Роутерийн VPN-ийг асаасны дараа кастлах яагаад зогсдог вэ
Илрүүлэлт link-local multicast-аар явагдаж, телевизор медиаг өөрөө татдаг. Бодлогын өгөгдмөл дүрэм LAN хүсэлтийг барьж аваад туннель руу илгээж болно.
Кастлах нь роутерийн VPN асаахаас өмнө ажиллаж, асаасны дараа шууд бүтэлгүйтдэг боловч утсан дээрх энгийн вэб үзэх нь ажилласаар байна. Эдгээр хоёр баримт хоорондоо зөрчихгүй, учир нь кастлах нь нэг холболт биш. Утас локал сүлжээгээр хүлээн авагчийг олж удирдаж, дараа нь хүлээн авагч медиаг өөрийн холболтоор татдаг.
Өөр өөрөөр бүтэлгүйтдэг хоёр зам
Удирдлагын зам нь локал. Утас локал сүлжээнээс асууж хүлээн авагчийг олдог, дараа нь мэдсэн хаяг руу удирдлагын холболт нээдэг. Хэрэв хүлээн авагч жагсаалтад огт харагдахгүй бол медиа шаардахаас өмнө илрүүлэлтийн шат бүтэлгүйтсэн байна.
Медиагийн зам заавал локал байх албагүй. Олон хүлээн авагч урсгалыг өөрсдөө, өөрийн холболт, өөрийн нэвтрэх мэдээллээр татдаг тул утасны маршрут хүлээн авагчийн маршрутыг дүрслэхгүй. Нэг гарцаар гарч байгаа мэт харагдах утас телевизийн урсгал хаашаа явдгийг хэлж чадахгүй.
Энэ хуваагдал нь гэмтэл хачин харагдах шалтгаан. Туннель утасны маршрутын хүснэгтийг өөрчилсөн боловч телевизийнхийг өөрчлөөгүй тул хосын нэг талд гарсан шинж тэмдгийг тэр талд нь мөрдөх ёстой. Буруу төхөөрөмжийг шалгах нь засвар юу ч хийхгүй мэт харагдах ердийн шалтгаан.
Илрүүлэлт яагаад эхэндээ эвдэрдэг вэ
Илрүүлэлт ихэвчлэн link-local multicast-аар явагддаг. mDNS нь 224.0.0.251 руу UDP 5353 портоор, SSDP нь 239.255.255.250 руу UDP 1900 портоор илгээдэг. Хоёулаа бүтцээрээ нэг холбоосоор хязгаарлагддаг тул роутер давтагч эсвэл проксигийн тусламжгүйгээр тэдгээрийг сегментүүдийн хооронд дамжуулдаггүй. Маршрутлагдсан VPN нь multicast бүлгийг өргөтгөдөггүй бөгөөд холбоосоос хэзээ ч гарч байгаагүй бүлгийг бодлогын маршрут өөр холбоос дээр гаргаж чадахгүй.
Тиймээс эхний гэмтэл шифрлэлттэй ямар ч холбоогүй. Утасны multicast нь илгээсэн интерфэйсээ орхиж, хүлээн авагч түүнийг хэзээ ч хардаггүй сегментэд байна, төхөөрөмжийн жагсаалт хоосон буцаж ирдэг. Хоосон жагсаалт нь телевизор интернэтийн холболтоо алдсан гэдгийн баталгаа биш.
Тусгаарлалт нь VPNгүйгээр ч ижил шинж тэмдгийг үүсгэдэг. Зочны сүлжээ болон хандалтын цэгийн клиентийн тусгаарлалт нь төхөөрөмжүүдийг хооронд нь ярихыг зориуд хориглодог бөгөөд тусгаарлагдсан сегмент дээр роутерийн VPN асаах нь үүнд юу ч өөрчлөхгүй. Туннелийг шалгахаас өмнө тусгаарлалтын тохиргоог шалгаарай. Энэ нь хямд хариулт бөгөөд илүү түгээмэл.
Сегментүүдийн зохион байгуулалт нь нөгөө тал. Хоёр дахь роутер, өөр горимд ажиллаж буй mesh зангилаа эсвэл өөр NAT-ийн ард байгаа утаслаг сегмент нь хүлээн авагчийг утасны илрүүлэлтийн урсгал хүрдэггүй газарт байрлуулдаг.
Бодлогын өгөгдмөл дүрэм локал хүсэлтийг яагаад залгиж болох вэ
Бүх урсгалыг туннель руу чиглүүлдэг роутер туннелийн интерфэйс дээр өгөгдмөл маршрут суулгадаг. Хэрэв LAN префикс энэ бодлогоос хасагдаагүй бол хоёр метрийн зайд байгаа төхөөрөмж рүү хаягласан пакет одоо өгөгдмөлтэй таарч, роутер удирдлагын хүсэлтийг свич рүү биш туннель руу илгээдэг.
| Stage | What carries it | How a router VPN interferes |
|---|---|---|
| Discovery | Link-local multicast on a single segment | Not extended across segments, and not repaired by a route |
| Control connection | Unicast to the receiver address on the LAN | A policy default can capture the LAN destination and tunnel it |
| Media fetch | The receiver's own connection | Unaffected by the phone's route, but affected by the TV's own policy |
| Account authorization | Tokens held by the application | Can fail for reasons unrelated to any route |
Дүрмийн дараалал үр дүнг шийддэг. Бодлогын маршрутлалт дүрмүүдийг ач холбогдлын дарааллаар үнэлдэг тул локал префиксийн үл хамаарах дүрэм туннелийн хүснэгтийг сонгодог дүрмээс өмнө байх ёстой. Туннелийн дүрмийн дараа үл хамаарах дүрэм нэмэх нь үр дүнгүй тул зөв мэт харагдах тохиргоо ч LAN урсгалыг алсын гарц руу илгээж болно.
Засвар нь нарийн: кастлах урсгалд хэрэгтэй тодорхой локал очих газруудыг зөвшөөрч, бусад тусгаарлалтыг хэвээр үлдээ. Эхний алхам болгон клиентийн тусгаарлалтыг арилгах нь шинж тэмдгийг эмчилдэг боловч сүлжээний бүтцэд байсан хяналтыг хаядаг.
Утсан дээрх хурдан шалгалт хоёр гэмтлийн алийг нь та авахыг шийднэ. Хэрэв хүлээн авагч руу хүрэх маршрут туннель руу зааж байвал асуудал бодлогод байна. Хэрэв LAN руу зааж, илрүүлэлт байсаар бүтэлгүйтвэл асуудал multicast эсвэл тусгаарлалтад байна, маршрут өөрчлөх нь тус болохгүй.
ip route get 192.168.1.50
ip rule show
avahi-browse -rt _googlecast._tcpУлс орныг биш, өөрчлөгдсөн шатыг шалга
Бичиж авсан ажиглалт давтан туршилтаас дээр. Хүлээн авагч төхөөрөмжийн жагсаалтад гарч байгаа эсэх, удирдлагын хүсэлт түүнд хүрч байгаа эсэх, урсгал сонгосны дараа тоглуулалт эхэлж байгаа эсэхийг тэмдэглэ. Хариулт бүр нэг шатыг сэжигээс гаргадаг.
Дараа нь гарцын байршлыг солихын оронд шат бүрийг шууд туршаарай. VPN улсыг өөрчлөх нь медиагийн замыг туршиж, илрүүлэлт болон удирдлагын шатыг хөндөхгүй үлдээдэг тул санамсаргүйгээр тус болсон мэт харагдаж, юу ч заахгүй байж болно.
Хүлээн авагчийн талд түүний өөрийн маршрут болон бүртгэлийн төлөвийг шалгаарай. Телевизор утаснаас өөр гарцаар медиа татдаг нь хэвийн бүтэц бөгөөд тэнд гарсан гэмтэл нь утасны туннель биш, хүлээн авагчийн сүлжээний бодлогын асуудал.
Үр дүнг аль шат эвдэрсэн, юу түүнийг өөрчилсөн тухай нэг өгүүлбэрээр бич. Тэр өгүүлбэр нэг долоо хоног улс солихоос илүү үнэ цэнэтэй бөгөөд дараагийн firmware шинэчлэлтийг ч давна.
Кастлах нь туннелийн тухай ерөнхий дүрмийн сайн туршилт. Сүлжээнд туннель нэмэхэд эхний асуулт нь ямар очих газар түүнд огт орох ёсгүй байсан бэ, хоёр дахь нь тэдгээрийн алийг нь бодлого чимээгүй хүлээн зөвшөөрсөн бэ гэдэг.