PiVPN चा हँडशेक चालतो, पाने अडकतात: MASQUERADE तपासा

तुमचा फोन टनेलला जोडलेले दाखवतो, क्लायंट खाजगी पत्ता सांगतो, आणि तरीही पहिले पान लोड होताना मध्येच अडकून राहते। हे संयोजन बहुतेक लोकांना सिफर सेटिंग्ज आणि प्रोसेसरच्या तापमानाकडे पाठवते, जिथे खरे तर काहीही बिघडलेले नसते। टनेल वर आली, म्हणजे वाटाघाटी संपली; जे अयशस्वी झाले ते पुढचे पाऊल, जेव्हा सर्व्हर क्लायंटची पॅकेट इंटरनेटला सुपूर्द करण्याचा प्रयत्न करतो। ती पॅकेट ज्या मार्गाने जातात तोच मार्ग चाला, आणि विसंगती सहसा NAT तक्त्याच्या एका ओळीत दिसते।

क्लायंट कशापर्यंत पोहोचू शकतो आणि कशापर्यंत नाही यापासून सुरुवात करा

जोडलेल्या क्लायंटवरून, सार्वजनिक इंटरनेटवर असलेले पान लोड करा आणि ते लगेच अयशस्वी होते की मध्येच अडकते ते नोंदवा। नंतर VPN सर्व्हरच्याच खाजगी पत्त्यावरील संसाधन उघडा आणि दोन्ही निकालांची तुलना करा।

सार्वजनिक साइट्सची वेळ संपत असताना ping ला उत्तर देणारा टनेल पत्ता हा फॉरवर्डिंग किंवा भाषांतराच्या समस्येचा संकेत आहे, तुटलेल्या हँडशेकचा नाही। क्लायंटचे स्वतःचे स्थिती पॅनल हे दोन्ही वेगळे करू शकत नाही, कारण नियंत्रण चॅनेल वर आहे एवढेच त्याला माहीत असते। सर्व्हरवर टनेल इंटरफेस याने तपासा: ip -br addr show tun0 आणि क्लायंटला दिलेला पत्ता तुम्ही कॉन्फिगर केलेल्या पूलमध्ये येतो याची खात्री करा। पूल आणि क्लायंट पत्ता जुळत नसल्यास तो आधी दुरुस्त करा, कारण खालील प्रत्येक नियम पूलशी जुळतो।

पुढे, सार्वजनिक पत्त्यापर्यंत पोहोचायला सर्व्हर कोणता इंटरफेस वापरेल ते विचारा। ip route get 203.0.113.9 त्याच्या पहिल्या ओळीत निवडलेले उपकरण आणि स्रोत छापते। त्या उपकरणाचे नाव लिहून ठेवा, कारण NAT नियमात हेच मूल्य असले पाहिजे।

पॅकेट बाहेर पडतात की नाही हे ठरवणारा नियम वाचा

MASQUERADE पॅकेट फक्त तेव्हाच पुन्हा लिहितो जेव्हा पॅकेट नियमात नमूद केलेल्या इंटरफेसातून बाहेर पडते। वायर असलेल्या उपकरणापुरता मर्यादित नियम Wi-Fi मधून बाहेर जाणाऱ्या रहदारीसाठी काहीही करत नाही, आणि पॅकेट वरच्या राउटरपर्यंत आपला खाजगी स्रोत पत्ता टिकवून ठेवते। त्या राउटरकडे तुमच्या टनेल पूलकडे परतण्याचा मार्ग नाही, म्हणून तो उत्तर फेकून देतो, आणि क्लायंटला उघडून नंतर मरणारे जोडणी दिसते। पहिल्या उत्तराची गरज भासण्यापूर्वी पानाचा किती भाग येतो त्यानुसार लक्षण वाढते।

जिवंत तक्ता सूचीबद्ध करा आणि फक्त MASQUERADE शब्द शोधण्याऐवजी आउट-इंटरफेस स्तंभ वाचा। स्वरूपित यादीपेक्षा जोडणीच्या स्वरूपातील आउटपुटची तुलना करणे सोपे आहे:

ip -br addr show tun0
ip route get 203.0.113.9
sudo iptables -t nat -S POSTROUTING

एकेकाळी Ethernet आणि आता Wi-Fi वापरणाऱ्या Raspberry Pi वर, जुने नाव जवळजवळ नेहमीच संपूर्ण कथा असते। इंस्टॉलरने सेटअपच्या वेळी कोणते उपकरण होते ते नोंदवले, आणि साठवलेला नियमसंच प्रत्येक बूटला ते पुन्हा चालवतो। दुसरे काही बदलण्यापूर्वी रूट शोधातून मिळालेल्या उपकरणाची नियमातील उपकरणाशी तुलना करा। ती जुळल्यास इंटरफेस तुमची समस्या नाही आणि तुम्ही शेवटच्या भागातील काउंटरकडे जावे। ती वेगळी असल्यास, उपाय म्हणजे स्थिरता फाइलमधील एका शब्दाचा बदल।

साठवलेला नियमसंच दुरुस्त करा, फक्त चालू असलेला नाही

फक्त जिवंत तक्ता संपादित करणे पुढील रीबूटपर्यंत टिकते, आणि ते समस्या सुटली आहे असे तुम्हाला पटवण्यासाठी नेमके पुरते आहे। बूटला परत येणारे नियम अशा फाइलमध्ये असतात जी फायरवॉल स्थिरता पॅकेज पुन्हा लोड करते। Debian आधारित Pi इमेजमध्ये ती फाइल सहसा /etc/iptables/rules.v4।

त्याला स्पर्श करण्यापूर्वी प्रत घ्या, नंतर MASQUERADE ओळीतील आउट-इंटरफेस तुम्ही नोंदवलेल्या उपकरणाने बदला, उदाहरणार्थ -o wlan0 ऐवजी -o eth0। तुमचा क्लायंट पूल बदलला नसेल तर स्रोत श्रेणी जशी आहे तशी ठेवा। पुन्हा लोड करा आणि नियम आता योग्य उपकरण सांगतो याची खात्री करा:

sudo cp /etc/iptables/rules.v4 /root/rules.v4.bak
sudo iptables-restore < /etc/iptables/rules.v4
sudo iptables -t nat -L POSTROUTING -v -n

शेजारील दोन सेटिंग विसरणे सोपे आहे। sysctl net.ipv4.ip_forward ने 1 नोंदवले पाहिजे, आणि वरच्या राउटरने खाजगी स्रोत पत्ते स्वतः गाळू नयेत।

नियम कार्यान्वित होतो हे सिद्ध करा, नंतर अजून काय हळू आहे ते वेगळे करा

नियम जुळला याचा एकमेव प्रामाणिक पुरावा काउंटर आहेत। तपशीलवार यादी चालवा, क्लायंटवर डाउनलोड सुरू करा आणि पुन्हा चालवा। तुमच्या नियमाजवळील पॅकेट आणि बाइट स्तंभ वाढले पाहिजेत, आणि शून्यावर राहणारा नियम अजूनही जुळत नाही। काउंटर हलत असूनही पाने अयशस्वी होत राहिल्यास, स्रोत श्रेणीची प्रत्यक्ष पूलशी याने तुलना करा grep -n "^server " /etc/openvpn/server.conf। ते हलत असतील आणि पाने लोड होत असतील पण थ्रूपुट खराब असेल, तर भाषांतर झाले आहे आणि उर्वरित समस्या इतरत्र आहे।

एकाच क्लायंटवरून दोन हस्तांतरणांची तुलना करा, एक स्थानिक नेटवर्कवरील होस्टकडे आणि दुसरे टनेलमधून त्याच होस्टकडे। दोन्हीत हळू असेल तर ते VPN नाही तर Pi चा वरचा दुवा किंवा Wi-Fi जोडणी दर्शवते। फक्त टनेलमधून हळू असेल तर ते MTU आणि पुनःप्रेषण दर्शवते, जी तुम्ही याने तपासू शकता ip -s link show tun0 कोणतेही क्रिप्टो सेटिंग बदलण्यापूर्वी।

प्रयोग रद्द करण्यासाठी प्रत पुनर्संचयित करा आणि पुन्हा लोड करा, नंतर मूळ नियम आणि त्याचे काउंटर परत आले याची खात्री करा। सर्व्हर नोट्समध्ये इग्रेस उपकरण आणि पुन्हा लोड करण्याची आज्ञा लिहा, कारण पुढील अपलिंक बदल त्याच विसंगतीला पुन्हा शोधेल। चुकीचे उपकरण सांगणारा नियम रहदारीला त्याची गरज होईपर्यंत अदृश्य राहतो।