Gateway VPN fuq Raspberry Pi: karta tan-netwerk waħda jew port tal-klijent iddedikat
Port wieħed tal-Pi jista’ jservi klijenti magħżula, jew it-tieni port jista’ jagħlaq l-apparati ġewwa. Agħżel it-tqassim skont l-iżolament, il-politika tal-fallback u min għandu d-DNS.
Għandek Pi wieħed, profil VPN tal-ħruġ li jaħdem, u żewġ apparati li għandhom jilħqu l-internet permezz tiegħu. Il-mistoqsija li tiddeċiedi l-bini kollu mhijiex liema gwida timxi magħha, iżda kemm għandek bżonn iżolament. Port wieħed iħalli lill-Pi joqgħod ħdejn dawk l-apparati fuq il-LAN tar-router u jaġixxi bħala gateway żejjed; it-tieni port iħallik tpoġġihom fuq segment fejn il-Pi huwa l-unika triq ’il barra. Kollox wara dik l-għażla — DHCP, il-firxa tal-firewall, id-DNS, il-każ tal-qtugħ — joħroġ minnha.
F’xiex verament jitqabblu t-tqassimiet tnejn
Iż-żewġ disinji jirrutjaw. Id-differenza hi min ieħor qiegħed fuq il-kejbil u x’jiġri meta l-politika tiegħek tkun ħażina.
| Layout A: Pi on the ISP LAN | Layout B: dedicated client port | |
|---|---|---|
| Cabling | One Ethernet port, existing switch port | Two interfaces: uplink plus a separate LAN port |
| Can a client bypass the Pi? | Yes, by using the ISP router as its gateway | No, unless the device has another radio or link |
| Who hands out addresses | The ISP router, with a per-client setting or a DHCP option | The Pi, on its own LAN interface only |
| Blast radius of a mistake | Any LAN host, if a rule is too broad | The attached segment |
| Good fit for | One laptop, a console, a temporary test client | Appliances, always-on boxes, untrusted devices |
L-iżolament huwa l-assi veru. It-tqassim A huwa ta’ parir: apparat li jinjora l-gateway mogħti mid-DHCP u jagħżel ir-router xorta jaħdem, iżda mingħajr encryption. It-tqassim B jiġi infurzat bit-topoloġija, għax m’hemmx qabża oħra li jmiss x’jintgħażel.
Tqassim A: il-Pi bħala gateway żejjed fuq il-LAN eżistenti
Ejja ngħidu li r-router tal-ISP huwa 192.168.50.1, il-Pi huwa 192.168.50.2, u l-klijenti magħżula jindikaw lejn il-Pi. L-importanti huwa li żewġ flussi differenti ta’ pakketti jaqsmu kejbil wieħed. Il-pakkett intern tal-klijent jasal għand il-Pi u jrid joħroġ mit-tunnel; il-pakkett encrypted tal-Pi stess lejn il-peer tal-VPN irid joħroġ mill-istess kejbil lejn ir-router. Dawn jivvjaġġaw f’direzzjonijiet opposti fuq l-istess interface u jeħtieġu trattament differenti.
Agħti lill-Pi l-indirizz tiegħu permezz tal-network manager installat, mhux b’riċetta qadima ta’ fajl tal-interface li tiġġieled miegħu għall-apparat. Imbagħad issettja l-klijenti: gateway statiku fuq apparat wieħed, jew riżerva DHCP li tagħti 192.168.50.2 bħala router. Tbiddilx il-firxa kollha tad-DHCP tar-router għal żewġ apparati, u tassumix li l-klijent jirrispetta l-għażla — ivverifika.
Id-dgħufija hija strutturali, mhux tiswija. Kull klijent fuq dak is-segment jista’ jindika lejn 192.168.50.1 u joħroġ fil-miftuħ, u apparat b’tieni interface jew b’radju ċellulari jħalli triq l-infurzar tiegħek għal kollox. Jekk dik is-sentenza mhijiex aċċettabbli għall-apparat inkwistjoni, diġà għandek it-tweġiba: uża t-tqassim B.
Tqassim B: port iddedikat jagħlaq l-apparati ġewwa
Hawnhekk il-Pi jżomm 192.168.50.2 fuq il-link ’il fuq bil-gateway 192.168.50.1, u jieħu 10.20.0.1/24 fuq it-tieni interface għall-apparati mqabbda. Issa l-Pi huwa router b’żewġ netwerks, u s-segment imqabbad għandu eżattament ħruġ wieħed.
Iċċekkja l-firxa kontra kollox ieħor qabel ma timpenja ruħek: is-subnet tat-tunnel innifsu, prefissi oħra bejn is-siti u kull ma jista’ jintlaħaq permezz tal-VPN. 10.20.0.0/24 li taħbat ma’ LAN fil-bogħod tagħti dak ir-riżultat nofsu jaħdem li jieħu lejla biex tiġi djanjostikata. Jekk it-tieni port huwa adapter USB, ikkonferma li huwa appoġġjat u ffissa ismu fin-network manager biex tidwir mill-ġdid wara restart ma tċaqlaqx l-indirizz tal-LAN tiegħek.
Ħaddem is-semmiegħa tad-DHCP fuq dik l-interface biss. Server li jwieġeb fuq il-link ’il fuq jikkompeti mar-router tal-ISP u jagħti l-indirizzi tas-segment tiegħek lill-bqija tad-dar. Orbtu mal-interface tal-LAN, illimita lill-firxa ddikjarata, u żomm l-indirizz tal-Pi stess barra mill-pool.
Trażmissjoni, traduzzjoni u r-regola tal-għeluq fil-falliment
Erba’ affarijiet spiss jiġu deskritti bħala waħda u mhumiex. L-attivazzjoni tat-trażmissjoni (net.ipv4.ip_forward=1) tgħid biss lill-kernel li jista’ jċaqlaq pakketti bejn l-interfaces; waħedha ma tawtorizza xejn u ma tiggarantixxi ebda triq. L-għażla tal-ħruġ hija deċiżjoni ta’ routjar. L-awtorizzazzjoni tal-pakkett hija deċiżjoni ta’ politika fil-katina forward. Il-kitba mill-ġdid tas-sors tiegħu hija deċiżjoni postrouting. Bini li jagħmel biss l-ewwel jagħti Pi li bil-ferħ jgħaddi t-traffiku tal-klijenti ’l barra mill-link ’il fuq.
Illimita l-permess għas-sorsi li kellek f’moħħok u għall-interface li t-traffiku għandu juża, u inkludi t-triq lura u d-destinazzjonijiet li l-Pi jeħtieġ. Imbagħad ittraduċi fuq il-ħruġ tat-tunnel jekk il-fornitur ma jirruttjax il-prefiss tal-LAN tiegħek lura lejk. manwal tan-nftables jittratta t-trażmissjoni, il-ħruġ lokali u t-traduzzjoni tas-sors bħala operazzjonijiet separati, li huwa l-mudell mentali t-tajjeb hawn.
Il-falliment komuni huwa regola masquerade wiesgħa fuq l-interface fiżika. Imbagħad it-traffiku jasal għall-internet mit-triq tal-ISP waqt li, min-naħa tal-klijent, jidher eżattament bħal VPN li jaħdem. Dan ma jipprova xejn. Żomm it-traduzzjoni marbuta mal-ħruġ iddikjarat, u żomm ir-regoli tiegħek fil-firewall li l-host diġà juża, minflok ma żżid sett ta’ regoli kompetitur li jbattal katina postrouting maqsuma.
Imbagħad ittratta n-nuqqas tat-tunnel. Profil tal-klijent li jinstalla rotta default wiesgħa jfisser ukoll li, meta t-tunnel jaqa’, id-default ordinarju jista’ jerġa’ lura u t-traffiku tal-klijent jerġa’ lura bil-kwiet għal-link ’il fuq. Fejn ir-ritorn għal test ċar mhuwiex aċċettabbli, il-politika forward trid tiċħad b’mod espliċitu t-traffiku mill-klijent għal-link ’il fuq, fl-istat fejn ir-rotta tal-VPN tkun marret. Ikteb dan bħala regola ta’ rifjut, mhux bħala suppożizzjoni. It-trasport encrypted tal-Pi stess lejn il-peer tal-VPN huwa fluss local-output separat u għandu jibqa’ permess, inkella t-tunnel qatt ma jista’ jerġa’ lura.
Id-DNS u l-IPv6 jeħtieġu t-tweġiba tagħhom stess
Jekk il-klijenti jużaw il-Pi bħala resolver, huma jilħqu semmiegħa lokali u l-Pi jibda mistoqsija ġdida. Dik il-mistoqsija ’l fuq issegwi r-rotta tal-Pi stess, mhux ir-regola forward li ktibt għall-klijenti, għalhekk triq tal-klijent biss mit-tunnel flimkien ma’ resolver li joħroġ direttament hija tnixxija mingħajr ebda messaġġ ta’ żball. Iddeċiedi bil-ħsieb: resolver li jintlaħaq mit-tunnel, jew wieħed lokali li taċċetta bħala dirett, u qabbel il-politika tal-ħruġ tal-Pi stess ma’ dik id-deċiżjoni.
L-IPv6 mill-ġdid każ separat. Regola forward għall-IPv4 ma tillimitax xejn dwar l-IPv6, u t-tħabbir tar-router fuq il-link ’il fuq jista’ jagħti lill-Pi, u permezz tiegħu lis-segment imqabbad, tieni default li jgħaddi minn ħdejn il-politika tiegħek. Jew agħti lill-IPv6 triq protetta tiegħu bl-istess prinċipju, jew illimita b’mod espliċitu fuq is-segment tal-klijenti u għid hekk.
Ittestja l-fruntiera qabel ma tafdaha
Aċċetta d-disinn biss wara erba’ verifiki separati, għax it-test wieħed li jġibek fit-tentazzjoni — tiftaħ browser fuq klijent wieħed — jgħaddi f’bosta stati miksura.
Ikkonferma li klijent wieħed veru jasal għall-internet mit-tunnel, imbagħad ikkonferma li l-istess klijent ma jistax jasal għall-internet bit-tunnel ’l isfel. Ikkonferma li r-riżoluzzjoni tad-DNS taħdem u li l-mistoqsija toħroġ fejn kellek f’moħħok. Ikkonferma li t-trasport tal-Pi stess għadu jaħdem wara restart tat-tunnel, u li l-irkupru ma jeħtieġx restart tal-magna. Fl-aħħar, iċċekkja apparat li ma għażiltx: fit-tqassim A għandu jkompli jaħdem normalment, u fit-tqassim B m’għandux jeżisti xejn f’dak is-segment.
- Żewġ ports u regola ta’ rifjut jagħtu infurzar; port wieħed u għażla DHCP jagħtu parir.
- It-traduzzjoni fuq l-interface ħażina tidher bħal suċċess u mhijiex.
- It-traffiku tal-Pi stess, id-DNS u l-IPv6 kull wieħed jeħtieġ deċiżjoni, mhux inferenza.