Көпірлі VPN хотспоты: телефон қандай әдепкі маршрутты пайдаланады?
Pi-дің әдепкі маршруты телефонның шлюзі емес. Екі шешімді бөліңіз, uplink-ті көпірден тыс ұстаңыз және lease-ті туннельге дейін сынаңыз.
Көпірлі хотспотыңыздағы телефон өз мекенжайы мен шлюзін бір жерден алады, және бұл Pi-дің әдепкі маршруты емес. Pi-дің әдепкісін өзгерту Pi өз трафигін қайда жіберетінін өзгертеді. Телефон өзіне айтылған шлюзді пайдалануды жалғастырады, және бұл шлюз қашықтағы LAN-да болғанда оның кадрлары көпірден жай ғана өтеді. Екі тұтынушы, екі шешім. Оларды бөлу Pi өзі дұрыс болғанда интернетсіз хотспот туралы хабарламалардың көбін түсіндіреді.
Екі құрылғы, екі түрлі шлюз шешімі
Pi-дің өз IP стекі мен өз әдепкі маршруты бар. Телефонның өз IP стекі мен өз әдепкі маршруты бар.
| Consumer | Who chooses its gateway | What carries the traffic |
|---|---|---|
| Phone on the bridged AP | The remote LAN router, delivered in its client configuration | An Ethernet frame toward that router crosses the AP and TAP bridge |
| Pi's encrypted connection | The travel uplink's route toward the VPN peer | The Pi sends its own outer transport packets over the underlay |
Бұл кесте — бүкіл модель. Телефонның шлюзі қашықтағы LAN-дағы мекенжай, ал оның кадрлары 2-деңгейде сол маршрутизаторға қарай жіберіледі. Pi-дің әдепкі маршруты Pi-дің өз сыртқы тасымалына қатысты, ол жолсерік uplink арқылы VPN серіктесіне жетуі керек.
Көпір кадрларды жібереді, ол пакеттерді маршруттамайды
Linux көпірі Ethernet кадрларын межелі MAC бойынша жібереді, және ол порттары арасында осыны ғана жасайды. Қашықтағы маршрутизатордың MAC-іне арналған телефон кадры TAP портына ауыстырылады және Pi-дің маршруттау кестесіне тимей туннельден өтеді. Сондықтан бұзылған Pi әдепкі маршруты телефонды жұмыс істейтін күйде қалдыра алады, және сондықтан дұрыс маршрут қате шлюз берілген телефонды түзете алмайды.
TAP Ethernet кадрларын тасымалдайды және көпір порты бола алады. TUN IP пакеттерін тасымалдайды және бола алмайды. Егер жобаңыз біреуін екіншісіне ауыстырса, көпір көпір емес және қалғаны бұл жерде қолданылмайды.
Телефонның lease-ін кім тарататынын шешіңіз
DHCP 3-параметрі маршрутизатор параметрі және клиентке өз ішкі желісі үшін қай шлюзді пайдалану керегін айтады. Қашықтағы LAN-ның DHCP сервері жалғыз таратушы болса, телефон қашықтағы шлюз алады және жоба үйлесімді. Егер жол жағындағы басқа нәрсе бірінші жауап берсе, телефон жергілікті шлюз алады, оның интернет трафигі жолсерік uplink арқылы шығады, ал қашықтағы LAN-ға трафигінің мүлдем жолы болмайды.
Сол broadcast домені үшін бір таратушы жүргізіңіз және оның не тарататынын жазып алыңыз.
Pi — жеке жағдай, тіпті сол lease-тен мекенжай алса да. Lease ұсынатын маршруттарды орнату керек пе, соны әдейі шешіңіз, өйткені импортталған қашықтағы әдепкі Pi-дің өз VPN тасымалын тірі ұстағысы келген туннельге тартуы мүмкін. systemd-networkd кезінде бұл шешім DHCP бөліміндегі UseRoutes=; dhclient кезінде бұл сұрау тізіміндегі routers параметрі.
Uplink-ті көпірлі LAN-нан тыс ұстаңыз
Pi-дің сыртқы VPN қосылысын тасымалдайтын интерфейс көпір порты болмауы керек. Егер болса, шифрланған тасымал кеңейтілген LAN-ға ауысады және туннель ақырында өз сыртқы пакеттерін тасымалдайды, бұл ілмекке емес, пакет жоғалтуға ұқсайтын түрде сәтсіздікке ұшырайды. AP мүмкіндігі мен көпір қолдауын да айқын ұстаңыз. station режиміндегі сымсыз интерфейс әдетте көпір порты бола алмайды, өйткені 802.11 тақырыбында көпірге қажет екінші MAC мекенжайына орын жоқ.
Анықтаңыз кеңейтілген broadcast доменін, бір мекенжай жоспарын және шынымен қалаған кадр сүзгілеуін. Pi-де VPN тыңдаушысына рұқсат беру әрбір көпірлі клиентке Pi-дің басқару қызметтеріне қатынау бермейді. Бұлар бөлек ережелер, және оларды бір деп қарау — хотспоттың үнсіз ашық есікке айналу жолы.
Бұзылғанда төртеуін бөлек тексеріңіз
Телефон қашықтағы LAN-ға жете алмағанда, төрт байқау себептерді ажыратады. Оларды осы ретпен орындаңыз және бірінші сәтсіздікте тоқтаңыз.
ip route show default
bridge link show
ip -4 neigh show dev br0
tcpdump -ni br0 arp or icmpLease-тен бастаңыз: телефонда қашықтағы ішкі желіде мекенжай мен шлюз бар ма? Содан кейін көпірге қараңыз және AP порты мен TAP порты екеуі де жіберіп жатқанын растаңыз. Содан кейін көршілер кестесін оқыңыз, өйткені қашықтағы маршрутизатор үшін шешілмеген жазба кадрлар шығып, ештеңе жауап бермейтінін білдіреді. Соңында телефон ping жасап жатқанда көпірдегі кадрларды бақылаңыз, бұл ақаудың IP-ден төмен екенін айтады.
Аяқтағанда қай құрылғының қай әдепкіге ие екенін жазыңыз. Бір жол құжаттама жергілікті және қашықтағы шығыс мәселесін ұғынықты клиент шешіміне айналдырады, ал көпір сілтемесін жанында ұстауға тұрарлық.