Pi VPN með mörgum beinum: settu hverja leið á tækið sem ákveður
Bein niðurstreymis bætir við öðru biðlaraundirneti, og hvert fjögurra tækja á eina ákvörðun. Settu leiðirnar, athugaðu uppsprettuna og prófaðu svo frá raunverulegum biðlara.
Að setja Wi-Fi kassa bak við Pi breytir einni leiðarákvörðun í fjórar, og áætlunin brotnar þegar allar fjórar eru teknar á einu tæki. Fyrsta spurningin er ekki hvaða leið eigi að bæta við. Heldur hvort nýi kassinn brúar eða beinir, því það svar ákveður hversu mörg undirnet eru til og hvaða tæki verða að læra um þau. Veldu fyrst tengimódelið; hver leið fylgir því.
Brú eða beining: valið sem ákveður fjöldann
Brú setur nýju biðlarana á sama undirnet og Pi þjónar nú þegar. Eitt undirnet, eitt DHCP vald og engin afhending til að beina. Þetta er einfaldara fyrirkomulagið og það rétta þegar sérstakt biðlarakerfi var aldrei krafa. Beind tenging er önnur hönnun: kassinn heldur eigin undirneti og það forskeyti verður að bera hvert sem umferðin fer.
Restin af áætluninni heldur beininu niðurstreymis og varðveitir uppsprettuheimilisföng biðlaranna. Markmiðið er eitt einkarekið VPN-net, ekki full útgangur á internetið. Skrifaðu módelið niður fyrir heimilisföngin, því listinn hér að neðan er aðeins dæmi um beinda tengingu.
client subnet 10.41.0.0/24
client gateway 10.41.0.1
router-to-Pi link 192.168.71.2
Pi on that link 192.168.71.1
private target 10.72.9.0/24Hver ákveður hvað
| Decision owner | Entry that encodes the decision | Failure when the entry is missing |
|---|---|---|
| Pi VPN host | Return route for 10.41.0.0/24 via 192.168.71.2, and a tunnel route for 10.72.9.0/24 | Replies to downstream clients die at the Pi |
| Owner of the remote network | A path for 10.41.0.0/24 over the permitted tunnel | Replies stop at the first unaware hop |
| LAN router behind the Pi | Specific route for 10.72.9.0/24 via 192.168.71.1, or a suitable default | Clients never send private traffic to the Pi |
| Client machine | Default via 10.41.0.1, or a specific entry for 10.72.9.0/24 | The private network is unreachable from the client |
Hvert tæki tekur eina ákvörðun og ekkert getur tekið ákvörðun annars fyrir það. Pi þarf tvær færslur, ekki eina, og bakleiðin er sú sem fólk gleymir. Framsend umferð nær rétt í einkarekna netið og deyr svo á bakleiðinni, því Pi hefur ekki hugmynd um hvar 10.41.0.0/24 býr. Það lítur út eins og eldveggsvandamál og er í raun leið sem vantar.
Fjarlæga hliðin þarf líka eigin leið. Ef þjónustan í fjarlæga endanum veit ekki að hægt sé að ná 10.41.0.0/24 gegnum göngin þín, stöðvast svör við fyrsta hoppið sem hefur ekkert svar. Bættu báðum stefnum við áður en þú lest pakkasíur.
Næstu hopp koma frá tengingunni
Næsta hopp verður að vera heimilisfang á neti sem tækið getur raunverulega náð. Opinbert heimilisfang VPN-hliðstæðingsins er ekki næsta hopp fyrir einkarekið undirnet, og fjarlæga þjónustunetið er alls ekki næsta hopp. Leið að óaðgengilegri gátt lítur rétt út í lista og sleppir hverri pakka. Athugaðu að gáttin svari áður en þú kennir áfangastaðnum um.
Haltu ytri VPN-hliðstæðingi Pi aðgengilegum gegnum eigin undirlagsleið sína. Sú færsla er aðskilin frá farmleiðunum, og að blanda þeim gefur göng sem geta ekki endurreist sig eftir breytingu á slóð.
Skjölun kyrrstæðra leiða gerir greinarmuninn milli áfangastaðar og gáttar skýran, þótt hver pallur nefni valmyndir sínar á annan hátt. Lestu skjölin fyrir tækið fyrir framan þig í stað þess að afrita skjá annars framleiðanda. Skipanalínurnar hér að neðan sýna lögun færslnanna á Linux.
# on the Pi
ip route add 10.41.0.0/24 via 192.168.71.2
ip route add 10.72.9.0/24 dev tun0
# on the downstream router
ip route add 10.72.9.0/24 via 192.168.71.1Hvað þýðing gerir við uppsprettuna
Ef beinið niðurstreymis þýðir biðlarana sína nú þegar yfir á flutningsheimilisfangið sér Pi eina þýdda uppsprettu í stað eigin heimilisfangs hvers biðlara. Það er önnur hönnun en sú sem varðveitir uppsprettuna hér að ofan. Það breytir stefnu sem byggir á uppsprettu, skráningu og hvor hliðin getur hafið tengingar. Báðar hannanir virka; þær svara mismunandi spurningum.
Þegar VPN-þjónusta ofar í keðjunni neitar að beina biðlaraforskeytinu til baka getur þröng þýðing við útgang Pi-gangsins verið lögmæt skammtímalausn. Það er ekki sönnun þess að leiðin sem vantaði hafi verið óþörf. Skráðu hvaða heimilisfang fjarlæga netið sér í raun og hvaða bakleið fylgir.
Leiðarval, framsendingarleyfi og uppsprettuþýðing eru áfram þrjú aðskilin verk. Að tæma sameiginlega NAT-keðju eða leyfa hvert tengi vegna þess að einn snúrutengdur biðlari virkar er leiðin sem virkt próf verður að opnum framsendar.
Sannaðu það frá biðlaravél
Sendu beiðni frá vél á neðra LAN-inu og fylgdu svo uppsprettu hennar út og til baka. Ping frá Pi reynir aldrei neðri bakleiðina, þess vegna sannar árangursríkt ping minna en það lítur út fyrir. Bættu við öðru prófi frá snúrutengdum biðlara á eigin LAN Pi svo hægt sé að bera saman slóðirnar tvær. Endurtaktu bæði eftir að hafa endurræst annað tækið.
Leiðir sem bætt var við handvirkt og þýðingar sem aldrei voru vistaðar hverfa saman. Þá lítur parið út eins og ný bilun frekar en ólokið verk.
Vistaðu tengimódelið ásamt leiðunum, leyfðu einkareknu þjónustunni og hvaða þýðingu sem er í einni athugasemd. Sú athugasemd er það sem kemur í veg fyrir að næsta manneskja líti á þráðlausa staðsetningu sem spurningu um leiðarstefnu.