Нэг VPN холболтыг LAN сүлжээний бүх төхөөрөмжтэй хуваалцах

Нэг зөөврийн компьютер туннелийг барьж, гэрийн бусад хэсэг мөн адил хандалт хүсэж, эхний оролдлого нь бүгдийг холбогдсон машин руу чиглүүлэх юм. Энэ нь VPN-тэй огт хамааралгүй шалтгаанаар бүтэлгүйтдэг: хүлээн авагч хост пакетыг дамжуулж, эх сурвалжийг нь дахин бичиж, хариултууд буцах замаа олохыг баталгаажуулах ёстой. Гурвын аль нэгийг алгасвал холбогдсон зөөврийн компьютер ажилласаар байх бөгөөд бусад бүх төхөөрөмж хариу авахгүй. Шийдэл нь маршрутжуулалтын загвар, клиентийн тохиргоо биш.

Төхөөрөмжүүдийг хост руу чиглүүлэх нь яагаад бүтэлгүйтдэг

Алсын сүлжээнд хаяглагдсан пакет хүлээн авсан хост тэр мөчид маршруутер болно, хэн нэгэн түүнийг тийн тохируулсан эсэхээс үл хамаарна. Дамжуулалт нь Linux болон Windows-д анхдагчаар унтарсан байдаг, хэрэв ямар нэгэн функц асахгүй бол. Хаяг хөрвүүлэлт нь чухал, учир нь алсын тал хариултыг хаашаа илгээхээ мэдэх ёстой бөгөөд хувийн LAN хаяг түүнд ямар ч утгагүй. Буцах маршрут нь гурав дахь хэсэг бөгөөд эхний ping амжилттай мэт харагдах үед хүмүүсийн мартдаг нь яг энэ.

Тохиргоог санамсаргүй асааж унтраахын оронд энэ дарааллаар оношлоорой. Дутуу хэсэг бүр бага зэрэг өөр шинж тэмдэг үүсгэдэг.

Хост дээр дамжуулалт болон хаяг хөрвүүлэлтийг асаа

Холбогдсон хост дээрх хоёр өөрчлөлт эхний хоёр хэсгийг хамарна: IPv4 дамжуулалтыг асааж, LAN урсгалыг туннелийн интерфэйс рүү хөрвүүлнэ.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

sysctl утгыг /etc/sysctl.d доорх файлд хадгалж, дахин ачаалсны дараа masquerade дүрмийг дахин шалгана уу, учир нь галт хананы урд хэсгүүд өөрчилсөн гинжийг цэвэрлэж болно. Windows-д хуваалцах функц хоёр алхмыг гүйцэтгэдэг боловч LAN адаптерийг тогтмол дэд сүлжээ рүү дахин хаяглаж, гарцыг нь устгадаг нь статик хаяглалт болон порт дамжуулалтыг эвддэг. Хуваалцалт бүтэлгүйтсэн гэж дүгнэхээс өмнө маршруутерын хост руу хүрэх замыг шинэ хаяг дээр нь сэргээгээрэй. Дараа нь хоёр дахь төхөөрөмж урсгал илгээж байх үед дүрмийн тоолуурууд өсөхийг ажиглаарай.

LAN-д дахин ачааллыг давах зам өг

Бусад төхөөрөмжид алсын префикс рүү маршрут хэрэгтэй бөгөөд үүнийг өгөх хоёр арга нөлөөний хэмжээгээр ялгаатай.

ip route add 10.8.0.0/24 via 192.168.1.20 dev eth0

Клиентийн анхдагч гарцыг хост руу чиглүүлэх нь түүний бүх урсгалыг хост-оор дамжуулна, үүнд орон нутгийн хэвлэлт болон файл хуваалцалт багтана, тиймээс хост унтахад хамааралгүй зүйлс зогсдог. Маршруутер дээр алсын префикст зориулсан тодорхой маршрут нэмэх нь илүү нарийн: туннелийн ард байгаа очих газрууд л холбогдсон машин руу явж, LAN-ийн бусад хэсэг ажилласаар байна. Дээрх дэд сүлжээнүүд жишээ тул өөрийн LAN болон туннелийн хүрээгээр солино уу. Ямар ч тохиолдолд туннель асаалттай, дараа нь унтраалттай үед хоёр дахь төхөөрөмжөөс туршиж үзээрэй.

Туннелийг буруутгахын өмнө MTU-г анхаар

Туннельнүүд ашигтай пакетын хэмжээг багасгадаг бөгөөд хоёр дахь төхөөрөмж үүнийг огт мэддэггүй. Том дамжуулалт болон TLS гар барилт гацдаг бол жижиг хүсэлтүүд амжилттай болдог.

ping -M do -s 1400 10.8.0.5

Хариулт нь тэр хэмжээ замд хуваагдалгүй гарч байгааг нотолно; хугацаа дуусах нь инкапсуляцийн ачаалал пакетыг туннелийн MTU-гаас хэтрүүлснийг илэрхийлнэ. Хуваалцах интерфэйс дээр MTU-г буулгах эсвэл дамжуулагч төхөөрөмж дээр сегментийн дээд хэмжээг хязгаарлаж, дараа нь мөн адил шалгалтыг давтана уу. Эхлээд мөн адил хэмжээг LAN талд туршиж үзээрэй, учир нь орон нутгийн алдаа туннель биш LAN-ыг заана. Ажиллаж буй хэмжээг тэмдэглэж аваарай, учир нь дараагийн үйлчилгээ үзүүлэгч эсвэл туннелийн өөрчлөлт үүнийг зөөж болно.

Нэг нэмэлт төхөөрөмжид хост-оос хуваалцах нь хангалттай. Гэр бүлд маршрутыг маршруутер дээр тавь. Зөөврийн компьютер тантай хамт явахад ч хандалт үргэлжлэх ёстой бол туннель өөрөө тусдаа гарцад хамаарна.