Pi VPN mat méi Routeren: setz all Route op d'Apparat, dee entscheet
En Downstream-Router füügt en zweete Client-Subnet dobäi, an all véier Apparater huet eng Entscheidung. Setz d'Routen, préif d'Quell a test dann vun engem richtege Client.
Eng Wi-Fi-Këscht hannert dem Pi ze setzen mécht aus enger Routing-Entscheidung véier, an de Plang brécht, wann all véier op engem Apparat geholl ginn. Déi éischt Fro ass net wéi eng Route bäigesat soll ginn. Si ass ob déi nei Këscht bréckt oder routet, well déi Äntwerten entscheet wéi vill Subnetten et gëtt an wéi eng Apparater doriwwer mussen geléiert ginn. Wielt éischt d'Verbannungsmodell; all Route kënnt dovun.
Bréck oder Route: d'Wiel, déi d'Zuel festleet
Eng Bréck setzt déi nei Clienten op dee selwechte Subnet, deen de Pi schonn zerwéiert. E Subnet, eng DHCP-Autoritéit an keen Iwwergang fir ze routeren. Dëst ass déi méi einfach Dispositioun an déi richteg, wann en separaten Client-Netzwierk ni eng Ufuerderung war. Eng geroute Verbindung ass en anere Design: d'Këscht behält hire eegene Subnet, an dee Prefix muss iwwerall hinnere gedroe ginn, wou den Traffic geet.
De Rescht vum Plang behält den Downstream-Router a schützt d'Quelladressen vun de Clienten. D'Zil ass ee private VPN-Netzwierk, net en kompletten Internetausgang. Schreift d'Modell virun den Adressen op, well d'Lëscht hei drënner just en Beispill vun enger geroute Verbannung ass.
client subnet 10.41.0.0/24
client gateway 10.41.0.1
router-to-Pi link 192.168.71.2
Pi on that link 192.168.71.1
private target 10.72.9.0/24Wien entscheet wat
| Decision owner | Entry that encodes the decision | Failure when the entry is missing |
|---|---|---|
| Pi VPN host | Return route for 10.41.0.0/24 via 192.168.71.2, and a tunnel route for 10.72.9.0/24 | Replies to downstream clients die at the Pi |
| Owner of the remote network | A path for 10.41.0.0/24 over the permitted tunnel | Replies stop at the first unaware hop |
| LAN router behind the Pi | Specific route for 10.72.9.0/24 via 192.168.71.1, or a suitable default | Clients never send private traffic to the Pi |
| Client machine | Default via 10.41.0.1, or a specific entry for 10.72.9.0/24 | The private network is unreachable from the client |
Jeden Apparat hëlt eng Entscheidung, an keen kann déi vun engem aneren fir hie huelen. De Pi brauch zwou Entréen, net eng, an de Wee zréck ass deen, deen d'Leit vergiessen. Weidergeleet Traffic erreecht de private Netzwierk richteg an stierft dann um Wee zréck, well de Pi keng Ahnung huet wou 10.41.0.0/24 wunnt. Dat gesäit aus wéi e Firewallproblem an ass wierklech eng fehlend Route.
Déi wäit Säit brauch och hir eege Route. Wann de Service um wäiten Enn net weess datt 10.41.0.0/24 duerch ären Tunnel erreechbar ass, bleiwen d'Äntwerten um éischte Hop stoen, deen keng Äntwert huet. Setzt béid Richtungen dobäi, ier Dir Pakfilter liest.
Déi nächst Hops komme vun der Verbannung
Den nächsten Hop muss eng Adress op engem Netzwierk sinn, deen den Apparat wierklech erreeche kann. D'ëffentlech Adress vum VPN-Peer ass net den nächsten Hop fir e private Subnet, an de wäit Service-Netzwierk ass guer keen nächsten Hop. Eng Route zu engem onerreechbare Gateway gesäit an enger Lëscht richteg aus a verléiert all Pak. Préift ob de Gateway äntwert, ier Dir d'Destinatioun beschëllegt.
Halt de baussenzege VPN-Peer vum Pi iwwer seng eege Underlay-Route erreechbar. Dee Entrée ass getrennt vun de Payload-Routen, an hir Mëschung gëtt en Tunnel, deen nom Weeschange net erëm ka gebaut ginn.
D'Dokumentatioun iwwer statisch Routen mécht den Ënnerscheed tëscht Destinatioun a Gateway kloer, obwuel all Plattform hir Menüen anescht nennt. Liest d'Dokumentatioun fir den Apparat virun Iech, amplaz den Écran vun engem anere Fournisseur ze kopéieren. D'Kommandos hei drënner weisen d'Form vun den Entréen op Linux.
# on the Pi
ip route add 10.41.0.0/24 via 192.168.71.2
ip route add 10.72.9.0/24 dev tun0
# on the downstream router
ip route add 10.72.9.0/24 via 192.168.71.1Wat d'Iwwersetzung mat der Quell mécht
Wann den Downstream-Router seng Clienten schonn op d'Transitadress iwwersetzt, gesäit de Pi eng iwwersat Quell amplaz vun der eegener Adress vun all Client. Dat ass en aneren Design wéi dee hei uewen, deen d'Quell behält. Et ännert d'Quellbaséiert Politik, d'Logging a wéi eng Säit Verbindunge ka starten. Béid Designen funktionéieren; si äntweren op verschidden Froen.
Wann e VPN-Service uewendriwwer refuséiert de Client-Prefix zréck ze routeren, kann eng enk Iwwersetzung um Tunnelausgang vum Pi eng legitim Iwwergangsléisung sinn. Et ass kee Beweis datt déi fehlend Route iwwerflësseg war. Notéiert wéi eng Adress de wäiten Netzwierk wierklech gesäit a wéi ee Wee zréck draus entsteet.
Routewal, Weiderleetungs-erlaabnes an Quelliwwersetzung bleiwen dräi getrennt Aufgaben. Eng gedeelt NAT-Kette eidel maachen oder all Interface erlaben, well ee Kabelclient funktionéiert, ass de Wee wéi eng funktionéierend Test zu engem oppene Weiderleeter gëtt.
Et vun enger Client-Maschinn beweisen
Schéckt eng Ufro vun enger Maschinn am Downstream-LAN, da verfollegt hir Quell eraus an zréck. E Ping vum Pi übt ni de Downstream-Wee zréck aus, dofir beweise gelungen Ping manner wéi et ausgesäit. Setzt en zweeten Test vun engem Kabelclient am eegene LAN vum Pi dobäi, sou datt déi zwéi Weeër verglach ka ginn. Widderhëlt béid no engem Neistart vun engem vun den Apparater.
Routen, déi vun Hand dobäi koumen, an Iwwersetzungen, déi ni gespäichert goufen, verschwannen zesummen. Dann gesäit d'Paar aus wéi en neie Feeler, net wéi onfäerdeg Aarbecht.
Späichert d'Verbannungsmodell zesumme mat de Routen, dem erlabten private Service an all Iwwersetzung an enger Notiz. Déi Notiz ass et, déi de nächsten dovun ofhält, d'Drahtlos-Plazéierung als Routing-Politiksfro ze behandelen.