Hotspot Pi b'Pi-hole u VPN: agħti xogħol lil kull servizz

Telefon jingħaqad mal-hotspot tal-Pi, jieħu indirizz, u l-paġna xorta waħda ma taħdimx. Il-Pi qed iħaddem helper tal-hotspot, Pi-hole u client VPN, u kull wieħed jaħseb li jippossjedi parti mill-mogħdija. Ħafna minn dawn il-bini jfallu mhux għax komponent huwa miksur, iżda għax żewġ komponenti jagħmlu l-istess xogħol. Assenja sid wieħed għal kull funzjoni qabel ma taġġusta xi wieħed minnhom.

Assenja sid wieħed għal kull funzjoni

Hawn jgħoddu erba' funzjonijiet, u kull waħda teħtieġ eżattament sid wieħed. It-tabella t'hawn taħt issemmi l-funzjoni, sid li jista' jaħdem u x'jmur ħażin meta żewġ servizzi jitolbuha.

Is-sovrappożizzjoni normalment tasal pakkett wieħed kull darba. Il-helper tal-hotspot jinstalla l-istanza tiegħu stess ta' dnsmasq, Pi-hole jrid il-port 53, u l-client VPN iżid rotot. Kull pass jidher raġonevoli waħdu, u flimkien jipproduċu magna fejn it-tieni servizz li jibda jbiddel bil-kwiet l-imġiba tal-ewwel wieħed.

Ikteb is-sidien qabel ma tixgħel xi ħaġa oħra. Tabella qasira fin-noti tal-bini tipprevjeni li installazzjoni aktar tard tieħu funzjoni li diġà kellha sid.

Agħżel firxa waħda u żommha 'l bogħod mill-tunnel

Agħżel il-firxa tal-hotspot, l-indirizz tal-Pi fuqha, il-pool DHCP u r-resolver li jirċievu l-klijenti. Żomm dik il-firxa separata mil-LAN upstream u mill-firxa tat-tunnel VPN, għax subnets li jissovrapponu jbiddlu problema ta' routing fi proġett ta' traduzzjoni tal-indirizzi. Firxa li tissovrapponi mat-tunnel tagħmel il-Pi router aċċidentali bejn żewġ prefissi identiċi. Ikteb il-firxa u l-pool fil-konfigurazzjoni tal-hotspot minflok ma tħallihom għal valur default.

Jekk il-modalità shared tan-NetworkManager tippossjedi l-hotspot, iċċekkja l-konnessjoni effettiva qabel ma żżid server DHCP. Il-modalità shared tibda l-helpers tagħha u tixgħel il-forwarding, għalhekk diġà hija s-sid tal-pjan tal-indirizzi għal dik l-interface. Iż-żieda ta' tieni server għax ikun disponibbli toħloq offers konkorrenti minflok redundanza.

Iddeċiedi l-IPv6 b'mod deliberat. Ir-router advertisements u d-DHCPv6 ġejjin minn helper differenti minn dak tad-DHCPv4 f'ħafna setups, u li tħalli l-IPv6 mixgħul waqt li l-policy VPN tkopri biss IPv4 jagħti lill-klijenti mogħdija li tevita t-tunnel. Jew tippjana n-naħa IPv6 jew tiddiżattivaha fuq l-interface tal-hotspot b'raġuni miktuba.

Min tassew iwieġeb fuq il-port 53

Elenka kull proċess li qed jisma' fuq il-port 53 qabel ma tibdel konfigurazzjoni. Fuq Pi li jħaddem stub tar-resolver lokali, Pi-hole u helper tal-qsim, il-lista tas-semmiegħa hija l-unika mappa affidabbli ta' min iwieġeb għall-mistoqsijiet:

sudo ss -lunpt '( sport = :53 )'
ip -4 addr show
ip route

Il-gwida tal-interfaces ta' Pi-hole tispjega li modalità ta' riċezzjoni limitata għal interface waħda xorta tista' tuża socket wildcard u tarmi l-wasliet band'oħra. Dan mhux l-istess bħall-irbit biss mal-interfaces magħżula, li huwa l-arranġament maħsub meta servizz DNS ieħor irid jaqsam il-magna.

Normalment żewġ proċessi ma jistgħux jorbtu l-istess indirizz u port, għalkemm SO_REUSEPORT jista' jagħmel bind kondiviż jirnexxi; anke hekk, listener wildcard jista' jieħu wasliet maħsuba għas-servizz idjaq. Agħżel il-modalità dokumentata għar-rwol li trid u erġa' ibda s-servizzi fl-ordni maħsuba.

Żomm il-paġna tal-amministrazzjoni ta' Pi-hole 'l bogħod min-netwerk tal-hotspot. Il-klijenti għandhom bżonn resolver, mhux l-interface web jew l-API li tista' tbiddel il-konfigurazzjoni tar-resolver.

Żewġ legs DNS, policy waħda kull waħda

Query tal-klijent tivvjaġġa mit-telefon għall-Pi, u query separat jivvjaġġa mill-Pi għar-resolver upstream tiegħu. Regola ta' routing li taqbel mat-traffiku forwarded tal-hotspot ma tapplikax awtomatikament għat-tieni leg, għax il-Pi jiġġenera dak it-traffiku lokalment. Jekk il-VPN suppost iġorr id-DNS, il-mogħdija lokali teħtieġ policy tagħha stess.

Oqgħod attent għal loop. Li tipponta l-upstream ta' Pi-hole lejn indirizz li l-Pi stess iservi, direttament jew permezz ta' port-forward, jipproduċi queries li jduru sakemm jagħtu timeout. Agħtih upstream real jew forwarder kondizzjonali għad-dominji li ma jistax iwieġeb għalihom.

Iddeċiedi x'jiġri meta t-tunnel jaqa'. Li terġa' lura għar-resolver lokali jżomm il-browsing ħaj iżda jista' jnixxi ismijiet barra mill-VPN; li timblokka żżomm il-policy intatta u ddawwar l-outage fi żball viżibbli. Iż-żewġ għażliet huma difendibbli, iżda trid tagħżilhom minflok ma tirritornahom minn default.

Ipprova l-mogħdija u l-imġiba waqt l-outage

Ittestja f'saffi: il-klijent jieħu indirizz, il-klijent jirriżolvi isem permezz tal-Pi, il-Pi jirriżolvi permezz tal-upstream maħsub, u applikazzjoni ttemm talba. Ping li jirnexxi ma jgħid xejn dwar id-DNS, u lookup li jirnexxi ma jgħid xejn dwar il-forwarding.

dig @192.168.70.1 example.com
curl -sS -o /dev/null -w '%{http_code}\n' https://example.com/
ip -4 route get 1.1.1.1

Imbagħad waqqaf it-tunnel u erġa' għamilha. L-imġiba maħsuba għandha tidher fi ftit sekondi, mhux wara restart manwali ta' Pi-hole jew tas-servizz tal-hotspot. Iċċekkja s-setting tar-resolver tal-klijent waqt l-outage, għax resolver pubbliku sekondarju jibqa' jwieġeb anke meta l-policy kienet tistenna falliment.

Żomm sid wieħed għall-forwarding u n-NAT u vverifikah minn klijent, mhux mill-Pi stess. Talba li toħroġ mill-Pi b'suċċess xorta tista' tintrema fit-triq lura, u l-klijent huwa l-uniku post fejn il-mogħdija kollha tidher.