Hotspot VPN z mostem: której trasy domyślnej używa telefon?
Trasa domyślna Pi nie jest bramą telefonu. Rozdziel te dwie decyzje, trzymaj uplink poza mostem i przetestuj dzierżawę przed tunelem.
Telefon w Twoim hotspocie z mostem otrzymuje adres i bramę skądś, i nie jest to trasa domyślna Pi. Zmiana trasy domyślnej Pi zmienia, dokąd Pi wysyła własny ruch. Telefon nadal korzysta z bramy, którą mu podano, a gdy ta brama znajduje się w zdalnej sieci LAN, jego ramki po prostu przechodzą przez most. Dwóch konsumentów, dwie decyzje. Rozdzielenie ich wyjaśnia większość zgłoszeń hotspotu bez internetu, gdy sam Pi działa poprawnie.
Dwa urządzenia, dwie różne decyzje o bramie
Pi ma własny stos IP i własną trasę domyślną. Telefon ma własny stos IP i własną trasę domyślną.
| Consumer | Who chooses its gateway | What carries the traffic |
|---|---|---|
| Phone on the bridged AP | The remote LAN router, delivered in its client configuration | An Ethernet frame toward that router crosses the AP and TAP bridge |
| Pi's encrypted connection | The travel uplink's route toward the VPN peer | The Pi sends its own outer transport packets over the underlay |
Ta tabela to cały model. Brama telefonu to adres w zdalnej sieci LAN, a jego ramki są przekazywane w warstwie 2 do tego routera. Trasa domyślna Pi dotyczy jego własnego transportu zewnętrznego, który musi dotrzeć do peera VPN przez uplink podróżny.
Most przekazuje ramki, nie routuje pakietów
Most Linux przekazuje ramki Ethernet według docelowego MAC i to wszystko, co robi między swoimi portami. Ramka telefonu zaadresowana do MAC zdalnego routera jest przełączana na port TAP i przechodzi przez tunel bez dotykania tablicy routingu Pi. Dlatego uszkodzona trasa domyślna Pi może pozostawić telefon działający, i dlatego poprawna nie naprawi telefonu, któremu podano złą bramę.
TAP przenosi ramki Ethernet i może być portem mostu. TUN przenosi pakiety IP i nie może. Jeśli Twój projekt zastąpił jedno drugim, most nie jest mostem, a reszta tego nie obowiązuje.
Zdecyduj, kto rozdaje dzierżawę telefonu
Opcja 3 DHCP to opcja routera i mówi klientowi, której bramy użyć dla jego podsieci. Gdy serwer DHCP zdalnej sieci LAN jest jedynym przydzielającym, telefon otrzymuje zdalną bramę i projekt jest spójny. Gdy coś innego po stronie podróży odpowie pierwsze, telefon otrzymuje lokalną bramę, jego ruch internetowy wychodzi przez uplink podróżny, a jego ruch do zdalnej sieci LAN nie ma żadnej drogi.
Uruchom jednego przydzielającego dla tej domeny rozgłoszeniowej i zapisz, co przydziela.
Pi to osobny przypadek, nawet gdy pobiera adres z tej samej dzierżawy. Zdecyduj świadomie, czy ma instalować trasy oferowane przez dzierżawę, ponieważ zaimportowana zdalna trasa domyślna może wciągnąć własny transport VPN Pi do tunelu, który próbuje utrzymać przy życiu. W systemd-networkd tą decyzją jest UseRoutes= w sekcji DHCP; w dhclient to opcja routers na liście żądań.
Trzymaj uplink poza siecią LAN z mostem
Interfejs przenoszący zewnętrzne połączenie VPN Pi nie może stać się portem mostu. Jeśli nim zostanie, zaszyfrowany transport jest przełączany do rozszerzonej sieci LAN, a tunel zaczyna przenosić własne pakiety zewnętrzne, co zawodzi w sposób wyglądający jak utrata pakietów, a nie pętla. Utrzymuj też jawnie zdolność AP i obsługę mostu. Interfejs bezprzewodowy w trybie station zwykle nie może być portem mostu, ponieważ nagłówek 802.11 nie ma miejsca na drugi adres MAC potrzebny mostowi.
Zdefiniuj rozszerzoną domenę rozgłoszeniową, jeden plan adresowania i filtrowanie ramek, którego naprawdę chcesz. Zezwolenie nasłuchowi VPN na Pi nie daje każdemu klientowi mostu dostępu do usług zarządzania Pi. To osobne reguły, a traktowanie ich jako jednej jest sposobem, w jaki hotspot po cichu staje się otwartymi drzwiami.
Przetestuj cztery rzeczy osobno, gdy się psuje
Gdy telefon nie może dotrzeć do zdalnej sieci LAN, cztery obserwacje rozdzielają przyczyny. Wykonaj je w tej kolejności i zatrzymaj się na pierwszej, która zawiedzie.
ip route show default
bridge link show
ip -4 neigh show dev br0
tcpdump -ni br0 arp or icmpZacznij od dzierżawy: czy telefon ma adres i bramę w zdalnej podsieci? Potem spójrz na most i potwierdź, że port AP i port TAP oba przekazują. Potem odczytaj tablicę sąsiadów, bo nierozwiązany wpis dla zdalnego routera oznacza, że ramki wychodzą i nic nie odpowiada. Na końcu obserwuj ramki na moście, gdy telefon pinguje, co mówi, czy usterka jest poniżej IP.
Zapisz, które urządzenie posiada każdą trasę domyślną, gdy skończysz. Jedna linia dokumentacji zmienia wyjście lokalne wobec zdalnego w świadomą decyzję klienta, a odniesienie do mostu warto trzymać obok.