PiVPN handsláttur virkar, síður stíflast: athugaðu MASQUERADE

Síminn þinn sýnir göngin sem tengd, biðlarinn greinir frá einkaaðsetri, og fyrsta síðan stendur samt kyrr hálfa leið í hleðslunni. Þessi samsetning sendir flesta inn í dulkóðunarstillingar og hitastig örgjörva, þar sem ekkert er í raun bilað. Göngin komust upp, þannig að samningaviðræðunum var lokið; það sem brást er skrefið á eftir, þegar þjónninn reynir að afhenda pakka biðlarans á netið. Fylgdu sömu leið og pakkarnir fara, og misræmið er venjulega sýnilegt í einni línu NAT-töflunnar.

Byrjaðu á því sem biðlarinn nær og nær ekki

Frá tengda biðlaranum, hlattu síðu sem býr á opinberu netinu og athugaðu hvort hún bregst strax eða stíflast hálfa leið. Opnaðu síðan auðlind á eigin einkaaðsetri VPN-þjónsins og berðu saman niðurstöðurnar tvær.

Gönguaðsetur sem svarar ping á meðan opinberar síður lenda í tímatakmörkum er merki um framsendingar- eða þýðingarvandamál, ekki brotinn handslátt. Stöðuspjald biðlarans sjálfs getur ekki greint þar á milli, því það veit aðeins að stjórnrásin er uppi. Athugaðu tengi ganganna á þjóninum með ip -br addr show tun0 og staðfestu að aðsetrið sem biðlarinn fékk lendi innan sundsins sem þú stilltir. Ef sundið og aðsetur biðlarans stemma ekki, lagaðu það fyrst, því hver regla hér fyrir neðan passar við sundið.

Næst skaltu spyrja þjóninn hvaða tengi hann myndi nota til að ná opinberu aðsetri. ip route get 203.0.113.9 prentar valið tæki og uppruna á fyrstu línu sinni. Skrifaðu nafn tækisins niður, því það er gildið sem NAT-reglan verður að innihalda.

Lestu regluna sem ræður því hvort pakkarnir fari út

MASQUERADE endurskrifar pakka aðeins þegar pakkinn fer út um tengið sem nefnt er í reglunni. Regla sem er bundin við snúrutæki gerir ekkert fyrir umferð sem fer út um Wi-Fi, og pakkinn heldur einka upprunaaðsetri sínu alla leið að yfirbeininni. Sú beina hefur enga leið til baka í sundið þitt, svo hún hendir svarinu, og biðlarinn sér tengingu sem opnast og deyr svo. Einkennin stækka með því hversu mikið af síðunni berst áður en fyrsta svarið er nauðsynlegt.

Listaðu lifandi töfluna og lestu dálkinn fyrir útgangstengi í stað þess að leita bara að orðinu MASQUERADE. Úttak í viðbótarformi er auðveldara að bera saman en sniðið listi:

ip -br addr show tun0
ip route get 203.0.113.9
sudo iptables -t nat -S POSTROUTING

Á Raspberry Pi sem notaði eitt sinn Ethernet og notar nú Wi-Fi er úrelta nafnið nánast alltaf öll sagan. Uppsetningarforritið skráði hvaða tæki var til staðar við uppsetningu, og vistaða reglusettið spilar það aftur við hverja ræsingu. Berðu tækið úr leiðarleitinni saman við tækið í reglunni áður en þú breytir einhverju öðru. Ef þau stemma, er tengið ekki þitt vandamál og þú ættir að fara í teljarana í síðasta hlutanum. Ef þau eru ólík, er lagfæringin breyting á einu orði í varanleikaskránni.

Lagaðu vistaða reglusettið, ekki bara það sem er í gangi

Að breyta aðeins lifandi töflunni endist til næstu endurræsingar, sem er einmitt nógu langt til að sannfæra þig um að vandamálið sé leyst. Reglurnar sem koma aftur við ræsingu búa í skrá sem varanleikapakki eldveggjarins hleður aftur. Á Pi-myndum sem byggja á Debian er sú skrá venjulega /etc/iptables/rules.v4.

Taktu afrit áður en þú snertir hana, skiptu síðan útgangstenginu á MASQUERADE-línunni út fyrir tækið sem þú skráðir, til dæmis -o wlan0 í stað -o eth0. Láttu upprunasviðið vera eins og það er, nema sund biðlaranna hafi breyst. Hladdu aftur og staðfestu að reglan nefnir nú rétta tækið:

sudo cp /etc/iptables/rules.v4 /root/rules.v4.bak
sudo iptables-restore < /etc/iptables/rules.v4
sudo iptables -t nat -L POSTROUTING -v -n

Tvær samliggjandi stillingar gleymast auðveldlega. sysctl net.ipv4.ip_forward verður að greina 1, og yfirbeinin má ekki sía einkaaðsetur uppruna sjálf.

Sannaðu að reglan grípur, einangraðu síðan hvað er enn hægt

Teljarar eru eina heiðarlega sönnunin fyrir því að regla hafi passað. Keyrðu ítarlegu listann, byrjaðu niðurhal á biðlaranum og keyrðu hann aftur. Pakka- og bætasúlurnar við hlið reglunnar þinnar ættu að hækka, og regla sem stendur í núlli passar enn ekki. Ef teljararnir hreyfast en síðurnar mistakast enn, berðu upprunasviðið saman við raunverulega sundið með grep -n "^server " /etc/openvpn/server.conf. Ef þeir hreyfast og síðurnar hlaðast en afköstin eru léleg, er þýðingunni lokið og vandamálið sem eftir er er annars staðar.

Berðu saman tvær flutningar frá sama biðlara, eina til hýsils á staðarnetinu og eina gegnum göngin til sama hýsils. Hægt í báðum tilvikum bendir til yfirleinar Pi eða Wi-Fi-tengingarinnar, ekki VPN-sins. Hægt aðeins gegnum göngin bendir til MTU og endursendinga, sem þú getur skoðað með ip -s link show tun0 áður en þú breytir einhverri dulkóðunarstillingu.

Til að afturkalla tilraunina skaltu endurheimta afritið og hlaða því aftur, staðfestu síðan að upprunalega reglan og teljararnir hennar séu komnir aftur. Skrifaðu útgangstækið og endurhleðsluskipunina í þjónsminnisblöðin, því næsta breyting á yfirleið mun enduruppgötva sama misræmi. Regla sem nefnir rangt tæki er ósýnileg þar til umferðin þarf á henni að halda.