Bridged VPN-Hotspot: wéi eng Standardroute benotzt den Telefon?
D'Standardroute vum Pi ass net de Gateway vum Telefon. Trennt déi zwou Entscheedungen, haalt den Uplink aus der Bréck eraus, a testt de Lease virum Tunnel.
Den Telefon op Ärem bridged Hotspot kritt seng Adress a säi Gateway vun irgendwou, an dat ass net d'Standardroute vum Pi. D'Standardroute vum Pi z'änneren ännert, wouhin de Pi säin eegene Verkéier schéckt. Den Telefon benotzt weider de Gateway, deen him gesot gouf, a wann dee Gateway op der wäiter LAN läit, ginn seng Frame just iwwer d'Bréck. Zwee Konsumenten, zwou Entscheedungen. Se trennen erklärt déi meescht Rapporten iwwer en Hotspot ouni Internet, wärend de Pi selwer gutt ass.
Zwee Apparater, zwou verschidde Gateway-Entscheedungen
De Pi huet säin eegene IP-Stack an seng eegen Standardroute. Den Telefon huet säin eegene IP-Stack an seng eegen Standardroute.
| Consumer | Who chooses its gateway | What carries the traffic |
|---|---|---|
| Phone on the bridged AP | The remote LAN router, delivered in its client configuration | An Ethernet frame toward that router crosses the AP and TAP bridge |
| Pi's encrypted connection | The travel uplink's route toward the VPN peer | The Pi sends its own outer transport packets over the underlay |
Dës Tabell ass dat ganzt Modell. De Gateway vum Telefon ass eng Adress op der wäiter LAN, a seng Frame ginn op Schicht 2 Richtung deem Router weiderginn. D'Standardroute vum Pi betrëfft säin eegenen äusseren Transport, deen de VPN-Peer iwwer den Reesen-Uplink muss erreechen.
Eng Bréck gëtt Frame weider, se routet keng Paketen
Eng Linux-Bréck gëtt Ethernet-Frame no der Destinatiouns-MAC weider, an dat ass alles, wat se tëscht hire Porte mécht. Dem Telefon säi Frame, deen un d'MAC vum wäitem Router adresséiert ass, gëtt op den TAP-Port ëmgeschalt an iwwer den Tunnel gaang, ouni dem Pi seng Routingtabell ze beréieren. Dofir kann eng futti Standardroute vum Pi den Telefon funktionéiere loossen, an dofir kann eng richteg een Telefon net reparéieren, deem de falsche Gateway gouf.
TAP dréit Ethernet-Frame a kann e Bréckport sinn. TUN dréit IP-Paketen a kann et net. Wann Ären Design dat eng duerch dat anert ersat huet, ass d'Bréck keng Bréck an de Rescht hei gëllt net.
Entscheet, wien de Lease vum Telefon verdeelt
DHCP-Optioun 3 ass d'Router-Optioun, an se seet dem Client, wéi ee Gateway hie fir säi Subnet soll benotzen. Wann den DHCP-Server vun der wäiter LAN den eenzegen Verdeeler ass, kritt den Telefon e wäite Gateway an den Design ass konsequent. Wann eppes anescht op der Reesäit fir d'éischt äntwert, kritt den Telefon e lokale Gateway, säin Internetverkéier geet iwwer den Reesen-Uplink eraus, a säi Verkéier op déi wäit LAN huet guer kee Wee.
Loosst een eenzegen Verdeeler fir déi Broadcast-Domän lafen, a schreift op, wat hie verdeelt.
De Pi ass en eenzegen Fall, och wann hien eng Adress aus dem selwechte Lease hëlt. Entscheet bewosst, ob hien d'Routen installéiere soll, déi de Lease ubitt, well eng importéiert wäit Standardroute dem Pi säin eegene VPN-Transport an den Tunnel kënne zéien, deen hien um Liewen halen wëll. Mat systemd-networkd ass déi Entscheedung UseRoutes= am DHCP-Abschnitt; mat dhclient ass et d'Optioun routers an der Ufro-Lëscht.
Haalt den Uplink aus der bridged LAN eraus
D'Interface, déi dem Pi seng äusser VPN-Verbindung dréit, däerf keen Bréckport ginn. Wann se et gëtt, gëtt den verschlësselten Transport an déi erweidert LAN ëmgeschalt an den Tunnel dréit um Enn seng eegen äusser Paketen, wat esou feelt, datt et wéi Paketverloscht ausgesäit an net wéi eng Schläif. Haalt och d'AP-Fähegkeet an d'Bréckënnerstëtzung explizit. Eng drahtlos Interface am Station-Modus kann normalerweis kee Bréckport sinn, well den 802.11-Header keng Plaz fir déi zweet MAC-Adress huet, déi eng Bréck brauch.
Definéiert déi erweidert Broadcast-Domän, een Adressplang an déi Frame-Filterung, déi Dir wierklech wëllt. Dem VPN-Lauschterer um Pi erlaben gëtt net all bridged Client Zougang zu de Verwaltungsdéngschter vum Pi. Dat sinn getrennt Reegelen, an se als eng ze behandelen ass de Wee, wéi en Hotspot stëll eng oppe Dier gëtt.
Test déi véier Saachen eenzel, wann et briechen
Wann den Telefon déi wäit LAN net erreeche kann, trennen véier Observatiounen d'Ursaachen. Fuert se an dëser Rei aus a stoppt bei där éischter, déi feelt.
ip route show default
bridge link show
ip -4 neigh show dev br0
tcpdump -ni br0 arp or icmpFänkt mam Lease un: huet den Telefon eng Adress an e Gateway am wäite Subnet? Kuckt duerno d'Bréck, a bestätegt, datt den AP-Port an den TAP-Port allebéid weiderginn. Liest duerno d'Nopesch-Tabell, well en ongeléiste Punkt fir de wäite Router heescht, datt Frame erausginn an näischt äntwert. Um Enn kuckt d'Frame op der Bréck, wärend den Telefon pingt, wat Iech seet, ob de Fehler iwwerhaapt ënner IP läit.
Schreift op, wéi en Apparat all Standardroute besëtzt, wann Dir fäerdeg sidd. Eng Linn Dokumentatioun mécht lokal géigeniwwer wäitem Egress zu enger bewosster Cliententscheedung, an d'Bréckreferenz ass et wäert, se derbäi ze halen.