Smart TV w VPN: dlaczego casting i DNS psują się osobno

Twój telewizor pokazuje zagraniczny katalog, a przycisk castingu w telefonie już go nie wymienia. Obie skargi zaczynają się od jednego zdania, które nazywa cztery ustawienia na czterech stronach routera. Napraw wyjście, a wykrywanie się psuje; napraw wykrywanie, a kolejny lease oddaje wyjście innemu urządzeniu. Poniższa kolejność biegnie od selektora do ścieżki castingu.

Gdzie mieszka każda z czterech decyzji

Zapisz wszystkie cztery, zanim otworzysz menu, bo każda mieszka na innej stronie i zawodzi w innym miejscu. Selektor wybiera, do którego klienta stosuje się tunel, resolver decyduje, gdzie odpowiada się na nazwy, rodzina adresów decyduje, czy IPv6 jest w ogóle objęty, a ścieżka lokalna decyduje, czy telefon i telewizor nadal się widzą. Zmiana jednej wygląda na kompletną z poziomu strony, na której stoisz. Szkody od pozostałych trzech pojawiają się później, w innym menu, jako inna skarga.

Menu firmware'u się różnią, ale cztery miejsca rzadko. Selektor to statyczne mapowanie na serwerze DHCP plus pasująca do niego reguła firewalla. Resolver siedzi przy usłudze DNS, gdzie wpis przekazywania lub lista serwerów nadrzędnych decyduje, na które nazwy odpowiada router i skąd wychodzą zapytania. Ustawienie rodziny należy do samego interfejsu, gdzie IPv4 i IPv6 konfiguruje się osobno, a polityka może objąć tylko pierwszą. Ścieżka lokalna to przełącznik punktu dostępu, albo izolacja klientów, albo sieć gościnna z własnym firewallem.

Niech selektor przeżyje lease

Działa zarówno polityka na urządzenie, jak i wydzielony segment, a lepszy wybór to ten, który firmware potrafi utrzymać bez pamięci drugiej osoby. Pułapką jest reguła przypięta do adresu, który serwer DHCP przydzielił według własnego harmonogramu: działa, dopóki lease się nie przesunie, a potem kieruje laptop przez inny kraj z powodów, których jego właściciel nie widzi. Trwałość, a nie porządek, jest cechą wartą optymalizacji.

Wyślij rezerwację i regułę jako jedną zmianę, bo reguła, która przeżyje swoją rezerwację, jest wycelowana w cudzy sprzęt. Reguła dla całego segmentu jest najbardziej trwałym i najbrutalniejszym selektorem, ponieważ każde urządzenie za tym interfejsem dziedziczy wyjście, czy go potrzebowało, czy nie. Jakikolwiek selektor wybierzesz, następne jest pytanie o pokrycie: polityka tylko IPv4 to połowa decyzji, a nieobjęta rodzina to ta, która wychodzi niezauważona.

Dowiedz się, którego resolvera telewizor naprawdę używa

Otwórz własne ustawienia sieci telewizora, zanim dotkniesz routera, bo to urządzenie rozstrzyga ten spór. Pole DNS ustawione ręcznie nadal używa tego serwera, cokolwiek oferuje DHCP, a set-top box skonfigurowany kiedyś dla innego regionu nadal może wskazywać adres, który już nie odpowiada. Jeśli pole jest automatyczne, decyduje opcja DHCP routera, a własny resolver routera staje się następnym pytaniem. Tak czy inaczej odpowiedź jest na ekranie urządzenia, nie w instrukcji firmware'u.

Po stronie routera ważne rozróżnienie jest między nazwami, na które router odpowiada sam, a nazwami, które przekazuje, bo te dwie ścieżki mogą wychodzić przez różne interfejsy. Dlatego poprawnie rozwiązane zapytanie nic nie mówi o tym, dokąd idzie żądanie mediów, a na bramie Linux tabela polityk plus jedno wyszukanie trasy odpowiadają na oba pytania, niczego nie przechwytując na telewizorze:

ip rule show
ip route get 203.0.113.10

Przeczytaj pierwsze polecenie dla reguły oznaczającej ruch telewizora, a drugie dla interfejsu, którego pakiet do adresu przykładu naprawdę by użył. Gdy te dwa się nie zgadzają, winny nie jest resolver, lecz polityka. Zmień jedną rzecz, potem uruchom parę ponownie, bo lista reguł jest wrażliwa na kolejność i nowy wpis może przesłonić regułę, która niosła ruch. Cel jest zarezerwowany dla dokumentacji, więc wklejone wyjście czyta się jak przykład.

Casting psuje się przy wykrywaniu, nie przy strumieniu

Casting to co najmniej trzy rozmowy i tylko jedna z nich niesie wideo. Telefon odkrywa telewizor przez multicast lub broadcast w segmencie lokalnym, otwiera kanał sterowania, żeby powiedzieć, co odtwarzać, a potem telewizor albo sam pobiera strumień, albo odbiera go przekazanego z telefonu. Wykrywanie nigdy nie przechodzi przez router, który nie przekazuje tego ruchu, i dlatego telewizor może być kierowany dokładnie tak, jak zamierzono, a mimo to nigdy nie pojawić się na liście castingu.

Sieci gościnne i izolacja klientów to zwykła przyczyna, a oba robią dokładnie to, do czego je skonfigurowano. Wyłączenie izolacji w całej sieci bezprzewodowej, żeby jedno urządzenie znów się pojawiło, to zwykła nadmierna korekta, i otwiera na nowo każdą ścieżkę telefon-telefon, którą to ustawienie miało zamykać. Istnieją węższe odpowiedzi: reguła przepuszczania ruchu wykrywania i sterowania między dwoma adresami, osobny SSID dla telewizorów albo jeden udokumentowany wyjątek w sieci gościnnej.

Przetestuj casting, gdy reguła izolacji jeszcze obowiązuje, potem dodaj tylko wyjątek wykrywania i przetestuj ponownie. Jeśli druga próba znajdzie telewizor, wyjątek jest rozwiązaniem, a reszta segmentu może zostać jak była.

Zatrzymaj tunel i zobacz, w którą stronę zawodzi

Ostatnia kontrola to ta, którą większość konfiguracji pomija: opuść tunel i zobacz, czy telewizor się zatrzyma, czy po cichu wyjdzie przez lokalne połączenie. Polityka wyrażająca preferencję zawodzi otwarcie, a tę awarię łatwo przeoczyć, bo odtwarzanie trwa, gdy wyjście wraca do ISP. Reguła kill-switch zawodzi natomiast zamknięcie, a telewizor nic nie zgłasza, dopóki tunel nie wróci. Żadne z tych zachowań nie jest błędne; błędem jest nie wiedzieć, które skonfigurowałeś.

Po każdej zmianie sprawdź ponownie cztery rzeczy w tej kolejności. Selektor nadal pasuje do urządzenia po następnym lease lub restarcie. Resolver odpowiada na ścieżce, którą przewiduje polityka, a nie z serwera, który urządzenie zapamiętało. Rodzina adresów w polityce obejmuje każdą rodzinę, której telewizor i sieć dostępowa naprawdę używają. Casting nadal znajduje telewizor z telefonu, który zostanie naprawdę użyty, a nie z telefonu testowego w tym samym SSID.

Trzymaj te cztery linie obok konfiguracji routera, a nie w wątku czatu: co dopasowuje reguła, o który resolver pyta telewizor, która rodzina jest objęta i której ścieżki lokalnej potrzebuje casting. Następna osoba, która otworzy firewall, przeczyta konfigurację znacznie wcześniej niż zgłoszenie. Do tego czasu tą osobą możesz być ty.