په یو Pi باندې hostapd او OpenVPN: د پیش‌فرض لار څوک لري؟

تلیفونونه د لاسرسي نقطې سره نښلوي، پته اخلي او بیا د تونل له پورته کیدو سره سم هیڅ ځای ته نه رسیږي. hostapd په دې حالت کې معمولاً روغ وي، او OpenVPN هم؛ هغه څه چې ماتيږي پیش‌فرض لاره ده، کومه چې یا هیڅکله په پل باندې نه وه یا تونل هغه بدله کړه پرته له دې چې VPN سرور ته لاره پرېږدي. دا لارښود هغه لاره خپل ځای ته بیرته راولي او پایله له کلاینټ څخه ثبوتوي، نه له Pi څخه. هر ګام بیرته اخیستل کیدای شي، او دلته هیڅ شی د تونل ترتیب نه بدلوي، تر هغه چې تاسو پوه شئ چې دننه کوم ټرافیک غواړئ.

د هر څه د سمولو دمخه انټرفیسونه ولیکئ

پیژندل شوی ترتیب بېسیم راډیو او تار لرونکی پورټ د br0 دننه ږدي، hostapd د پل په وړاندې پیلوي او له dnsmasq څخه کرایې ویشي، پداسې حال کې چې OpenVPN کلاینټ tun0 جوړوي. بیا درې جلا اړتیاوې د یوې په څیر ښکاري: د لاسرسي نقطې کلاینټونو ته د خپلې دروازې په توګه Pi ته اړتیا ده، Pi ته د خپل سرور رسیدو لپاره انټرنیټ ته لاره ده، او پل ته د دروازې پته ده چې هغه کلاینټونه یې کارولی شي.

د بدلون دمخه اوسنی حالت ولولئ، ځکه چې دا څلور امرونه د انټرفیس ستونزه د لارښوونې له ستونزې څخه بیلوي.

ip -br addr
ip route show
ip link show master br0
bridge link show

که br0 پته ولري خو پیش‌فرض لاره نه لري، کلاینټونه Pi ته رسیږي او له هغې ورهاخوا هیڅ ته نه رسیږي. که تونل ښکته وي او پیش‌فرض لاره tun0 ته اشاره وکړي، Pi هیڅ د کار وړ لاره نه لري، او د کلاینټ نښه بالکل ورته ښکاري. دواړه حالتونه له تلیفون څخه یو شان ښکاري، نو د لارو جدول باید مستقیم ولولل شي.

پل ته خپله پیش‌فرض لاره ورکړئ

Raspberry Pi OS اکثراً پل د پیش‌فرض لارې پرته پریږدي کله چې پل د انټرفیس فایل لیکلو وروسته رامنځته شوی وي. بلاک باید په /etc/dhcpcd.conf کې وي، او باید Pi نه، پورتنۍ روټر ونوموي.

interface br0
static ip_address=192.168.50.2/24
static routers=192.168.50.1
static domain_name_servers=192.168.50.1

په دې مثال کې 192.168.50.1 موجود روټر دی او 192.168.50.2 په هماغه سبنیټ کې د Pi د پل پته ده، نو د شمېرو کاپي کولو پرځای خپله پلان وکاروئ. د پل غړي هم باید روټرونه ونه غواړي، که نه نو Pi سره سیالې پیش‌فرض لارې پاتې کیږي چې ګټونکی یې پر میټریک او وخت تړاو لري، نه پر نیت.

له systemctl restart dhcpcd وروسته ip route show default باید br0 یو ځل وښیې او له تار لرونکي پورټ څخه هیڅ تکرار نه وي. جدول نه، لټون تایید کړئ، ځکه چې زوړ داخلیدل کولای شي د ګټونکي داخلیدو ترڅنګ کیني: ip -4 route get 203.0.113.10 باید br0 ونوموي. هغه پته د TEST-NET-3 اسنادو له حد څخه ده، نو دا نشي کولای چې دا لولئ او له ریښتیني سرور سره ټکر وکړي.

تونل د خپل سرور لارې غلا کولو څخه ودروئ

redirect-gateway منونکی OpenVPN کلاینټ پیش‌فرض لاره اخلي او تونل ته یې اړوي. دا سم دی کله چې هر د لاسرسي نقطې کلاینټ باید VPN وکاروي، او غلط دی کله چې یوازې ځینې منزلونه باید وکاروي. په هر حال، د Pi خپله اړیکه له سرور سره باید د هغه تونل دننه سفر ونه کړي چې لا یې جوړوي. OpenVPN د پیش‌فرض د بیاځلي لارښوونې پر مهال د اصلي دروازې له لارې لیرې ته د هوسټ لاره ورزیاتوي، او همدا هغه چلند دی چې ترانسپورت ژوندی ساتي؛ که هغه لاره نه وي، تونل سمدلاسه نړیږي چې جوړ شي.

د هغه ترانسپورت لارې د نښلیدو دمخه او وروسته چټکه پرتله د هغو لسو ثانیو ارزښت لري. ip -4 route get 203.0.113.10 باید په دواړو حالتونو کې لاندېني وسیله ونوموي، یوازې میټریک بدلیږي. که د تونل له پورته کیدو وروسته tun0 ونوموي، د هوسټ لاره هیڅکله نه وه نصب شوې او بل بیا نښلیدل به ناکام شي.

کله چې یوازې ټاکل شوي پری فکسونه باید تونل تیر کړي، route-nopull وکاروئ او غوښتل شوې لارې په لاس اضافه کړئ، یا له سرور څخه تنګه ټولګه واستوئ. په هغه ډیزاین کې پل پیش‌فرض لاره ساتي، او DNS بل تصمیم کیږي: dnsmasq کورني حلکوونکي ته لیږل یوازې هغو نومونو لپاره معنا لري چې واقعاً هلته اوسیږي.

د لیږلو او NAT په اړه پریکړه وکړئ

بشپړ تونل ته په Pi باندې فعال لیږل او په بل اړخ کې دروازه پکار ده چې د لاسرسي نقطې سبنیټ لاره ورکړي. له هر څه مخکې لیږل وګورئ، ځکه صفر هر لارې بدلون بې اهمیت کوي.

sysctl net.ipv4.ip_forward
sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -s 192.168.50.0/24 -o tun0 -j MASQUERADE

د NAT قاعده هغه لنډه لار ده چې کار کوي کله چې سرور د لاسرسي نقطې پری فکس ومني نه، خو بیه یې دا ده چې په بل اړخ کې په لاګونو کې هر کلاینټ د Pi د تونل پته ښکاري. پری فکس پرته له NAT لارښوونه پتې ښکاره ساتي او د کور خوا ته د 192.168.50.0/24 لپاره د بیرته راستنیدو لارې پورې تړاو لري.

غوره توب د فایر وال د قاعدو ترڅنګ ولیکئ، ځکه چې په ډیزاین کې نه ښکاره NAT قاعده شپږ میاشتې وروسته ناتشریح کیدونکې کیږي. IPv6 په هماغه پریکړه کې وساتئ؛ د ماتې IPv6 لارې ترڅنګ فعاله IPv4 لاره لا هم په براوزر کې نیمه ماته لوستل کیږي.

له کلاینټ څخه تایید کړئ، بیا پاک بیرته راوګرځئ

د لاسرسي نقطې باندې له تلیفون یا لیپ ټاپ څخه په دې ترتیب ازموئ: له dnsmasq څخه کرایه، پل پتې ته ping، بیا د تونل بل اړخ ته منزل. هر ګام یوه طبقه جلا کوي، د یوې بې ګټې ناکامۍ په جوړولو بجای.

ip -4 route get 203.0.113.10
ping -c 3 -I br0 203.0.113.10

بیا تایید کړئ چې Pi لا هم خپله وتلونکې لاره لري: ip route get 203.0.113.10 باید لاندېنۍ وسیله ونوموي، او که سرور ICMP اجازه ورکړي ping -c 3 -I br0 203.0.113.10 باید ځواب ووایي. که لومړني دوه کلاینټ ګامونه بریالي او دریم ناکام شي، ستونزه په لیږلو یا NAT کې ده. که دویم ګام ناکام شي، پل یا DHCP لا بشپړ نه دي.

بیرته راګرځونه یوه د فایل سمونه او دوه امرونه ده: بلاک لرې کړئ، dhcpcd بیا پیل کړئ، او پیش‌فرض لاره په څرګنده توګه ip route replace default via 192.168.50.1 dev br0 سره بدله کړئ. دا د ساتنې کړکۍ بندیدو دمخه وکړئ، نه وروسته، ځکه Pi چې پیش‌فرض لاره یې له لاسه ورکړې د هغه شبکې څخه چې د ترمیم لپاره به یې کاروئ، نشي رسیدلی.