Broet VPN-hotspot: hvilken standardrute bruker telefonen?
Pi-ens standardrute er ikke telefonens gateway. Skill de to beslutningene, hold uplink utenfor broen, og test lease før tunnelen.
Telefonen på den broede hotspoten din får adressen og gatewayen sin fra et eller annet sted, og det er ikke Pi-ens standardrute. Å endre Pi-ens standard endrer hvor Pi-en sender sin egen trafikk. Telefonen fortsetter å bruke gatewayen den fikk beskjed om, og når den gatewayen ligger på det fjerne LAN-et, krysser rammene dens bare broen. To forbrukere, to beslutninger. Å skille dem forklarer de fleste rapportene om en hotspot uten internett mens Pi-en selv er i orden.
To enheter, to forskjellige gatewaybeslutninger
Pi-en har sin egen IP-stakk og sin egen standardrute. Telefonen har sin egen IP-stakk og sin egen standardrute.
| Consumer | Who chooses its gateway | What carries the traffic |
|---|---|---|
| Phone on the bridged AP | The remote LAN router, delivered in its client configuration | An Ethernet frame toward that router crosses the AP and TAP bridge |
| Pi's encrypted connection | The travel uplink's route toward the VPN peer | The Pi sends its own outer transport packets over the underlay |
Den tabellen er hele modellen. Telefonens gateway er en adresse på det fjerne LAN-et, og rammene dens videresendes på lag 2 mot den ruteren. Pi-ens standardrute gjelder Pi-ens egen ytre transport, som må nå VPN-peer-en over reise-uplinken.
En bro videresender rammer, den ruter ikke pakker
En Linux-bro videresender Ethernet-rammer etter destinasjons-MAC, og det er alt den gjør mellom portene sine. Telefonens ramme adressert til den fjerne ruterens MAC svitsjes til TAP-porten og krysser tunnelen uten å røre Pi-ens rutetabell. Derfor kan en ødelagt standardrute på Pi-en la telefonen fortsatt virke, og derfor kan en korrekt ikke reparere en telefon som fikk feil gateway.
TAP bærer Ethernet-rammer og kan være en broport. TUN bærer IP-pakker og kan ikke. Hvis designet ditt erstattet den ene med den andre, er broen ikke en bro, og resten av dette gjelder ikke.
Bestem hvem som deler ut telefonens lease
DHCP-alternativ 3 er ruter-alternativet, og det forteller klienten hvilken gateway den skal bruke for subnettet sitt. Når det fjerne LAN-ets DHCP-server er den eneste utdeleren, får telefonen en fjern gateway, og designet er konsistent. Når noe annet på reisesiden svarer først, får telefonen en lokal gateway, internettrafikken går ut via reise-uplinken, og trafikken til det fjerne LAN-et har ingen vei i det hele tatt.
Kjør én utdeler for det kringkastingsdomenet, og noter hva den deler ut.
Pi-en er et særtilfelle selv når den tar en adresse fra samme lease. Bestem bevisst om den skal installere rutene leasen tilbyr, for en importert fjernstandard kan dra Pi-ens egen VPN-transport inn i tunnelen den prøver å holde i live. Med systemd-networkd er den beslutningen UseRoutes= under DHCP-delen; med dhclient er det routers-alternativet i forespørselslisten.
Hold uplinken utenfor det broede LAN-et
Grensesnittet som bærer Pi-ens ytre VPN-forbindelse må ikke bli en broport. Hvis det blir det, svitsjes den krypterte transporten inn i det utvidede LAN-et, og tunnelen ender opp med å bære sine egne ytre pakker, noe som feiler på en måte som ser ut som pakketap snarere enn en løkke. Hold også AP-evne og brostøtte eksplisitte. Et trådløst grensesnitt i station-modus kan vanligvis ikke være en broport, fordi 802.11-headeren ikke har plass til den andre MAC-adressen en bro trenger.
Definer det utvidede kringkastingsdomenet, én adresseplan og den rammefiltreringen du faktisk vil ha. Å tillate VPN-lytteren på Pi-en gir ikke hver broet klient tilgang til Pi-ens administrasjonstjenester. Det er separate regler, og å behandle dem som én er måten en hotspot stille blir en åpen dør.
Test de fire tingene hver for seg når det bryter
Når telefonen ikke når det fjerne LAN-et, skiller fire observasjoner årsakene. Kjør dem i denne rekkefølgen og stopp ved den første som feiler.
ip route show default
bridge link show
ip -4 neigh show dev br0
tcpdump -ni br0 arp or icmpStart med leasen: har telefonen en adresse og en gateway på det fjerne subnettet? Se deretter på broen, og bekreft at AP-porten og TAP-porten begge videresender. Les deretter nabo-tabellen, fordi en uoppklart oppføring for den fjerne ruteren betyr at rammer går ut og ingenting svarer. Se til slutt på rammene på broen mens telefonen pinger, noe som forteller deg om feilen i det hele tatt ligger under IP.
Noter hvilken enhet som eier hver standardrute når du er ferdig. Én linje dokumentasjon gjør lokal versus fjern utgang til en bevisst klientbeslutning, og broreferansen er verdt å ha ved siden av.