Споделете една VPN врска со сите уреди на вашата LAN мрежа

Еден лаптоп го држи тунелот, остатокот од домот сака исти пристап, а првиот обид е сѐ да се насочи кон поврзаната машина. Тоа не успева од причини што немаат никаква врска со VPN: хостот што прима мора да го препрати пакетот, да го препише неговиот извор и да се погрижи одговорите да го најдат патот назад. Ако испуштите било што од трите, поврзаниот лаптоп продолжува да работи, додека секој друг уред не добива одговор. Решението е проект за рутирање, а не поставка на клиентот.

Зошто насочувањето уреди кон хостот не успева

Хостот што прима пакет адресиран до оддалечена мрежа станува рутер за тој момент, без разлика дали некој го конфигурирал така или не. Препраќањето во Linux и Windows е стандардно исклучено, освен ако некоја функција не го вклучи. Преводот на адреси е важен затоа што оддалечената страна мора да знае каде да ги прати одговорите, а приватна LAN адреса за неа не значи ништо. Повратната рута е третиот дел, и токму неа луѓето ја забораваат кога првиот ping изгледа успешен.

Дијагностицирајте по тој редослед наместо случајно да вклучувате и исклучувате поставки. Секој дел што недостасува дава малку поинаков симптом.

Вклучете препраќање и превод на адреси на хостот

Две измени на поврзаниот хост ги покриваат првите два дела: вклучете препраќање на IPv4 и преведете го LAN сообраќајот на интерфејсот на тунелот.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Зачувајте ја вредноста sysctl во датотека под /etc/sysctl.d и повторно проверете го правилото masquerade по рестартирање, бидејќи предните делови на огнениот ѕид можат да ги исчистат прилагодените синџири. Во Windows функцијата за споделување ги изведува двата чекори, но исто така го пренасочува LAN адаптерот кон фиксна подмрежа и го брише неговиот гејтвеј, што го расипува статичкото адресирање и препраќањето порти. Вратете ја патеката на рутерот до хостот на неговата нова адреса пред да заклучите дека споделувањето не успеало. Потоа гледајте како бројачите на правилото растат додека вториот уред праќа сообраќај.

Дајте ѝ на LAN мрежата патека што ги преживува рестартирањата

Другите уреди бараат рута до оддалечениот префикс, а двата начина да се обезбеди се разликуваат по обемот на влијанието.

ip route add 10.8.0.0/24 via 192.168.1.20 dev eth0

Насочувањето на стандардниот гејтвеј на клиентот кон хостот го праќа целиот негов сообраќај низ хостот, вклучително локалното печатење и споделувањето датотеки, па неповрзаните работи запираат кога хостот заспива. Додавањето конкретна рута на рутерот за оддалечениот префикс е потесно: само одредиштата зад тунелот одат на поврзаната машина, а остатокот од LAN мрежата продолжува да работи. Подмрежите погоре се примери, затоа заменете ги со вашите опсези за LAN и тунел. Во секој случај, тестирајте од втор уред со вклучен, а потоа исклучен тунел.

Внимавајте на MTU пред да го обвините тунелот

Тунелите ја намалуваат употребливата големина на пакетот, а вториот уред нема поим за тоа. Големите преноси и TLS ракувањата застануваат, додека малите барања успеваат.

ping -M do -s 1400 10.8.0.5

Одговорот докажува дека таа големина ја поминува патеката без фрагментација; истекот на време значи дека товарот од инкапсулацијата го турнал пакетот надвор од MTU на тунелот. Намалете го MTU на интерфејсот за споделување или ограничете ја максималната големина на сегментот на уредот што препраќа, па повторете ја истата проверка. Прво тестирајте ја истата големина на LAN страната, бидејќи локалниот неуспех укажува на LAN, а не на тунелот. Запишете ја големината што работи, бидејќи подоцнежната промена на провајдерот или тунелот може да ја помести.

За еден дополнителен уред доволно е споделување од хостот. За домаќинство ставете ја рутата на рутерот. Кога пристапот треба да го преживее заминувањето на лаптопот со вас, самиот тунел припаѓа на посветен гејтвеј.