Көпүрөлүү VPN хотспоту: телефон кайсы демейки маршрутту колдонот?
Piнин демейки маршруту телефондун шлюзу эмес. Эки чечимди бөлүңүз, uplinkти көпүрөдөн сырткары кармаңыз жана leaseти туннелге чейин сынаңыз.
Көпүрөлүү хотспотуңуздагы телефон дарегин жана шлюзун бир жерден алат, жана бул Piнин демейки маршруту эмес. Piнин демейкисин өзгөртүү Pi өз трафигин кайда жөнөтөөрүн өзгөртөт. Телефон өзүнө айтылган шлюзду колдонууну улантат, жана ал шлюз алыскы LANда болгондо анын кадрлары көпүрөдөн жөн эле өтөт. Эки керектөөчү, эки чечим. Аларды бөлүү Pi өзү жакшы болгондо интернетсиз хотспот тууралуу билдирүүлөрдүн көбүн түшүндүрөт.
Эки түзмөк, эки башка шлюз чечими
Piнин өз IP стеги жана өз демейки маршруту бар. Телефондун өз IP стеги жана өз демейки маршруту бар.
| Consumer | Who chooses its gateway | What carries the traffic |
|---|---|---|
| Phone on the bridged AP | The remote LAN router, delivered in its client configuration | An Ethernet frame toward that router crosses the AP and TAP bridge |
| Pi's encrypted connection | The travel uplink's route toward the VPN peer | The Pi sends its own outer transport packets over the underlay |
Бул таблица — бүт модель. Телефондун шлюзу алыскы LANдагы дарек, жана анын кадрлары 2-катмарда ошол маршрутизаторго карай жөнөтүлөт. Piнин демейки маршруту Piнин өз тышкы ташуусуна тиешелүү, ал сапар uplinkи аркылуу VPN өнөктөшүнө жетиши керек.
Көпүрө кадрларды жөнөтөт, ал пакеттерди маршруттабайт
Linux көпүрөсү Ethernet кадрларын багытталган MAC боюнча жөнөтөт, жана портторунун ортосунда ушундан башканы кылбайт. Алыскы маршрутизатордун MACине даректөөлөнгөн телефондун кадры TAP портуна которулат жана Piнин маршруттоо таблицасына тийбей туннелден өтөт. Ошондуктан бузулган Pi демейки маршруту телефонду иштеп тургандай калтыра алат, жана ошондуктан туура маршрут туура эмес шлюз алган телефонду оңдой албайт.
TAP Ethernet кадрларын ташыйт жана көпүрө порту боло алат. TUN IP пакеттерин ташыйт жана боло албайт. Эгер долбооруңуз бирин экинчисине алмаштырса, көпүрө көпүрө эмес жана бул жердеги калганы колдонулбайт.
Телефондун leaseин ким бөлүштүрөөрүн чечиңиз
DHCP 3-параметри маршрутизатор параметри жана кардарга өз ички тармагы үчүн кайсы шлюзду колдонууну айтат. Алыскы LANдын DHCP сервери жалгыз бөлүштүрүүчү болгондо, телефон алыскы шлюз алат жана долбоор шайкеш келет. Эгер сапар тарапта башка нерсе биринчи жооп берсе, телефон жергиликтүү шлюз алат, анын интернет трафиги сапар uplinkи аркылуу чыгат, ал эми алыскы LANга трафигинин такыр жолу болбойт.
Ошол broadcast доменинде бир бөлүштүрүүчү иштетиңиз жана ал эмнени бөлүштүрөрүн жазып алыңыз.
Pi — өзүнчө учур, эгер ал ошол эле leaseден дарек алса да. Lease сунуштаган маршруттарды орнотуу керекпи, аны атайын чечиңиз, анткени импорттолгон алыскы демейки Piнин өз VPN ташуусун тирүү сактагысы келген туннелге тартып кетиши мүмкүн. systemd-networkd менен бул чечим DHCP бөлүмүндөгү UseRoutes=; dhclient менен бул сурам тизмесиндеги routers параметри.
Uplinkти көпүрөлүү LANдан сырткары кармаңыз
Piнин тышкы VPN байланышын ташуучу интерфейс көпүрө порту болбошу керек. Эгер болсо, шифрленген ташуу кеңейтилген LANга которулат жана туннел акыры өзүнүн тышкы пакеттерин ташыйт, бул илмекке эмес, пакет жоготууга окшош түрдө ишке ашпайт. AP мүмкүнчүлүгүн жана көпүрө колдоосун да ачык кармаңыз. station режиминдеги зымсыз интерфейс адатта көпүрө порту боло албайт, анткени 802.11 аталышында көпүрөгө керектүү экинчи MAC дарегине орун жок.
Аныктаңыз кеңейтилген broadcast доменин, бир дарек планын жана чынында каалаган кадрларды фильтрлөөнү. Piде VPN угуучусуна уруксат берүү ар бир көпүрөлүү кардарга Piнин башкаруу кызматтарына кирүү укугун бербейт. Булар өзүнчө эрежелер, жана аларды бир деп кароо — хотспоттун үнсүз ачык эшикке айлануу жолу.
Бузулганда төртөөнү өзүнчө сынаңыз
Телефон алыскы LANга жете албаганда, төрт байкоо себептерди ажыратат. Аларды ушул тартипте аткарыңыз жана биринчи ийгиликсиз болгондо токтоңуз.
ip route show default
bridge link show
ip -4 neigh show dev br0
tcpdump -ni br0 arp or icmpLeaseден баштаңыз: телефондо алыскы ички тармакта дарек жана шлюз барбы? Андан кийин көпүрөгө караңыз жана AP порту менен TAP порту экөө тең жөнөтүп жатканын ырастаңыз. Андан кийин кошуналар таблицасын окуңуз, анткени алыскы маршрутизатор үчүн чечилбеген жазуу кадрлар чыгып, эч нерсе жооп бербей жатканын билдирет. Акырында телефон ping жасап жатканда көпүрөдөгү кадрларды байкаңыз, бул кемчиликтин IPден төмөн экенин айтат.
Бүткөндөн кийин кайсы түзмөк кайсы демейкиге ээ экенин жазыңыз. Бир сап документ жергиликтүү жана алыскы чыгуу маселесин аң-сезимдүү кардар чечимине айландырат, ал эми көпүрө шилтемесин анын жанында кармоого татыктуу.