Мост VPN хотспот: која стандардна рута ја користи телефонот?

Телефонот на вашиот мостен хотспот ја добива својата адреса и портата од некаде, и тоа не е стандардната рута на Pi. Менувањето на стандардната рута на Pi менува каде Pi ја испраќа сопствената сообраќај. Телефонот продолжува да ја користи портата што му била кажана, и кога таа порта се наоѓа на далечната LAN, неговите рамки едноставно го преминуваат мостот. Два потрошувачи, две одлуки. Нивното одвојување објаснува повеќето извештаи за хотспот без интернет додека самиот Pi е во ред.

Два уреди, две различни одлуки за портата

Pi има сопствен IP стек и сопствена стандардна рута. Телефонот има сопствен IP стек и сопствена стандардна рута.

Таа табела е целиот модел. Портата на телефонот е адреса на далечната LAN, и неговите рамки се пренесуваат на слој 2 кон тој рутер. Стандардната рута на Pi се однесува на сопствениот надворешен транспорт на Pi, кој мора да го достигне VPN партнерот преку патувачкиот uplink.

Мостот пренесува рамки, не рутира пакети

Linux мост пренесува Ethernet рамки по целната MAC, и тоа е сè што прави меѓу своите порти. Рамката на телефонот адресирана до MAC-от на далечниот рутер се префрла на TAP портата и го поминува тунелот без да ја допре табелата за рутирање на Pi. Затоа расипана стандардна рута на Pi може да остави телефонот да работи, и затоа правилна не може да поправи телефон на кого му била дадена погрешна порта.

TAP носи Ethernet рамки и може да биде порта на мост. TUN носи IP пакети и не може. Ако вашиот дизајн го заменил едното со другото, мостот не е мост и остатокот од ова не важи.

Одлучете кој го дели lease-от на телефонот

DHCP опција 3 е опцијата за рутер и му кажува на клиентот која порта да ја користи за својата подмрежа. Кога DHCP серверот на далечната LAN е единствениот распределувач, телефонот добива далечна порта и дизајнот е конзистентен. Кога нешто друго на страната на патувањето одговори прво, телефонот добива локална порта, неговиот интернет сообраќај излегува преку патувачкиот uplink, а неговиот сообраќај кон далечната LAN нема никаков пат.

Водете еден распределувач за тој broadcast домен и запишете што дели.

Pi е посебен случај дури и кога зема адреса од истиот lease. Одлучете свесно дали треба да ги инсталира рутите што ги нуди lease-от, бидејќи увезена далечна стандардна рута може да го повлече сопствениот VPN транспорт на Pi во тунелот што се обидува да го одржи жив. Со systemd-networkd таа одлука е UseRoutes= во делот DHCP; со dhclient тоа е опцијата routers во списокот за барања.

Држете го uplink-от надвор од мостната LAN

Интерфејсот што го носи надворешното VPN поврзување на Pi не смее да стане порта на мост. Ако стане, шифрираниот транспорт се префрла во продолжената LAN и тунелот на крајот ги носи сопствените надворешни пакети, што откажува на начин што личи на губење пакети, а не на јамка. Држете ги и AP можноста и поддршката за мост експлицитни. Безжичен интерфејс во station режим обично не може да биде порта на мост, бидејќи заглавието 802.11 нема место за втората MAC адреса што му е потребна на мостот.

Дефинирајте продолжениот broadcast домен, еден план за адреси и филтрирањето рамки што навистина го сакате. Дозволувањето на VPN слушателот на Pi не му дава на секој мостен клиент пристап до управувачките услуги на Pi. Тоа се одделни правила, и нивното третирање како едно е начинот на кој хотспотот тивко станува отворена врата.

Тестирајте ги четирите одделно кога ќе се расипе

Кога телефонот не може да ја достигне далечната LAN, четири набљудувања ги одвојуваат причините. Изведете ги по овој ред и застанете на првото што откажува.

ip route show default
bridge link show
ip -4 neigh show dev br0
tcpdump -ni br0 arp or icmp

Почнете со lease-от: дали телефонот држи адреса и порта на далечната подмрежа? Потоа погледнете го мостот и потврдете дека AP портата и TAP портата и двете пренесуваат. Потоа прочитајте ја табелата на соседи, бидејќи нерешена ставка за далечниот рутер значи дека рамките излегуваат и ништо не одговара. На крајот набљудувајте рамки на мостот додека телефонот пингува, што ви кажува дали дефектот е под IP воопшто.

Запишете кој уред ја поседува секоја стандардна рута кога ќе завршите. Една линија документација го претвора локалниот наспроти далечниот излез во свесна одлука на клиентот, и референцата за мостот вреди да се чува до него.