Premostený VPN hotspot: ktorú predvolenú trasu používa telefón?

Telefón na vašom premostenom hotspote dostáva adresu a bránu odniekiaľ a nie je to predvolená trasa Pi. Zmena predvolenej trasy Pi mení, kam Pi posiela svoju vlastnú prevádzku. Telefón naďalej používa bránu, ktorú mu povedali, a keď tá brána leží na vzdialenej LAN, jeho rámce jednoducho prechádzajú most. Dvaja spotrebitelia, dve rozhodnutia. Ich oddelenie vysvetľuje väčšinu hlásení o hotspote bez internetu, zatiaľ čo samotné Pi je v poriadku.

Dve zariadenia, dve rôzne rozhodnutia o bráne

Pi má vlastný IP zásobník a vlastnú predvolenú trasu. Telefón má vlastný IP zásobník a vlastnú predvolenú trasu.

Tá tabuľka je celý model. Brána telefónu je adresa na vzdialenej LAN a jeho rámce sa odovzdávajú v 2. vrstve k tomuto routeru. Predvolená trasa Pi sa týka vlastného vonkajšieho transportu Pi, ktorý sa musí dostať k VPN partnerovi cez cestovný uplink.

Most odovzdáva rámce, nesmeruje pakety

Linux most odovzdáva Ethernet rámce podľa cieľovej MAC a to je všetko, čo medzi svojimi portami robí. Rámec telefónu adresovaný MAC vzdialeného routera sa prepne na port TAP a prejde tunelom bez dotknutia smerovacej tabuľky Pi. Preto môže pokazená predvolená trasa Pi nechať telefón fungovať a preto správna nemôže opraviť telefón, ktorému dali nesprávnu bránu.

TAP prenáša Ethernet rámce a môže byť portom mosta. TUN prenáša IP pakety a nemôže. Ak váš návrh nahradil jedno druhým, most nie je most a zvyšok tu neplatí.

Rozhodnite, kto prideľuje lease telefónu

DHCP voľba 3 je voľba routera a hovorí klientovi, ktorú bránu má použiť pre svoju podsieve. Keď je DHCP server vzdialenej LAN jediným prideľovačom, telefón dostane vzdialenú bránu a návrh je konzistentný. Keď na cestovnej strane odpovie prvé niečo iné, telefón dostane miestnu bránu, jeho internetová prevádzka odchádza cez cestovný uplink a jeho prevádzka do vzdialenej LAN nemá vôbec žiadnu cestu.

Spustite jedného prideľovača pre tú broadcast doménu a zaznamenajte, čo prideľuje.

Pi je samostatný prípad, aj keď berie adresu z toho istého lease. Vedome rozhodnite, či má nainštalovať trasy, ktoré lease ponúka, pretože importovaná vzdialená predvolená trasa môže vtiahnuť vlastný VPN transport Pi do tunela, ktorý sa snaží udržať živý. Pri systemd-networkd je tým rozhodnutím UseRoutes= v sekcii DHCP; pri dhclient je to voľba routers v zozname požiadaviek.

Držte uplink mimo premostenej LAN

Rozhranie, ktoré nesie vonkajšie VPN pripojenie Pi, sa nesmie stať portom mosta. Ak sa ním stane, šifrovaný transport sa prepne do rozšírenej LAN a tunel nakoniec nesie svoje vlastné vonkajšie pakety, čo zlyháva spôsobom, ktorý vyzerá ako strata paketov, nie ako slučka. Držte tiež explicitne schopnosť AP a podporu mosta. Bezdrôtové rozhranie v režime station zvyčajne nemôže byť portom mosta, pretože hlavička 802.11 nemá miesto pre druhú MAC adresu, ktorú most potrebuje.

Definujte rozšírenú broadcast doménu, jeden plán adries a filtrovanie rámcov, ktoré naozaj chcete. Povolenie VPN poslucháča na Pi nedáva každému premostenému klientovi prístup k službám správy Pi. To sú oddelené pravidlá a ich spájanie do jedného je spôsob, akým sa hotspot potichu stane otvorenými dverami.

Otestujte štyri veci oddelene, keď sa to pokazí

Keď sa telefón nedostane do vzdialenej LAN, štyri pozorovania oddelia príčiny. Vykonajte ich v tomto poradí a zastavte sa pri prvom, ktoré zlyhá.

ip route show default
bridge link show
ip -4 neigh show dev br0
tcpdump -ni br0 arp or icmp

Začnite lease: drží telefón adresu a bránu vo vzdialenej podsieti? Potom sa pozrite na most a potvrďte, že port AP aj port TAP odovzdávajú. Potom prečítajte tabuľku susedov, pretože nevyriešený záznam pre vzdialený router znamená, že rámce odchádzajú a nič neodpovedá. Nakoniec sledujte rámce na moste, kým telefón pinguje, čo vám povie, či je porucha vôbec pod IP.

Zaznamenajte, ktoré zariadenie vlastní každú predvolenú trasu, keď skončíte. Jeden riadok dokumentácie mení miestny verzus vzdialený výstup na vedomé rozhodnutie klienta a odkaz na most stojí za to mať vedľa.