hostapd an OpenVPN op engem Pi: wiem gehéiert d'Standardroute?

D'Telefone verbannen sech mam Access Point, kréien eng Adress a kommen duerno nirgends un, soubal den Tunnel eropkënnt. hostapd ass an deem Zoustand meeschtens gesond, an OpenVPN och; wat brécht, ass d'Standardroute, déi entweder ni op der Bréck war oder vum Tunnel ersat gouf, ouni e Wee zum VPN-Server selwer ze loossen. Dës Uleedung setzt dës Route zréck op hire Platz a beweist d'Resultat vun engem Client an net vum Pi. All Schrëtt ass ëmdréibar, an hei ännert näischt d'Konfiguratioun vum Tunnel, bis Dir wësst, wéi en Trafic Dir dran wëllt.

Inventariséiert d'Interfacen, ier Dir eppes ännert

Den üble Legung leet de Funksradio an de Kabeleport an br0, startet hostapd géint d'Bréck a verdeelt Leasen aus dnsmasq, wärend en OpenVPN-Client tun0 uleet. Dann gesi dräi getrennt Ufuerderungen aus wéi eng eenzeg: d'Clienten vum Access Point brauchen den Pi als hire Gateway, den Pi braucht eng Route an d'Internet, fir säi Server z'erreechen, an d'Bréck braucht eng Gateway-Adress, déi déi Clienten kënnen notzen.

Liest den aktuellen Zoustand, ier Dir en ännert, well dës véier Kommandoen en Interfaceproblem vun engem Routingproblem trennen.

ip -br addr
ip route show
ip link show master br0
bridge link show

Wann br0 eng Adress huet awer keng Standardroute, erreechen d'Clienten den Pi an näischt doriwwer eraus. Wann d'Standardroute op tun0 weist, wärend den Tunnel erof ass, huet den Pi guer kee funktionéierende Wee, an d'Symptom vum Client gesäit genee esou aus. Béid Fäll gesinn aus engem Telefon identesch aus, dofir muss d'Routentabell direkt geliest ginn.

Gitt der Bréck eng Standardroute, déi zu hir gehéiert

Raspberry Pi OS léisst d'Bréck dacks ouni Standardroute, wann d'Bréck entstanen ass, nodeems d'Interface-Datei geschriwwen gouf. De Block gehéiert an /etc/dhcpcd.conf, an en soll den ieweschte Router nennen an net den Pi.

interface br0
static ip_address=192.168.50.2/24
static routers=192.168.50.1
static domain_name_servers=192.168.50.1

An deem Beispill ass 192.168.50.1 den existéierende Router an 192.168.50.2 ass d'Bréckadress vum Pi am selwechte Subnetz, also ersetzt se duerch Ären eegene Plang amplaz d'Zuelen ze kopéieren. D'Bréckememberen däerfen och keng Routere froen, soss kritt den Pi konkurréierend Standardrouten, deene hire Gewënner vun der Metrik an dem Timing ofhänkt an net vum Virsatz.

No systemctl restart dhcpcd soll ip route show default br0 eemol oplëschten an keen Duplikat vum Kabeleport. Bestätegt d'Ufro an net d'Tabell, well en ale Bäitrag niewent engem gewënnte ka sëtzen: ip -4 route get 203.0.113.10 muss br0 nennen. Dës Adress kënnt aus dem Dokumentatiounsberäich TEST-NET-3, dofir kann se net mat engem richtege Server kollidéieren, wärend Dir dëst liest.

Verhënnert, datt den Tunnel de Wee zu sengem eegene Server entféiert

En OpenVPN-Client, deen redirect-gateway akzeptéiert, iwwerhëlt d'Standardroute a riicht se an den Tunnel. Dat ass richteg, wann all Client vum Access Point d'VPN soll notzen, a falsch, wann nëmmen e puer Destinatioune sollen. Wéi och ëmmer, dem Pi seng eege Verbindung zum Server däerf net innerhalb vum Tunnel verlafen, deen en nach baut. OpenVPN setzt eng Hostroute zum Géigeniwwer iwwer de urspréngleche Gateway derbäi, wann en d'Standardroute ëmleed, an dat ass genee dat Verhalen, dat den Transport lieweg hält; wann dës Route feelt, fällt den Tunnel zesummen, soubal en sech etabléiert.

En direkte Verglach vun deem Transportwee virun a nom Verbannen ass déi zéng Sekonnen wäert. ip -4 route get 203.0.113.10 soll an allen zwee Zouständen d'Ënnerlagsgerät nennen, an et verréckelt sech nëmmen d'Metrik. Wann et nom Eropgoe vum Tunnel tun0 nennt, gouf d'Hostroute ni installéiert an déi nächst Neiverbindung wäert feelen.

Wann nëmmen ausgewielte Präfixer den Tunnel duerchkreuze sollen, benotzt route-nopull a füügt déi gewënschte Routen vun Hand derbäi, oder schéckt eng méi schmuel Rei vum Server. D'Bréck behält an deem Konzept d'Standardroute, an DNS gëtt déi nächst Decisioun: d'Weiderleedung vun dnsmasq un en Heemresolver mécht nëmmen Sënn fir d'Nimm, déi würklech do wunnen.

Entscheet iwwer d'Weiderleedung an NAT

En vollständigen Tunnel brauch ageschalt Weiderleedung um Pi an en Gateway op der anerer Säit, deen d'Subnetz vum Access Point wëll routen. Iwwerpréift d'Weiderleedung virun allem aneren, well eng Null all Routenännerung irrelevant mécht.

sysctl net.ipv4.ip_forward
sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -s 192.168.50.0/24 -o tun0 -j MASQUERADE

D'NAT-Regel ass d'Ofkierzung, déi funktionéiert, wann de Server de Präfix vum Access Point net akzeptéiert, zum Präis, datt all Client an de Logbicher vun der anerer Säit als Tunnelsadress vum Pi erschéngt. De Präfix ouni NAT ze routen hält d'Adressen sichtbar an hänkt vun enger Zréckroute fir 192.168.50.0/24 op der Heemsäit of.

Schreift d'Wiel niewent d'Firewall-Regelen, well eng NAT-Regel, déi am Konzept onsichtbar ass, sechs Méint méi spéit onerklärlech gëtt. Hält IPv6 an der selwechter Decisioun; e funktionéierende IPv4-Wee niewent engem futti IPv6-Wee liest sech am Browser nach ëmmer als hallef futti.

Verifizéiert vun engem Client, a rollt dann propper zréck

Test an dëser Reihenfolge vun engem Telefon oder Laptop um Access Point: eng Leas vun dnsmasq, e Ping op d'Bréckadress, dann eng Destinatioun op der anerer Säit vum Tunnel. All Schrëtt isoléiert eng Schicht amplaz eng eenzeg onnëtz Feeler ze produzéieren.

ip -4 route get 203.0.113.10
ping -c 3 -I br0 203.0.113.10

Bestätegt dann, datt den Pi nach ëmmer säin eegene Wee eraus huet: ip route get 203.0.113.10 soll d'Ënnerlagsgerät nennen, an ping -c 3 -I br0 203.0.113.10 soll äntweren, wann de Server ICMP erlaabt. Wann déi zwou éischt Client-Schrëtt duerchgoen an den drëtten feelt, läit de Feeler an der Weiderleedung oder am NAT. Wann den zweeten Schrëtt feelt, sinn d'Bréck oder DHCP nach ëmmer onvollstänneg.

Zréckrollen ass eng Dateiännerung an zwee Kommandoen: entfernt de Block, startet dhcpcd nei an ersetzt d'Standardroute ausdrécklech mat ip route replace default via 192.168.50.1 dev br0. Maacht dat, ier de Maintenance-Fënster zougeet, an net duerno, well en Pi, deen seng Standardroute verluer huet, aus dem Netzwierk net z'erreechen ass, dat Dir fir seng Reparatur géift notzen.