Олон маршрутизатортэй Pi VPN: шийдвэр гаргадаг төхөөрөмж дээр маршрут бүрийг тавь
Доод маршрутизатор хоёр дахь клиент дэд сүлжээ нэмдэг бөгөөд дөрвөн төхөөрөмж тус бүр нэг шийдвэртэй. Маршрутуудыг байрлуул, эх сурвалжийг шалга, дараа нь бодит клиентээс турш.
Pi-ийн ард Wi-Fi хайрцаг тавих нь нэг маршрутжуулалтын шийдвэрийг дөрөв болгож, дөрвийг нь нэг төхөөрөмж дээр гаргавал төлөвлөгөө эвдэрнэ. Эхний асуулт аль маршрутыг нэмэх биш. Шинэ хайрцаг гүүр барьж байгаа эсэх эсвэл маршрутжуулж байгаа эсэх нь, учир нь тэр хариулт хэдэн дэд сүлжээ байгаа, ямар төхөөрөмжүүд тэдний тухай мэдэх ёстойг тодорхойлно. Эхлээд холболтын загварыг сонго; маршрут бүр түүнээс үүдэлтэй.
Гүүр эсвэл маршрутжуулалт: тоог тодорхойлдог сонголт
Гүүр шинэ клиентүүдийг Pi аль хэдийн үйлчилж буй ижил дэд сүлжээнд байрлуулна. Нэг дэд сүлжээ, нэг DHCP эрх мэдэл, маршрутжуулалтад шилжүүлэх зүйл байхгүй. Энэ нь илүү энгийн зохион байгуулалт бөгөөд тусдаа клиент сүлжээ хэзээ ч шаардлага байгаагүй үед зөв сонголт юм. Маршрутжсан холболт өөр загвар: хайрцаг өөрийн дэд сүлжээг хадгалж, тэр префиксийг трафик явдаг бүх газарт зөөх ёстой.
Төлөвлөгөөний үлдсэн хэсэг доод маршрутизаторыг хадгалж, клиентүүдийн эх үүсвэрийн хаягийг хамгаална. Зорилго нь нэг хувийн VPN сүлжээ, бүрэн интернэт гарах гарц биш. Хаягуудаас өмнө загварыг бичиж үлдээ, учир нь доорх жагсаалт зөвхөн маршрутжсан холболтын жишээ.
client subnet 10.41.0.0/24
client gateway 10.41.0.1
router-to-Pi link 192.168.71.2
Pi on that link 192.168.71.1
private target 10.72.9.0/24Хэн юуг шийддэг
| Decision owner | Entry that encodes the decision | Failure when the entry is missing |
|---|---|---|
| Pi VPN host | Return route for 10.41.0.0/24 via 192.168.71.2, and a tunnel route for 10.72.9.0/24 | Replies to downstream clients die at the Pi |
| Owner of the remote network | A path for 10.41.0.0/24 over the permitted tunnel | Replies stop at the first unaware hop |
| LAN router behind the Pi | Specific route for 10.72.9.0/24 via 192.168.71.1, or a suitable default | Clients never send private traffic to the Pi |
| Client machine | Default via 10.41.0.1, or a specific entry for 10.72.9.0/24 | The private network is unreachable from the client |
Төхөөрөмж бүр нэг шийдвэр гаргадаг бөгөөд аль нь ч нөгөөгийнх нь шийдвэрийг түүний оронд гаргаж чадахгүй. Pi-д нэг биш хоёр бичлэг хэрэгтэй бөгөөд буцах зам бол хүмүүсийн мартдаг зүйл юм. Дамжуулсан трафик хувийн сүлжээнд зөв хүрч, дараа нь буцах замд үхдэг, учир нь Pi 10.41.0.0/24 хаана амьдардагийг мэдэхгүй. Энэ нь галт ханын асуудал мэт харагдаж, үнэндээ дутуу маршрут юм.
Алслаг талд ч өөрийн маршрут хэрэгтэй. Хэрэв алслаг үзүүрийн үйлчилгээ 10.41.0.0/24-т таны туннелээр хүрэх боломжтойг мэдэхгүй бол хариултууд хариултгүй эхний хоп дээр зогсдог. Пакет шүүлтүүр уншихаас өмнө хоёр чиглэлийг нэм.
Дараагийн хопууд холболтоос ирдэг
Дараагийн хоп нь төхөөрөмж үнэхээр хүрч чадах сүлжээний хаяг байх ёстой. VPN хамтрагчийн нийтийн хаяг хувийн дэд сүлжээний дараагийн хоп биш, алслаг үйлчилгээний сүлжээ огт дараагийн хоп биш. Хүрэх боломжгүй гарц руу чиглэсэн маршрут жагсаалтад зөв харагдаж, пакет бүрийг унагадаг. Очих газрыг буруутгахаас өмнө гарц хариулж байгаа эсэхийг шалга.
Pi-ийн гадаад VPN хамтрагчийг өөрийн доод маршрутаар хүрэх боломжтой байлга. Тэр бичлэг ачааны маршрутуудаас тусдаа бөгөөд тэдгээрийг холих нь зам өөрчлөгдсөний дараа дахин босгох боломжгүй туннель өгдөг.
Статик маршрутын баримт бичиг платформ бүр цэсээ өөрөөр нэрлэсэн ч очих газар болон гарцын ялгааг тодорхой болгоно. Өөр үйлдвэрлэгчийн дэлгэцийг хуулахын оронд өмнө чинь байгаа төхөөрөмжийн баримт бичгийг унш. Доорх командууд Linux дахь бичлэгүүдийн хэлбэрийг харуулна.
# on the Pi
ip route add 10.41.0.0/24 via 192.168.71.2
ip route add 10.72.9.0/24 dev tun0
# on the downstream router
ip route add 10.72.9.0/24 via 192.168.71.1Орчуулга эх сурвалжид юу хийдэг
Хэрэв доод маршрутизатор клиентүүдээ аль хэдийн дамжуулалтын хаяг руу орчуулж байгаа бол Pi клиент бүрийн өөрийн хаягийн оронд нэг орчуулсан эх сурвалж хардаг. Энэ нь дээрх эх сурвалжийг хадгалдаг загвараас өөр. Энэ нь эх сурвалжид суурилсан бодлого, бүртгэл, аль тал холболт эхлүүлж болохыг өөрчилдөг. Хоёр загвар хоёулаа ажилладаг; тэд өөр асуултад хариулдаг.
Дээд VPN үйлчилгээ клиентийн префиксийг буцааж маршрутжуулахаас татгалзвал Pi-ийн туннелийн гаралтын нарийн орчуулга хууль ёсны түр шийдэл байж болно. Энэ нь дутуу маршрут шаардлагагүй байсан гэсэн нотолгоо биш. Алслаг сүлжээ үнэндээ ямар хаяг хардаг, ямар буцах зам үүсдэгийг бичиж тэмдэглэ.
Маршрут сонголт, дамжуулах зөвшөөрөл, эх сурвалжийн орчуулга гэсэн гурван тусдаа ажил хэвээр байна. Нэг утастай клиент ажиллаж байгаа учраас хуваалцсан NAT гинжийг цэвэрлэх эсвэл интерфейс бүрд зөвшөөрөл өгөх нь ажиллаж буй туршилтыг нээлттэй дамжуулагч болгох арга юм.
Үүнийг клиент машинаас нотол
Доод LAN дахь машинаас хүсэлт илгээж, дараа нь түүний эх сурвалжийг гадагш болон буцах замаар дага. Pi-ийн илгээсэн ping хэзээ ч доод буцах маршрутыг ашигладаггүй, тиймээс амжилттай ping харагдахаас бага зүйг нотолдог. Pi-ийн өөрийн LAN дахь утастай клиентээс хоёр дахь туршилт нэм, ингэснээр хоёр замыг харьцуулж болно. Аль нэг төхөөрөмжийг дахин эхлүүлсний дараа хоёуланг нь давт.
Гараар нэмсэн маршрутууд болон хэзээ ч хадгалагдаагүй орчуулгууд хамт алга болдог. Дараа нь энэ хос дуусаагүй ажил биш, шинэ гэмтэл мэт харагдана.
Холболтын загварыг маршрутууд, зөвшөөрөгдсөн хувийн үйлчилгээ, аливаа орчуулгын хамт нэг тэмдэглэлд хадгал. Тэр тэмдэглэл нь дараагийн хүнийг утасгүй байршлыг маршрутжуулалтын бодлогын асуудал гэж үзэхээс сэргийлдэг.