Көп маршрутизатордуу Pi VPN: ар бир маршрутту чечим кабыл алган түзмөккө коюңуз
Төмөнкү маршрутизатор экинчи кардар субтармагын кошот, ал эми төрт түзмөктүн ар бири бир чечимге ээ. Маршруттарды жайгаштырыңыз, булагын текшериңиз, анан чыныгы кардардан сынаңыз.
Pi артына Wi-Fi кутусун коюу бир маршруттоо чечимин төрткө айландырат, ал эми төртөө тең бир түзмөктө кабыл алынса, план бузулат. Биринчи суроо кайсы маршрутту кошуу эмес. Жаңы куту көпүрө жасайбы же маршруттайбы, анткени бул жооп канча субтармак бар экенин жана кайсы түзмөктөр алар тууралуу билиши керектигин аныктайт. Адегенде туташуу моделин тандаңыз; ар бир маршрут андан келип чыгат.
Көпүрөбү же маршруттообу: санды аныктаган тандоо
Көпүрө жаңы кардарларды Pi мурунтан тейлеп жаткан ошол эле субтармакка коёт. Бир субтармак, бир DHCP бийлиги жана маршруттоо үчүн эч кандай өткөрүү жок. Бул жөнөкөй жайгашуу жана өзүнчө кардар тармагы эч качан талап болбогондо туура тандоо. Маршрутталган байланыш башка дизайн: куту өз субтармагын сактайт, ал эми бул префиксти трафик барган бардык жерге алып баруу керек.
Пландын калганы төмөнкү маршрутизаторду сактайт жана кардарлардын булак даректерин коргойт. Максат — бир жеке VPN тармагы, толук интернет чыгымы эмес. Моделди даректерден мурун жазыңыз, анткени төмөнкү тизме маршрутталган туташуунун гана мисалы.
client subnet 10.41.0.0/24
client gateway 10.41.0.1
router-to-Pi link 192.168.71.2
Pi on that link 192.168.71.1
private target 10.72.9.0/24Ким эмнени чечет
| Decision owner | Entry that encodes the decision | Failure when the entry is missing |
|---|---|---|
| Pi VPN host | Return route for 10.41.0.0/24 via 192.168.71.2, and a tunnel route for 10.72.9.0/24 | Replies to downstream clients die at the Pi |
| Owner of the remote network | A path for 10.41.0.0/24 over the permitted tunnel | Replies stop at the first unaware hop |
| LAN router behind the Pi | Specific route for 10.72.9.0/24 via 192.168.71.1, or a suitable default | Clients never send private traffic to the Pi |
| Client machine | Default via 10.41.0.1, or a specific entry for 10.72.9.0/24 | The private network is unreachable from the client |
Ар бир түзмөк бир чечим кабыл алат, жана эч бири башканын чечимин анын ордуна кабыл ала албайт. Piге бир эмес, эки жазуу керек, ал эми кайра кайтуу жолу — адамдар унута турган нерсе. Өткөрүлгөн трафик жеке тармакка туура жетет, анан кайтар жолдо өлөт, анткени Pi 10.41.0.0/24 кайда жашаарын билбейт. Бул брандмауэр маселесине окшош, чындыгында жетишпеген маршрут.
Алыскы тарапка да өз маршруту керек. Эгер алыскы четтеги кызмат 10.41.0.0/24 сиздин туннелиңиз аркылуу жетүүгө болорун билбесе, жооптор жообу жок биринчи хопто токтойт. Пакет чыпкаларын окуудан мурун эки багытты тең кошуңуз.
Кийинки хоптор туташуудан келет
Кийинки хоп түзмөк чынында жете алган тармактагы дарек болушу керек. VPN өнөктөшүнүн ачык дареги жеке субтармак үчүн кийинки хоп эмес, ал эми алыскы кызмат тармагы такыр кийинки хоп эмес. Жеткиликсиз шлюзга барган маршрут тизмеде туура көрүнөт жана ар бир пакетти таштайт. Максатты күнөөлөөдөн мурун шлюздун жооп берерин текшериңиз.
Piнин сырткы VPN өнөктөшүн өзүнүн астыңкы маршруту аркылуу жеткиликтүү кармаңыз. Бул жазуу пайдалуу жүк маршруттарынан өзүнчө, аларды аралаштыруу жол өзгөргөндөн кийин кайра түзүлбөгөн туннель берет.
Статикалык маршруттардын документациясы максат менен шлюздун айырмасын тактайт, ар бир платформа өз менюларын башкача атаса да. Башка өндүрүүчүнүн экранын көчүрүүнүн ордуна алдыңыздагы түзмөктүн документациясын окуңуз. Төмөнкү буйруктар Linuxтеги жазуулардын формасын көрсөтөт.
# on the Pi
ip route add 10.41.0.0/24 via 192.168.71.2
ip route add 10.72.9.0/24 dev tun0
# on the downstream router
ip route add 10.72.9.0/24 via 192.168.71.1Котормо булакка эмне кылат
Эгер төмөнкү маршрутизатор кардарларын транзиттик дарекке которуп койсо, Pi ар бир кардардын өз дарегинин ордуна бир которулган булакты көрөт. Бул жогорку булакты сактаган дизайндан башка. Ал булакка негизделген саясатты, журналдоону жана кайсы тарап байланыштарды баштай аларын өзгөртөт. Эки дизайн тең иштейт; алар башка суроолорго жооп берет.
Жогорку VPN кызматы кардар префиксин кайра маршруттоодон баш тартканда, Pi туннелинин чыгышындагы тар котормо мыйзамдуу убактылуу чечим болушу мүмкүн. Бул жетишпеген маршруттын керексиз болгонуна далил эмес. Алыскы тармак чындап кайсы даректи көрөрүн жана кандай кайтаруу жолу келип чыгарын жазыңыз.
Маршрут тандоо, өткөрүүгө уруксат жана булакты которуу үч өзүнчө жумуш бойдон калат. Бир зымдуу кардар иштегендиктен жалпы NAT тизмегин тазалоо же ар бир интерфейске уруксат берүү — иштеген сыноону ачык өткөргүчкө айландырган жол.
Муну кардар машинасынан далилдеңиз
Төмөнкү LANдагы машинадан сурам жөнөтүңүз, анан анын булагын сыртка жана кайра көзөмөлдөңүз. Pi чыгарган ping эч качан төмөнкү кайтаруу маршрутун колдонбойт, ошондуктан ийгиликтүү ping көрүнгөндөн азыраак нерсени далилдейт. Piнин өз LANындагы зымдуу кардардан экинчи сыноо кошуңуз, ошондо эки жолду салыштырууга болот. Кайсы бир түзмөктү кайра жүктөгөндөн кийин экөөнү тең кайталаңыз.
Кол менен кошулган маршруттар жана эч качан сакталбаган котормолор чогуу жок болот. Ошондо бул жуп бүтпөгөн иш эмес, жаңы бузулуу болуп көрүнөт.
Туташуу моделин маршруттар, уруксат берилген жеке кызмат жана ар кандай котормо менен бир жазууда сактаңыз. Ошол жазуу кийинки адамдын зымсыз жайгаштырууну маршруттоо саясатынын суроосу катары кароосуна жол бербейт.