Көп маршрутизаторлы Pi VPN: әр маршрутты шешім қабылдайтын құрылғыға қойыңыз

Төменгі маршрутизатор екінші клиенттік қосалқы желіні қосады, ал төрт құрылғының әрқайсысы бір шешімге ие. Маршруттарды қойыңыз, көзін тексеріңіз, содан кейін нақты клиенттен сынаңыз.

Pi артына Wi-Fi қорабын қою бір маршруттау шешімін төртке айналдырады, ал төртеуі де бір құрылғыда қабылданса, жоспар бұзылады. Бірінші сұрақ қай маршрутты қосу емес. Жаңа қорап көпір жасай ма әлде маршруттай ма, өйткені бұл жауап қанша қосалқы желі бар екенін және қай құрылғылар олар туралы білуі керегін анықтайды. Алдымен қосылу моделін таңдаңыз; әр маршрут содан туындайды.

Көпір ме, әлде маршруттау ма: санды анықтайтын таңдау

Көпір жаңа клиенттерді Pi қазірдің өзінде қызмет көрсететін сол қосалқы желіге қояды. Бір қосалқы желі, бір DHCP өкілеттігі және маршруттауға беріліс жоқ. Бұл қарапайым орналасу және бөлек клиенттік желі ешқашан талап болмаған кезде дұрыс таңдау. Маршрутталған байланыс басқа дизайн: қорап өз қосалқы желісін сақтайды, ал бұл префиксті трафик баратын барлық жерге апару керек.

Жоспардың қалғаны төменгі маршрутизаторды сақтайды және клиенттердің көздік мекенжайларын қорғайды. Мақсат — бір жеке VPN желісі, толық интернет шығысы емес. Модельді мекенжайлардан бұрын жазыңыз, өйткені төмендегі тізім тек маршрутталған қосылудың мысалы.

client subnet       10.41.0.0/24
client gateway      10.41.0.1
router-to-Pi link   192.168.71.2
Pi on that link     192.168.71.1
private target      10.72.9.0/24

Кім нені шешеді

Decision ownerEntry that encodes the decisionFailure when the entry is missing
Pi VPN hostReturn route for 10.41.0.0/24 via 192.168.71.2, and a tunnel route for 10.72.9.0/24Replies to downstream clients die at the Pi
Owner of the remote networkA path for 10.41.0.0/24 over the permitted tunnelReplies stop at the first unaware hop
LAN router behind the PiSpecific route for 10.72.9.0/24 via 192.168.71.1, or a suitable defaultClients never send private traffic to the Pi
Client machineDefault via 10.41.0.1, or a specific entry for 10.72.9.0/24The private network is unreachable from the client

Әр құрылғы бір шешім қабылдайды, және ешқайсысы басқаның шешімін оның орнына қабылдай алмайды. Pi-ге бір емес, екі жазба керек, ал қайта оралу жолы — адамдар ұмытатын нәрсе. Жіберілген трафик жеке желіге дұрыс жетеді, содан кейін қайтар жолда өледі, өйткені Pi 10.41.0.0/24 қайда тұратынын білмейді. Бұл брандмауэр мәселесіне ұқсайды, шын мәнінде жетіспейтін маршрут.

Алыс жаққа да өз маршруты қажет. Егер алыс шеттегі қызмет 10.41.0.0/24-ке сіздің туннеліңіз арқылы жетуге болатынын білмесе, жауаптар жауабы жоқ бірінші хопта тоқтайды. Пакет сүзгілерін оқымас бұрын екі бағытты да қосыңыз.

Келесі хоптар қосылудан келеді

Келесі хоп құрылғы шынымен жете алатын желідегі мекенжай болуы керек. VPN әріптесінің жария мекенжайы жеке қосалқы желі үшін келесі хоп емес, ал алыстағы қызмет желісі мүлдем келесі хоп емес. Жетпейтін шлюзге апаратын маршрут тізімде дұрыс көрінеді және әр пакетті тастайды. Мақсатты кінәламас бұрын шлюздің жауап беретінін тексеріңіз.

Pi-дің сыртқы VPN әріптесін өзінің астыңғы маршруты арқылы жетімді ұстаңыз. Бұл жазба пайдалы жүктеме маршруттарынан бөлек, ал оларды араластыру жол өзгергеннен кейін қайта құрыла алмайтын туннель береді.

Статикалық маршруттар құжаттамасы мақсат пен шлюз арасындағы айырмашылықты анық етеді, әр платформа өз мәзірлерін басқаша атаса да. Басқа өндірушінің экранын көшірудің орнына алдыңыздағы құрылғының құжаттамасын оқыңыз. Төмендегі командалар Linux-тегі жазбалардың пішінін көрсетеді.

# on the Pi
ip route add 10.41.0.0/24 via 192.168.71.2
ip route add 10.72.9.0/24 dev tun0
# on the downstream router
ip route add 10.72.9.0/24 via 192.168.71.1

Аударма көзге не істейді

Егер төменгі маршрутизатор клиенттерін транзиттік мекенжайға аударып қойса, Pi әр клиенттің өз мекенжайының орнына бір аударылған көзді көреді. Бұл жоғарыдағы көзді сақтайтын дизайннан өзгеше. Ол көзге негізделген саясатты, журналдауды және қай тарап қосылымдарды бастай алатынын өзгертеді. Екі дизайн да жұмыс істейді; олар түрлі сұрақтарға жауап береді.

Жоғарғы VPN қызметі клиент префиксін кері маршруттаудан бас тартқанда, Pi туннелінің шығысындағы тар аударма заңды уақытша шешім болуы мүмкін. Бұл жетіспейтін маршруттың қажетсіз болғанына дәлел емес. Алыс желі шын мәнінде қай мекенжайды көретінін және қандай қайтару жолы шығатынын жазып қойыңыз.

Маршрут таңдау, жіберуге рұқсат және көзді аудару үш бөлек жұмыс болып қалады. Бір сымды клиент жұмыс істейді деп ортақ NAT тізбегін тазалау немесе әр интерфейске рұқсат беру — жұмыс істеп тұрған сынақты ашық жіберушіге айналдыратын жол.

Мұны клиент машинасынан дәлелдеу

Төменгі LAN-дағы машинадан сұраныс жіберіңіз, содан кейін оның көзін сыртқа және кері қарай бақылаңыз. Pi жіберген ping ешқашан төменгі қайтару маршрутын қолданбайды, сондықтан сәтті ping көрінгеннен аз дәлелдейді. Pi-дің өз LAN-ындағы сымды клиенттен екінші сынақ қосыңыз, сонда екі жолды салыстыруға болады. Кез келген құрылғыны қайта жүктегеннен кейін екеуін де қайталаңыз.

Қолмен қосылған маршруттар мен ешқашан сақталмаған аудармалар бірге жоғалады. Сонда бұл жұп аяқталмаған жұмыс емес, жаңа ақау болып көрінеді.

Қосылу моделін маршруттармен, рұқсат етілген жеке қызметпен және кез келген аудармамен бір жазбада сақтаңыз. Сол жазба келесі адамның сымсыз орналасуды маршруттау саясатының сұрағы ретінде қарауына жол бермейді.

Қатысты мақалалар