Premoščeni VPN hotspot: katero privzeto pot uporablja telefon?

Telefon na vašem premoščenem hotspotu dobi naslov in prehod od nekod, in to ni privzeta pot Pi. Sprememba privzete poti Pi spremeni, kam Pi pošilja svoj promet. Telefon še naprej uporablja prehod, ki mu je bil povedan, in ko ta prehod stoji na oddaljenem LAN, njegovi okviri preprosto prečkajo most. Dva porabnika, dve odločitvi. Njuna ločitev pojasni večino poročil o hotspotu brez interneta, medtem ko je sam Pi v redu.

Dve napravi, dve različni odločitvi o prehodu

Pi ima svoj sklad IP in svojo privzeto pot. Telefon ima svoj sklad IP in svojo privzeto pot.

Ta tabela je celoten model. Prehod telefona je naslov na oddaljenem LAN, njegovi okviri pa se posredujejo na plasti 2 proti temu usmerjevalniku. Privzeta pot Pi zadeva njegov lastni zunanji transport, ki mora doseči partnerja VPN prek potovalnega uplinka.

Most posreduje okvire, ne usmerja paketov

Linux most posreduje okvire Ethernet po ciljnem MAC in to je vse, kar počne med svojimi vrati. Okvir telefona, naslovljen na MAC oddaljenega usmerjevalnika, se preklopi na vrata TAP in prečka tunel, ne da bi se dotaknil usmerjevalne tabele Pi. Zato lahko pokvarjena privzeta pot Pi pusti telefon delujoč, in zato pravilna ne more popraviti telefona, ki je dobil napačen prehod.

TAP prenaša okvire Ethernet in je lahko vrata mostu. TUN prenaša pakete IP in ne more biti. Če je vaša zasnova zamenjala eno z drugim, most ni most in ostalo tu ne velja.

Odločite, kdo razdeljuje lease telefona

Možnost 3 DHCP je možnost usmerjevalnika in pove odjemalcu, kateri prehod naj uporabi za svojo podomrežje. Ko je strežnik DHCP oddaljenega LAN edini razdeljevalec, telefon dobi oddaljeni prehod in zasnova je skladna. Ko se na potovalni strani prvo odzove nekaj drugega, telefon dobi krajevni prehod, njegov internetni promet odide prek potovalnega uplinka, njegov promet do oddaljenega LAN pa nima nobene poti.

Zaženi enega razdeljevalca za to oddajno domeno in zapiši, kaj razdeljuje.

Pi je ločen primer, tudi ko vzame naslov iz istega leasea. Zavestno odločite, ali naj namesti poti, ki jih ponuja lease, ker lahko uvožena oddaljena privzeta pot potegne lastni transport VPN Pi v tunel, ki ga poskuša ohraniti živ. Pri systemd-networkd je ta odločitev UseRoutes= v razdelku DHCP; pri dhclient je to možnost routers na seznamu zahtev.

Držite uplink zunaj premoščenega LAN

Vmesnik, ki nosi zunanjo povezavo VPN Pi, ne sme postati vrata mostu. Če postane, se šifrirani transport preklopi v razširjeni LAN in tunel na koncu nosi svoje lastne zunanje pakete, kar odpove tako, da je videti kot izguba paketov in ne kot zanka. Tudi zmožnost AP in podporo mostu imejte izrecno. Brezžični vmesnik v načinu station običajno ne more biti vrata mostu, ker glava 802.11 nima prostora za drugi naslov MAC, ki ga most potrebuje.

Določite razširjeno oddajno domeno, en načrt naslovov in filtriranje okvirov, ki ga resnično želite. Dovolitev poslušalca VPN na Pi ne daje vsakemu premoščenemu odjemalcu dostopa do storitev upravljanja Pi. To so ločena pravila in obravnavanje kot eno je način, kako hotspot tiho postane odprta vrata.

Preizkusite štiri stvari ločeno, ko se pokvari

Ko telefon ne doseže oddaljenega LAN, štiri opažanja ločijo vzroke. Izvedite jih v tem vrstnem redu in ustavite se pri prvem, ki odpove.

ip route show default
bridge link show
ip -4 neigh show dev br0
tcpdump -ni br0 arp or icmp

Začnite z leaseom: ima telefon naslov in prehod v oddaljeni podomrežju? Nato poglejte most in potrdite, da vrata AP in vrata TAP oba posredujejo. Nato preberite tabelo sosedov, ker nerazrešen vnos za oddaljeni usmerjevalnik pomeni, da okviri odhajajo in nič ne odgovori. Na koncu opazujte okvire na mostu, medtem ko telefon pinga, kar vam pove, ali je napaka pod IP ali ne.

Zapišite, katera naprava ima vsako privzeto pot, ko končate. Ena vrstica dokumentacije spremeni krajevni proti oddaljenemu izhodu v zavestno odločitev odjemalca in sklic na most velja imeti zraven.