Koplietot vienu VPN savienojumu ar visām LAN ierīcēm

Viens portatīvais dators tur tuneli, pārējā māja grib tādu pašu piekļuvi, un pirmais mēģinājums ir vērst visu uz pieslēgto mašīnu. Tas neizdodas tādu iemeslu dēļ, kuriem nav nekāda sakara ar VPN: uztverošajam resursdatoram ir jāpārsūta pakete, jāpārraksta tās avots un jānodrošina, ka atbildes atrod ceļu atpakaļ. Ja iztrūkst kaut viens no trim, pieslēgtais portatīvais dators turpina darboties, kamēr visas pārējās ierīces nesaņem atbildi. Risinājums ir maršrutēšanas projektējums, nevis klienta iestatījums.

Kāpēc ierīču vēršana uz resursdatoru neizdodas

Resursdators, kas saņem paketi, kura adresēta attālinātam tīklam, uz to brīdi kļūst par maršrutētāju neatkarīgi no tā, vai kāds to tā konfigurējis. Pāradresācija Linux un Windows sistēmā pēc noklusējuma ir izslēgta, ja vien to neieslēdz kāda funkcija. Adrešu tulkošana ir svarīga tāpēc, ka attālinātajai pusei jāzina, kur sūtīt atbildes, un privāta LAN adrese tai neko nenozīmē. Atgriešanās maršruts ir trešā daļa, un tieši to cilvēki aizmirst, kad pirmais ping šķiet veiksmīgs.

Diagnosticējiet šādā secībā, nevis nejauši ieslēdziet un izslēdziet iestatījumus. Katra trūkstošā daļa rada nedaudz atšķirīgu simptomu.

Ieslēdziet pāradresāciju un adrešu tulkošanu resursdatorā

Divi izmaiņas pieslēgtajā resursdatorā aptver pirmās divas daļas: ieslēdziet IPv4 pāradresāciju un pārtulkojiet LAN trafiku uz tuneļa saskarni.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Saglabājiet sysctl vērtību failā zem /etc/sysctl.d un pēc pārstartēšanas vēlreiz pārbaudiet masquerade noteikumu, jo ugunsmūra priekšgali var notīrīt pielāgotās ķēdes. Windows sistēmā koplietošanas funkcija veic abus soļus, taču tā arī pāradresē LAN adapteri uz fiksētu apakštīklu un notīra tā vārteju, kas salauž statisko adresāciju un portu pāradresāciju. Atjaunojiet maršrutētāja ceļu uz resursdatoru tā jaunajā adresē, pirms secināt, ka koplietošana neizdevās. Pēc tam vērojiet, kā noteikuma skaitītāji pieaug, kamēr otra ierīce sūta trafiku.

Dodiet LAN tīklam ceļu, kas pārdzīvo pārstartēšanas

Pārējām ierīcēm vajadzīgs maršruts uz attālināto prefiksu, un abi veidi, kā to nodrošināt, atšķiras ar ietekmes apjomu.

ip route add 10.8.0.0/24 via 192.168.1.20 dev eth0

Ja klienta noklusējuma vārteja tiek vērsta uz resursdatoru, viss tā trafiks iet caur resursdatoru, tostarp vietējā drukāšana un failu koplietošana, tāpēc nesaistītas lietas apstājas, kad resursdators aiziet guļā. Pievienot konkrētu maršrutu maršrutētājā attālinātajam prefiksam ir šaurāk: tikai galamērķi aiz tuneļa nonāk pie pieslēgtās mašīnas, un pārējais LAN turpina darboties. Iepriekš minētie apakštīkli ir piemēri, tāpēc aizstājiet tos ar saviem LAN un tuneļa diapazoniem. Jebkurā gadījumā pārbaudiet no otrās ierīces ar ieslēgtu un pēc tam izslēgtu tuneli.

Pievērsiet uzmanību MTU, pirms vainojat tuneli

Tuneļi samazina lietderīgo paketes izmēru, un otrai ierīcei par to nav ne jausmas. Lieli pārraides un TLS rokasspiedieni iestrēgst, kamēr mazi pieprasījumi izdodas.

ping -M do -s 1400 10.8.0.5

Atbilde pierāda, ka šāds izmērs šķērso ceļu nesadrumstalots; taimauts nozīmē, ka iekapsulēšanas papildu apjoms ir izstūmis paketi aiz tuneļa MTU. Samaziniet MTU koplietošanas saskarnē vai ierobežojiet maksimālo segmenta izmēru pāradresētājā, pēc tam atkārtojiet to pašu pārbaudi. Vispirms pārbaudiet to pašu izmēru LAN pusē, jo vietēja kļūda norāda uz LAN, nevis uz tuneli. Pierakstiet strādājošo izmēru, jo vēlāka pakalpojumu sniedzēja vai tuneļa maiņa to var pārvietot.

Vienai papildu ierīcei pietiek ar koplietošanu no resursdatora. Mājsaimniecībai lieciet maršrutu uz maršrutētāju. Ja piekļuvei jāiztur portatīvā datora aizbraukšana kopā ar jums, pašam tunelim jāatrodas uz īpašas vārtejas.