Pi VPN s više usmjerivača: stavite svaku rutu na uređaj koji odlučuje
Nizvodni usmjerivač dodaje drugu klijentsku podmrežu, a svaki od četiri uređaja posjeduje jednu odluku. Postavite rute, provjerite izvor, pa testirajte s pravog klijenta.
Stavljanje Wi-Fi kutije iza Pi pretvara jednu usmjerivačku odluku u četiri, a plan se lomi kada se sve četiri donesu na jednom uređaju. Prvo pitanje nije koju rutu dodati. Nego mosti li nova kutija ili usmjerava, jer taj odgovor određuje koliko podmreža postoji i koji uređaji moraju naučiti o njima. Prvo odaberite model priključenja; svaka ruta slijedi iz njega.
Most ili usmjeravanje: izbor koji određuje broj
Most stavlja nove klijente na istu podmrežu koju Pi već poslužuje. Jedna podmreža, jedno DHCP ovlaštenje i nikakvo prebacivanje na usmjeravanje. Ovo je jednostavniji raspored i pravi izbor kada odvojena klijentska mreža nikada nije bila zahtjev. Usmjerena veza je drugačiji dizajn: kutija zadržava svoju podmrežu, a taj se prefiks mora nositi svuda kuda promet ide.
Ostatak ovog plana zadržava nizvodni usmjerivač i čuva izvorne adrese klijenata. Cilj je jedna privatna VPN mreža, a ne pun izlaz na internet. Zapišite model prije adresa, jer je popis ispod samo primjer usmjerenog priključenja.
client subnet 10.41.0.0/24
client gateway 10.41.0.1
router-to-Pi link 192.168.71.2
Pi on that link 192.168.71.1
private target 10.72.9.0/24Tko što odlučuje
| Decision owner | Entry that encodes the decision | Failure when the entry is missing |
|---|---|---|
| Pi VPN host | Return route for 10.41.0.0/24 via 192.168.71.2, and a tunnel route for 10.72.9.0/24 | Replies to downstream clients die at the Pi |
| Owner of the remote network | A path for 10.41.0.0/24 over the permitted tunnel | Replies stop at the first unaware hop |
| LAN router behind the Pi | Specific route for 10.72.9.0/24 via 192.168.71.1, or a suitable default | Clients never send private traffic to the Pi |
| Client machine | Default via 10.41.0.1, or a specific entry for 10.72.9.0/24 | The private network is unreachable from the client |
Svaki uređaj donosi jednu odluku i nijedan ne može donijeti tuđu umjesto njega. Pi treba dva unosa, a ne jedan, a povratni put je onaj koji ljudi zaboravljaju. Proslijeđeni promet ispravno stiže do privatne mreže i zatim umire na povratku, jer Pi nema pojma gdje živi 10.41.0.0/24. To izgleda kao problem vatrozida, a zapravo je ruta koja nedostaje.
Udaljena strana također treba svoju rutu. Ako usluga na dalekom kraju ne zna da je 10.41.0.0/24 dostupna kroz vaš tunel, odgovori se zaustavljaju na prvom skoku koji nema odgovor. Dodajte oba smjera prije nego što čitate filtre paketa.
Sljedeći skokovi dolaze iz priključenja
Sljedeći skok mora biti adresa na mreži do koje uređaj zaista može doći. Javna adresa VPN partnera nije sljedeći skok za privatnu podmrežu, a udaljena servisna mreža nije nikakav sljedeći skok. Ruta do nedostupnog pristupnika izgleda ispravno na popisu i ispušta svaki paket. Provjerite odgovara li pristupnik prije nego što okrivite odredište.
Držite vanjskog VPN partnera Pi dostupnim kroz njegovu vlastitu donju rutu. Taj je unos odvojen od ruta korisnog tereta, a njihovo miješanje daje tunel koji se ne može ponovno uspostaviti nakon promjene puta.
Dokumentacija statičkih ruta čini razliku između odredišta i pristupnika jasnom, iako svaka platforma drugačije imenuje svoje izbornike. Čitajte dokumentaciju za uređaj pred sobom umjesto da kopirate zaslon drugog proizvođača. Naredbe ispod pokazuju oblik unosa na Linuxu.
# on the Pi
ip route add 10.41.0.0/24 via 192.168.71.2
ip route add 10.72.9.0/24 dev tun0
# on the downstream router
ip route add 10.72.9.0/24 via 192.168.71.1Što prevođenje radi s izvorom
Ako nizvodni usmjerivač već prevodi svoje klijente na tranzitnu adresu, Pi vidi jedan prevedeni izvor umjesto vlastite adrese svakog klijenta. To je drugačiji dizajn od gore opisanog koji čuva izvor. Mijenja politiku zasnovanu na izvoru, evidentiranje i to koja strana može pokrenuti veze. Oba dizajna rade; ona odgovaraju na različita pitanja.
Kada usluga VPN uzvodno odbije usmjeriti klijentski prefiks natrag, usko prevođenje na izlazu tunela Pi može biti legitimno privremeno rješenje. To nije dokaz da je ruta koja nedostaje bila nepotrebna. Zabilježite koju adresu udaljena mreža zaista vidi i kakav povratni put iz toga slijedi.
Odabir rute, dopuštenje za prosljeđivanje i prevođenje izvora ostaju tri odvojena posla. Ispiranje zajedničkog NAT lanca ili dopuštanje svakog sučelja jer jedan žičani klijent radi jest način na koji radna provjera postaje otvoreni prosljeđivač.
Dokažite to s klijentskog stroja
Pošaljite zahtjev sa stroja na nizvodnom LAN-u, pa pratite njegov izvor van i natrag. Ping koji izda Pi nikada ne vježba nizvodnu povratnu rutu, zato uspješan ping dokazuje manje nego što izgleda. Dodajte drugi test sa žičanog klijenta na vlastitom LAN-u Pi uređaja kako bi se dva puta mogla usporediti. Ponovite oba nakon ponovnog pokretanja bilo kojeg uređaja.
Rute dodane ručno i prevođenja koja nikada nisu spremljena nestaju zajedno. Par tada izgleda kao nova greška, a ne kao nedovršen posao.
Spremite model priključenja zajedno s rutama, dopuštenom privatnom uslugom i svakim prevođenjem u jednoj bilješci. Ta bilješka je ono što sprječava sljedeću osobu da bežični raspored tretira kao pitanje usmjerivačke politike.