á honum, svo afturköllunarleiðin haldist ein skipun í burtu.

Sannaðu tunnelinn utan frá, ekki frá LAN-inu

VPN-tenging sem virkar úr sófanum sannar minna en hún virðist. Umferð innan LAN-sins að opinbera vistfanginu fer í gegnum hairpin- eða endurkastsreglur sem leiðarar útfæra misjafnt, svo próf sem stenst innan LAN-sins getur lifað samhliða brostinni leið utan frá. Notaðu síma á farsímagögnum, eða hvaða hýsil sem er utan netsins, fyrir samþykkisprófið. Haltu LAN-tilrauninni sem sérstakri valfrjálsri greiningu.

Lestu svo loggið í þeirri röð sem pakkarnir berast. Ekkert yfirhöfuð þýðir að handabandið náði aldrei til Pi-inns, svo endurbeiningarmarkmiðið eða hýsilníluspjaldið er rangt. Handaband sem byrjar og stöðvast bendir á lykla, skírteini eða MTU. Lota sem lýkur og dettur þýðir venjulega bakleiðina eða aðra sjálfgefna leið, og logg-línan hjá biðlaranum Initialization Sequence Completed segir þér að tunnelinn sjálfur hafi komist upp.

sudo journalctl -u openvpn-server@server -n 40 --no-pager
sudo tcpdump -ni any udp port 1194 -c 20

Ef ekkert birtist í þjónustulogginu á meðan biðlarinn reynir aftur skaltu hætta að lesa OpenVPN-stillinguna og fara aftur að endurbeiningarmarkmiðinu. Upptakan svarar komuspurningunni á sekúndum, og innkomandi pakkar án svars þrengja vandamálið að leiðinni.

Haltu eins skrefs afturköllun og lestu þráðlausa sniðinu af

Láttu þráðlausa sniðið vera uppsett þar til kapalráðstöfunin hefur staðist endurræsingu. nmcli con show listar sniðsnöfnin sem þú munt þurfa, og eytt snið verður að endurbyggja úr minni á versta mögulega augnabliki. Skrifaðu niður tengisnafnið, vistfangsaðferðina og metrikið við hlið hinna fjögurra gildanna. Afturköllun sem þú getur slegið inn úr minnisblaði er meira virði en sú sem þú verður að endurgera.

Að leggja af þráðlausu ósjálfstæðina er eignabreyting í stað eyðingar. Að setja connection.autoconnect no heldur skírteinunum og vistfangssögunni ósnortnum á meðan Pi-inn er hindraður í að tengjast aftur neti sem þú fluttir frá.

nmcli con show
sudo nmcli con up "Wired connection 1"
sudo nmcli con mod "previously-used-wifi" connection.autoconnect no

Áður en þú kallar verkið búið skaltu staðfesta fjögur atriði: endurbeiningarmarkmiðið passar við kapalvistfangið, hlustarinn lifði endurræsingu, biðlari utan frá klárar handaband og Pi-inn svarar enn á kapalvistfanginu eftir endurræsingu. Endurræsing er ódýrasta leiðin til að grípa úthlutun sem var aðeins til í ræsandi kjarnanum. Ef eitthvað af þessum fjórum bregst skaltu koma þráðlausa sniðinu aftur upp með sudo nmcli con up og bera saman skráðu gildin við þau lifandi.