Il-klijenti tal-hotspot fuq Pi ma jilħqux il-LAN tad-dar permezz ta' VPN TUN

Klijenti tal-hotspot li jieħdu indirizz imma ma jistgħux jiftħu kondiviżjoni tad-dar jonqoshom rotta tar-ritorn, mhux pont. Segwi l-mogħdija TUN, is-sidien tal-prefiss u n-NAT.

Il-klijenti Wi-Fi u Ethernet lokali jingħaqdu mal-hotspot tal-Pi, jiġbru indirizz mill-firxa DHCP tiegħu u jgħabbu paġni tal-internet mingħajr ilment. L-istess klijenti mbagħad jispiċċaw il-ħin meta jiftħu kondiviżjoni tal-fajls jew interfaċċa web fuq il-LAN tad-dar, filwaqt li l-Pi nnifsu jilħaq dak il-LAN permezz tal-mina. Xejn fis-saff bla wajer mhu miksi. Li jonqos huwa kuntratt irrottpjat: il-prefiss tal-hotspot irid jinġieb fl-interfaċċa TUN, u xi ħaġa fuq in-naħa tad-dar trid tkun taf kif tibgħat it-tweġibiet lura hemm. Iż-żewġ nofsijiet iridu jkunu hemm qabel pakkett wieħed jista' jtemm il-vjaġġ 'l hemm u 'l hawn.

Tliet konnessjonijiet bi tliet xogħlijiet differenti

Pont Ethernet Linux jgħaddi l-frejms skont l-indirizz MAC tad-destinazzjoni. OpenVPN fil-modalità TUN iġorr pakketti IP u m'għandux saff MAC xejn, għalhekk iż-żieda ta' pont lokali qatt ma tirreġistra l-mina bħala port. Id-dokumentazzjoni tal-qalba dwar TUN/TAP tispjega dik il-qsim: apparat TAP jidher bħal interfaċċa Ethernet, apparat TUN le. Disinn li jgħaqqad żewġ ports lokali u mbagħad jirrotta huwa router, x'jgħidu l-ismijiet tal-interfaċċi.

Dik id-distinzjoni tiddetermina s-sjieda. Is-subnet tal-klijenti, il-gateway awtomatiku tagħhom u l-awtorità DHCP għal dik il-firxa jappartjenu għall-pjan lokali tal-Pi. Ix-xandiriet DHCP tad-dar ma jaqsmu l-ebda mina irrottpjata, u l-ebda setting tal-pont ma jbiddel dan; li tħares il-klijenti lejn server DHCP tad-dar huwa disinn tar-relay separat u intenzjonat bil-modi ta' falliment tiegħu stess.

Żomm il-modem barra mill-pont tal-klijenti wkoll. Konnessjoni PPP mhix apparat Ethernet b'tikketta oħra, u l-loġika ddokumentata tar-rotta awtomatika tal-pppd taħdem wara n-negozjar tal-IPCP u tirtira r-rotta tagħha meta dik il-link taqa'. L-ikkupjar ta' mudell DHCP u t-tibdil tal-isem ta' kull usb0 għal ppp0 ma jippruvax xejn dwar gateway, metrika jew ċiklu tal-ħajja.

Agħżel il-prefissi qabel ma teditja kwalunkwe konfigurazzjoni

Il-prefissi li jikkoinċidu jaħtfu aktar filgħaxijiet mill-regoli tal-firewall, għax il-koinċidenza tibgħat it-tiftix tar-rotta lill-interfaċċa ħażina anki meta l-mina tkun b'saħħitha. Ibda billi telenka dak li diġà jeżisti fuq il-Pi, imbagħad aqra r-riżultat bħala erba' ġibjiet separati.

ip -4 addr show scope global
ip -4 route show table main
ip -4 route get 192.168.77.10

L-ewwel ġibja hija l-indirizz underlay li l-operatur ta lill-modem; irid jibqa' barra minn kull pjan li jħares lejn il-klijenti. It-tieni hija s-subnet tal-mina li għażel is-server, spiss /24 privata tiegħu stess. It-tielet hija l-pont tal-hotspot, u r-raba' huwa l-prefiss tad-dar li trid tilħaq. F'dan il-mixi l-hotspot jieħu 172.28.90.0/24 bil-pont fuq 172.28.90.1, u l-LAN tas-servizzi tad-dar iżomm 192.168.77.0/24, li jevita l-awtomatiċi 192.168.1.0/24 u 10.0.0.0/24 li jiġu mar-router tal-konsumatur u l-firxa tal-operatur 100.64.0.0/10.

Ħabbar l-indirizz tal-pont bħala gateway fil-firxa DHCP tal-hotspot u xejn aktar. Qatt tagħti lill-klijenti tal-hotspot indirizz tad-dar bħala gateway; m'għandhomx mogħdija fil-livell tal-link għal dak is-segment.

Irrotta kull direzzjoni fuq in-naħa li tipposjediha

Il-Pi jeħtieġ rotta għall-prefiss tad-dar permezz tal-mina. Servers fil-modalità server normalment imbuttaw dik ir-rotta, għalhekk l-ewwel ikkonferma li l-forwarding mixgħul u li l-qalba ssolvi indirizz tad-dar minn tun0.

sysctl net.ipv4.ip_forward
ip route add 192.168.77.0/24 dev tun0
ip -4 route get 192.168.77.10

Jekk ip route get għadu jirrapporta l-interfaċċa underlay, waqaf hemm; xejn aktar 'il quddiem fil-mogħdija ma jista' jsewwi tiftix ħażin.

L-apparati tad-dar m'għandhomx rotta lejn 172.28.90.0/24, għalhekk it-tweġibiet tagħhom isegwu l-gateway awtomatiku u jmutu fir-router. Jeżistu żewġ tiswijiet appoġġjati. Jew żid rotta statika fir-router tad-dar li tħares il-prefiss tal-hotspot lejn l-indirizz LAN tas-server VPN, jew, meta s-server innifsu huwa l-gateway, irreġistra l-prefiss tal-klijent fit-tabella tal-irrotar tas-server stess. Fil-modalità b'ħafna klijenti tal-OpenVPN id-direttorju speċifiku għall-klijent iġorr dik l-assoċjazzjoni: fajl imsemmi wara l-isem komuni taċ-ċertifikat tal-klijent, li fih iroute 172.28.90.0 255.255.255.0 flimkien mal-linja route li taqbel li tinstallah fil-qalba tas-server. Rotta tal-qalba mtella' fuq is-server mhix l-istess dikjarazzjoni bħal tgħid lis-server liema klijent jipposjedi l-prefiss.

Tħarrikx is-servizz DHCP tan-netwerk tad-dar għas-server VPN biex dan jaħdem. Is-sostituzzjoni tal-gateway awtomatiku għal dar sħiħa hija bidla ferm akbar milli żżid rotta tar-ritorn privata waħda, u tġib DNS, riservi tal-indirizzi u kull apparat li jinjora l-kirja l-ġdida fil-falliment.

Iftaħ il-forwarding mingħajr ma taqta' u tisma' dwar il-firewall

Il-forwarding mixgħul ma jfissirx li l-pakkett jitħalla jgħaddi. It-traffiku mill-pont għall-mina xorta jolqot ir-regoli tal-filtru, u politika tal-forwarding awtomatika drop tarmi t-traffiku tal-hotspot waqt li t-traffiku tal-Pi stess ikompli jaħdem, li jipproduċi eżattament is-sintomu maqsum hawn fuq.

iptables -S FORWARD
iptables -t nat -S POSTROUTING
nft list ruleset

Fittex regola ta' aċċettazzjoni minn br0 għal tun0 u d-direzzjoni tat-tweġiba li taqbel, u regola postrouting li tista' terġa' tikteb is-sors. Jekk il-politika tal-katina hija drop u l-ebda regola ma taqbel, żid l-aċċettazzjonijiet dojoq u erġa' pprova minflok ma ddawwar il-politika għal accept.

It-traduzzjoni hija għażla ta' politika, mhux rekwiżit. In-NAT tas-sors lejn il-LAN tad-dar jagħmel kull klijent tal-hotspot jidher bħall-indirizz tal-mina tal-Pi, li jitlef l-attribuzzjoni għal kull klijent fil-logs tad-dar u jkisser servizzi li jistennew is-sors oriġinali. L-irrotar mingħajr NAT iżomm l-indirizzi tal-klijenti viżibbli imma jiddependi mir-rotta tar-ritorn hawn fuq. Agħżel waħda u ttratta DNS u IPv6 bl-istess mod, għax mogħdija IPv4 li taħdem ħdejn mogħdija IPv6 miksura xorta tinqara bħala nofs miksura fil-browser.

Ivverifika l-vjaġġ 'l hemm u 'l hawn, imbagħad kissru apposta

Ittestja minn klijent tal-hotspot, qatt mill-Pi, għax it-traffiku tal-Pi stess jevita kemm il-mogħdija 'l quddiem kif ukoll dik tar-ritorn. Osserva ż-żewġ interfaċċi waqt li klijent wieħed jipprova jilħaq servizz tad-dar.

tcpdump -ni br0 host 192.168.77.10
tcpdump -ni tun0 host 192.168.77.10
ping -c 3 192.168.77.10

Aqra ż-żewġ qabdiet flimkien. Talbiet fuq br0 li qatt ma jidhru fuq tun0 ifissru li l-Pi mhux qed jgħaddi 'l quddiem jew ir-rotta tindika band'oħra. Talbiet fuq tun0 mingħajr tweġibiet ifissru li n-naħa tad-dar m'għandhiex rotta tar-ritorn jew is-server iffilterja l-pakkett. Tweġibiet fuq tun0 li qatt ma jerġgħu jidhru fuq br0 ifissru li r-regola tal-filtru maqluba hija nieqsa, fejn il-mina tidher perfetta u l-klijent xorta ma jara xejn.

Imbagħad kisser il-mogħdija apposta. Niżżel il-konnessjoni tal-modem u erġa' għolliha u erġa' mexxi l-kontrolli tar-rotta u tal-qbid; rotta li tgħix il-mina imma tispiċċa f'daqqa meta terġa' tinqabad tappartjeni għall-profil tal-konnessjoni, mhux għal ordni ta' darba. Ikkonferma li t-trasport tal-mina xorta joħroġ mill-underlay u mhux minn ġo fih innifsu, il-linja klassika meta rotta awtomatika mbuttata tiġi aċċettata mingħajr rotta tal-host lejn il-pari.

Aċċetta d-disinn biss meta klijent tal-hotspot jista' jissolvi isem tad-dar, jiftaħ servizz TCP u jżomm sessjoni ħajja matul konnessjoni mill-ġdid waħda tal-modem. Jekk applikazzjoni tassew teħtieġ skoperta fil-livell Ethernet fuq is-segment tad-dar, agħżel disinn Layer 2 appoġġjat minflok ma tiddeskrivi l-pont lokali bħala pontat u tistenna li jidher ix-xandir.

Artikli relatati