Del éin VPN-tilkopling med alle einingar på LAN-et ditt

Éin berbar PC held tunnelen, resten av huset vil ha same tilgang, og det første forsøket er å peike alt mot maskinen som er tilkopla. Det mislukkast av grunnar som ikkje har noko med VPN å gjere: mottakarverten må videresende pakken, skrive om kjelda og syte for at svar finn vegen tilbake. Manglar eitt av dei tre, held den tilkopla PC-en fram med å verke medan alle andre einingar får tidsavbrot. Løysinga er eit rutedesign, ikkje ei klientinnstilling.

Kvifor det mislukkast å peike einingar mot verten

Ein vert som tek imot ein pakke adressert til eit eksternt nettverk, blir ein ruter for det augeblikket, anten nokon har konfigurert han som det eller ikkje. Videresending er av som standard på Linux og på Windows med mindre ein funksjon slår henne på. Adresseomsetjing er viktig fordi den eksterne sida må vite kvar svara skal sendast, og ei privat LAN-adresse tyder ingenting for henne. Returruta er den tredje biten, og det er den folk gløymer når den første ping-en ser ut til å lukkast.

Diagnostiser i den rekkjefølgja i staden for å slå innstillingar av og på tilfeldig. Kvar manglande bit gir eit litt annleis symptom.

Slå på videresending og adresseomsetjing på verten

To endringar på den tilkopla verten dekkjer dei to første bitane: slå på IPv4-videresending og set om LAN-trafikken til tunellgrensesnittet.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Lagre sysctl-verdien i ei fil under /etc/sysctl.d, og sjekk masquerade-regelen på nytt etter omstart, sidan brannmur-frontendar kan tømme eigendefinerte kjeder. På Windows utfører delingsfunksjonen begge trinna, men ho adresserer òg LAN-adapteren på nytt til eit fast subnett og fjernar gatewayen, noko som øydelegg statisk adressering og port forwarding. Gjenopprett vegen til ruteren til verten på den nye adressa før du konkluderer med at delinga mislukkast. Sjå deretter at teljarane for regelen aukar medan ei anna eining sender trafikk.

Gi LAN-et ein veg som overlever omstart

Dei andre einingane treng ei rute til det eksterne prefikset, og dei to måtane å skaffe henne på skil seg i omfang.

ip route add 10.8.0.0/24 via 192.168.1.20 dev eth0

Å peike standardgatewayen til ein klient mot verten sender all trafikken hans gjennom verten, inkludert lokal utskrift og fildeling, slik at urelaterte ting stoppar når verten søv. Å leggje til ei spesifikk rute på ruteren for det eksterne prefikset er smalare: berre destinasjonar bak tunnelen går til den tilkopla maskinen, og resten av LAN-et held fram med å verke. Subnetta over er døme, så byt dei ut med dine eigne LAN- og tunnelområde. Uansett, test frå ei anna eining med tunnelen på og deretter av.

Fylg med på MTU før du gir tunnelen skulda

Tunnelar krympar den brukbare pakkestorleiken, og den andre eininga anar ingenting. Store overføringar og TLS-handshake stoppar medan små førespurnader lukkast.

ping -M do -s 1400 10.8.0.5

Eit svar beviser at den storleiken kryssar vegen ufragmentert; eit tidsavbrot tyder at overheaden frå innkapslinga pressa pakken forbi MTU-en til tunnelen. Senk MTU-en på delingsgrensesnittet eller avgrens maksimal segmentstorleik på videresendaren, og gjer deretter same testen på nytt. Test same storleik på LAN-sida først, fordi ein lokal feil peikar på LAN-et og ikkje på tunnelen. Noter storleiken som verkar, sidan ei seinare endring hjå leverandøren eller i tunnelen kan flytte han.

For éi ekstra eining er deling frå verten nok. For ein husstand set du ruta på ruteren. Når tilgangen må overleve at den berbare PC-en blir med deg, høyrer tunnelen sjølv heime på ein dedikert gateway.