Tiltotais VPN hotspot: kādu noklusējuma maršrutu izmanto telefons?
Pi noklusējuma maršruts nav telefona vārteja. Atdaliet abus lēmumus, turiet uplink ārpus tilta un pārbaudiet lease pirms tuneļa.
Jūsu tiltotā hotspots telefons saņem savu adresi un vārteju kaut kur, un tas nav Pi noklusējuma maršruts. Pi noklusējuma maiņa maina, kur Pi sūta savu paša trafiku. Telefons turpina izmantot vārteju, kas tam tika pateikta, un, kad šī vārteja atrodas attālajā LAN, tā kadri vienkārši šķērso tiltu. Divi patērētāji, divi lēmumi. To atdalīšana izskaidro lielāko daļu ziņojumu par hotspotu bez interneta, kamēr pats Pi ir kārtībā.
Divas ierīces, divi atšķirīgi vārtejas lēmumi
Pi ir sava IP kaudze un savs noklusējuma maršruts. Telefonam ir sava IP kaudze un savs noklusējuma maršruts.
| Consumer | Who chooses its gateway | What carries the traffic |
|---|---|---|
| Phone on the bridged AP | The remote LAN router, delivered in its client configuration | An Ethernet frame toward that router crosses the AP and TAP bridge |
| Pi's encrypted connection | The travel uplink's route toward the VPN peer | The Pi sends its own outer transport packets over the underlay |
Šī tabula ir viss modelis. Telefona vārteja ir adrese attālajā LAN, un tā kadri 2. slānī tiek pārsūtīti uz šo maršrutētāju. Pi noklusējuma maršruts attiecas uz Pi paša ārējo transportu, kam caur ceļojuma uplink ir jāsasniedz VPN partneris.
Tilts pārsūta kadrus, tas nemaršrutē paketes
Linux tilts pārsūta Ethernet kadrus pēc galamērķa MAC, un tas ir viss, ko tas dara starp saviem portiem. Telefona kadrs, kas adresēts attālā maršrutētāja MAC, tiek pārslēgts uz TAP portu un šķērso tuneli, neaizskarot Pi maršrutēšanas tabulu. Tāpēc bojāts Pi noklusējuma maršruts var ļaut telefonam darboties, un tāpēc pareizs nevar salabot telefonu, kuram tika dota nepareiza vārteja.
TAP pārnēsā Ethernet kadrus un var būt tilta ports. TUN pārnēsā IP paketes un nevar. Ja jūsu dizains aizstāja vienu ar otru, tilts nav tilts un pārējais šeit neattiecas.
Izlemiet, kas izdala telefona lease
DHCP 3. opcija ir maršrutētāja opcija, un tā klientam pasaka, kuru vārteju izmantot tā apakštīklā. Kad attālā LAN DHCP serveris ir vienīgais izdalītājs, telefons iegūst attālu vārteju un dizains ir konsekvents. Kad kaut kas cits ceļojuma pusē atbild pirmais, telefons iegūst vietēju vārteju, tā interneta trafiks iziet caur ceļojuma uplink, un tā trafikam uz attālo LAN nav nekāda ceļa.
Darbiniet vienu izdalītāju šim apraides domēnam un pierakstiet, ko tas izdala.
Pi ir atsevišķs gadījums arī tad, kad tas ņem adresi no tā paša lease. Apzināti izlemiet, vai tam jāinstalē maršruti, ko lease piedāvā, jo importēts attāls noklusējums var ievilkt Pi paša VPN transportu tunelī, ko tas cenšas noturēt dzīvu. Ar systemd-networkd šis lēmums ir UseRoutes= DHCP sadaļā; ar dhclient tā ir routers opcija pieprasījumu sarakstā.
Turiet uplink ārpus tiltotā LAN
Interfeiss, kas pārnēsā Pi ārējo VPN savienojumu, nedrīkst kļūt par tilta portu. Ja tas notiek, šifrētais transports tiek pārslēgts paplašinātajā LAN un tunelis galu galā pārnēsā savas ārējās paketes, kas neizdodas tā, ka izskatās pēc pakešu zuduma, nevis cilpas. Turiet arī AP iespēju un tilta atbalstu skaidri norādītu. Bezvadu interfeiss station režīmā parasti nevar būt tilta ports, jo 802.11 galvenē nav vietas otrajai MAC adresei, kas tiltam vajadzīga.
Definējiet paplašināto apraides domēnu, vienu adrešu plānu un kadru filtrēšanu, ko jūs patiešām vēlaties. VPN klausītāja atļaušana Pi sistēmā nedod katram tiltotajam klientam piekļuvi Pi pārvaldības pakalpojumiem. Tie ir atsevišķi noteikumi, un to uztveršana kā viena ir veids, kā hotspots klusi kļūst par atvērtām durvīm.
Kad tas salūzt, pārbaudiet četras lietas atsevišķi
Kad telefons nevar sasniegt attālo LAN, četri novērojumi atdala cēloņus. Izpildiet tos šajā secībā un apstājieties pie pirmā, kas neizdodas.
ip route show default
bridge link show
ip -4 neigh show dev br0
tcpdump -ni br0 arp or icmpSāciet ar lease: vai telefonam ir adrese un vārteja attālajā apakštīklā? Pēc tam apskatiet tiltu un apstipriniet, ka AP ports un TAP ports abi pārsūta. Pēc tam izlasiet kaimiņu tabulu, jo neatrisināts ieraksts attālajam maršrutētājam nozīmē, ka kadri iziet un nekas neatbild. Beigās vērojiet kadrus uz tilta, kamēr telefons pingē, un tas jums pateiks, vai kļūme vispār ir zem IP.
Pabeidzot pierakstiet, kurai ierīcei pieder katrs noklusējuma maršruts. Viena dokumentācijas rinda vietējo pret attālo izeju pārvērš apzinātā klienta lēmumā, un tilta atsauci ir vērts turēt tai blakus.