VPN Pi b'ħafna routers: poġġi kull rotta fuq l-apparat li jiddeċiedi
Router downstream iżid it-tieni subnet tal-klijent, u kull wieħed mill-erba' apparati għandu deċiżjoni waħda. Poġġi r-rotot, iċċekkja s-sors, imbagħad ittestja minn klijent veru.
It-tqegħid ta' kaxxa Wi-Fi wara l-Pi jbiddel deċiżjoni waħda ta' routing f'erbgħa, u l-pjan jinkiser meta l-erbgħa jittieħdu kollha fuq apparat wieħed. L-ewwel mistoqsija mhix liema rotta żżid. Hija jekk il-kaxxa l-ġdida tagħmilx pont jew tirruttja, għax dak it-tweġiba tiddeċiedi kemm hemm subnets u liema apparati għandhom jitgħallmu dwarhom. Agħżel l-ewwel il-mudell tal-konnessjoni; kull rotta ġejja minnu.
Pont jew routing: l-għażla li tistabbilixxi l-għadd
Pont ipoġġi l-klijenti l-ġodda fuq l-istess subnet li l-Pi diġà jaqdi. Subnet wieħed, awtorità DHCP waħda u l-ebda għoti biex tirruttja. Dan huwa l-arranġament l-aktar sempliċi u dak it-tajjeb meta network tal-klijent separat qatt ma kien rekwiżit. Konnessjoni ruttjata hija disinn differenti: il-kaxxa żżomm is-subnet tagħha, u dak il-prefiss irid jinġarr kull fejn tmur it-traffiku.
Il-bqija tal-pjan iżomm ir-router downstream u jippreserva l-indirizzi tas-sors tal-klijenti. Il-mira hija network VPN privat wieħed, mhux ħruġ sħiħ tal-internet. Ikteb il-mudell qabel l-indirizzi, għax il-lista hawn taħt hija biss eżempju ta' konnessjoni ruttjata.
client subnet 10.41.0.0/24
client gateway 10.41.0.1
router-to-Pi link 192.168.71.2
Pi on that link 192.168.71.1
private target 10.72.9.0/24Min jiddeċiedi xiex
| Decision owner | Entry that encodes the decision | Failure when the entry is missing |
|---|---|---|
| Pi VPN host | Return route for 10.41.0.0/24 via 192.168.71.2, and a tunnel route for 10.72.9.0/24 | Replies to downstream clients die at the Pi |
| Owner of the remote network | A path for 10.41.0.0/24 over the permitted tunnel | Replies stop at the first unaware hop |
| LAN router behind the Pi | Specific route for 10.72.9.0/24 via 192.168.71.1, or a suitable default | Clients never send private traffic to the Pi |
| Client machine | Default via 10.41.0.1, or a specific entry for 10.72.9.0/24 | The private network is unreachable from the client |
Kull apparat jieħu deċiżjoni waħda, u ħadd ma jista' jieħu dik ta' ieħor minfloku. Il-Pi għandu bżonn żewġ entrati, mhux waħda, u t-triq lura hija dik li n-nies jinsiew. It-traffiku mgħoddi jasal b'mod korrett għan-network privat u mbagħad imut fit-triq lura, għax il-Pi m'għandu l-ebda idea fejn jgħix 10.41.0.0/24. Dan jidher bħala problema tal-firewall u fil-verità hija rotta nieqsa.
In-naħa remota wkoll għandha bżonn ir-rotta tagħha. Jekk is-servizz fit-tarf remot ma jafx li 10.41.0.0/24 jista' jintlaħaq mill-mina tiegħek, it-tweġibiet jieqfu fl-ewwel hop li m'għandux tweġiba. Żid iż-żewġ direzzjonijiet qabel ma taqra l-filtri tal-pakketti.
Il-hops li jmiss ġejjin mill-konnessjoni
Il-hop li jmiss irid ikun indirizz fuq network li l-apparat jista' verament jasal għalih. L-indirizz pubbliku tal-pari VPN mhuwiex il-hop li jmiss għal subnet privat, u n-network tas-servizz remot mhuwiex hop li jmiss xejn. Rotta lejn gateway li ma jintlaħaqx tidher korretta f'lista u twaqqa' kull pakkett. Iċċekkja li l-gateway iwieġeb qabel ma tagħti l-ħtija lid-destinazzjoni.
Żomm il-pari VPN ta' barra tal-Pi jintlaħaq permezz tar-rotta tal-qiegħ tiegħu stess. Dik l-entrata hija separata mir-rotot tal-payload, u t-taħlita tagħhom tagħti mina li ma tistax terġa' tiġi stabbilita wara bidla fil-mogħdija.
Id-dokumentazzjoni dwar rotot statiċi tagħmel id-distinzjoni bejn destinazzjoni u gateway ċara, għalkemm kull pjattaforma ssemmi l-menus tagħha b'mod differenti. Aqra d-dokumentazzjoni għall-apparat quddiemek minflok ma tikkopja l-iskrin ta' bejjiegħ ieħor. Il-kmandi hawn taħt juru l-forma tal-entrati fuq Linux.
# on the Pi
ip route add 10.41.0.0/24 via 192.168.71.2
ip route add 10.72.9.0/24 dev tun0
# on the downstream router
ip route add 10.72.9.0/24 via 192.168.71.1X'jagħmel it-traduzzjoni lis-sors
Jekk ir-router downstream diġà jittraduċi l-klijenti tiegħu għall-indirizz tat-transitu, il-Pi jara sors tradott wieħed minflok l-indirizz proprju ta' kull klijent. Dan huwa disinn differenti minn dak li jippreserva s-sors hawn fuq. Ibiddel il-politika bbażata fuq is-sors, ir-reġistrazzjoni u liema naħa tista' tibda konnessjonijiet. Iż-żewġ disinni jaħdmu; iwieġbu mistoqsijiet differenti.
Meta servizz VPN upstream jirrifjuta li jirruttja l-prefiss tal-klijent lura, traduzzjoni dejqa fl-egress tal-mina tal-Pi tista' tkun soluzzjoni leġittima. Mhuwiex prova li r-rotta nieqsa kienet żejda. Irreġistra liema indirizz in-network remot verament jara u liema triq lura tirriżulta.
L-għażla tar-rotta, il-permess tal-għoti 'l quddiem u t-traduzzjoni tas-sors jibqgħu tliet xogħlijiet separati. Li tħott katina NAT kondiviża jew tippermetti kull interface għax jaħdem klijent bil-wajer wieħed huwa kif test li jaħdem isir forwarder miftuħ.
Ipprova dan minn magna tal-klijent
Ibgħat talba minn magna fuq il-LAN downstream, imbagħad segwi s-sors tagħha 'l barra u lura. Ping maħruġ mill-Pi qatt ma jeżerċita r-rotta lura downstream, għalhekk ping li jirnexxi jipprova inqas milli jidher. Żid it-tieni test minn klijent bil-wajer fuq il-LAN tal-Pi stess sabiex iż-żewġ mogħdijiet ikunu jistgħu jitqabblu. Errepeti t-tnejn wara li terġa' tibda xi apparat.
Rotot miżjuda bl-idejn u traduzzjonijiet li qatt ma ġew salvati jisparixxu flimkien. Imbagħad il-par jidher bħala ħsara ġdida minflok xogħol mhux komplut.
Issejvja l-mudell tal-konnessjoni mar-rotot, is-servizz privat permess u kull traduzzjoni f'nota waħda. Din in-nota hija dik li tħalli lill-persuna li jmiss ma tittrattax it-tqegħid bla wajer bħala kwistjoni ta' politika tar-routing.