Eng eenzeg VPN-Verbindung mat allen Apparater an Ärem LAN deelen

Een Laptop hält den Tunnel, de Rescht vum Haus wëll deen selwechten Zougang, an den éischte Versuch ass, alles op de verbonnene Rechner ze riichten. Et schléit aus Grënn fehl, déi näischt mam VPN ze dinn hunn: den empfangenden Host muss de Pak weiderleeden, seng Quell ëmschreiwen an dofir suergen, datt Äntwerten hire Wee zréck fannen. Verpasst ee vun den dräi, an de verbonnene Laptop funktionéiert weider, während all anert Gerät keng Äntwert kritt. D'Léisung ass eng Routing-Design, net eng Client-Astellung.

Firwat et fehlschléit, Geräter op den Host ze riichten

En Host, deen e Pak empfaangt, deen un en enntfernt Netzwierk adresséiert ass, gëtt fir deen Ament en Router, egal ob een en als sou konfiguréiert huet. D'Weiderleedung ass op Linux an op Windows standardméisseg aus, ausser eng Funktioun schalt se an. D'Adressëbersetzung ass wichteg, well déi enntfernt Säit wësse muss, wouhin d'Äntwerten ze schécken, an eng privat LAN-Adress heescht fir si näischt. D'Retourroute ass dat drëtt Stéck, an et ass dat, wat d'Leit vergiessen, wann den éischte Ping erfollegräich ausgesäit.

Diagnostizéiert an dëser Reihenfolge, amplaz Astellungen zoufälleg un- an auszeschalten. All fehlend Stéck produzéiert e liicht anert Symptom.

Aktivéiert Weiderleedung an Adressëbersetzung um Host

Zwee Ännerungen um verbonnene Host decken déi éischt zwee Stécker: IPv4-Weiderleedung aktivéieren an den LAN-Traffic op d'Tunnel-Interface ëmsetzen.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Maacht de sysctl-Wäert an enger Datei ënner /etc/sysctl.d persistent, a kontrolléiert d'Masquerade-Regel no engem Neistart nach eng Kéier, well Firewall-Frontends eegen Ketten eidel maache kënnen. Op Windows mécht d'Deelfunktioun béid Schrëtt, awer se adresséiert och den LAN-Adapter op en fixe Subnet ëm an läscht säi Gateway, wat statesch Adresséierung a Port Forwarding briecht. Stellt de Wee vum Router op den Host op senger neier Adress erëm hier, ier Dir schlussfolgert, datt d'Deelen feelgeschloen ass. Kuckt dann, wéi d'Comptèren vun der Regel klammen, während en zweet Gerät Traffic schéckt.

Gitt dem LAN en Wee, deen Neistarts iwwersteet

Déi aner Geräter brauchen eng Route op deen enntfernte Prefix, an déi zwou Aarte si wat den Aflossradius ugeet ënnerschiddlech.

ip route add 10.8.0.0/24 via 192.168.1.20 dev eth0

Den Default-Gateway vun engem Client op den Host riichten schéckt säin ganze Traffic duerch den Host, och lokal Drécken a Dateiaustausch, sou datt onzusammenhängend Saachen ophalen, wann den Host schléift. Eng spezifesch Route um Router fir deen enntfernte Prefix derbäizesetzen ass méi schmuel: nëmmen d'Ziler hannert dem Tunnel ginn op de verbonnene Rechner, an de Rescht vum LAN funktionéiert weider. D'Subnetten uewen sinn Beispiller, also ersetzt se duerch Är eege LAN- an Tunnelberäicher. Egal wéi, test aus engem zweete Gerät mam Tunnel un an duerno aus.

Kuckt op d'MTU, ier Dir den Tunnel beschëllegt

Tunnelen verklengeren d'notzbar Pakgréisst, an dat zweet Gerät huet keng Ahnung dovu. Grouss Transfere an TLS-Handshakes stocken, während kleng Ufroen erfollegräich sinn.

ping -M do -s 1400 10.8.0.5

Eng Äntwert beweist, datt déi Gréisst de Wee onfragmentéiert iwwerquiert; en Timeout heescht, datt den Inkapselungsoverhead de Pak iwwer d'MTU vum Tunnel gedréckt huet. Setzt d'MTU um Deel-Interface erof oder begrenzt d'maximal Segmentgréisst um Forwarder, a widderhëlt dann dee selwechte Test. Test déi selwecht Gréisst fir d'éischt op der LAN-Säit, well e lokale Fehler op d'LAN an net op den Tunnel weist. Notéiert d'Gréisst, déi funktionéiert, well eng spéider Ännerung um Provider oder um Tunnel se ka verréckelen.

Fir een zousätzlecht Gerät ass d'Deelen iwwer den Host genuch. Fir e Stot gehéiert d'Route op den Router. Wann den Zougang bestoe musss bleiwen, och wann den Laptop mat iech fortgeet, gehéiert den Tunnel selwer op en dedizéierte Gateway.