Pi VPN z več usmerjevalniki: postavite vsako pot na napravo, ki odloča
Usmerjevalnik nižje doda drugo odjemalsko podomrežje in vsaka od štirih naprav ima eno odločitev. Postavite poti, preverite vir in nato preizkusite iz pravega odjemalca.
Postavitev Wi-Fi škatle za Pi spremeni eno usmerjevalno odločitev v štiri, načrt pa se zlomi, ko se vse štiri sprejmejo na eni napravi. Prvo vprašanje ni, katero pot dodati. Temveč ali nova škatla mosti ali usmerja, ker ta odgovor določi, koliko podomrežij je in katere naprave se morajo o njih naučiti. Najprej izberite model priklopa; vsaka pot izhaja iz njega.
Most ali usmerjanje: izbira, ki določi število
Most postavi nove odjemalce v isto podomrežje, ki ga Pi že streže. Eno podomrežje, ena oblast DHCP in nobenega prehoda za usmerjanje. To je preprostejša ureditev in prava, ko ločeno odjemalsko omrežje ni bilo nikoli zahteva. Usmerjena povezava je drugačna zasnova: škatla obdrži svoje podomrežje in to predpono je treba prenašati povsod, kamor gre promet.
Preostanek načrta obdrži usmerjevalnik nižje in ohranja izvorne naslove odjemalcev. Cilj je eno zasebno omrežje VPN, ne popoln izhod v internet. Zapišite model pred naslovi, ker je seznam spodaj le primer usmerjenega priklopa.
client subnet 10.41.0.0/24
client gateway 10.41.0.1
router-to-Pi link 192.168.71.2
Pi on that link 192.168.71.1
private target 10.72.9.0/24Kdo kaj odloči
| Decision owner | Entry that encodes the decision | Failure when the entry is missing |
|---|---|---|
| Pi VPN host | Return route for 10.41.0.0/24 via 192.168.71.2, and a tunnel route for 10.72.9.0/24 | Replies to downstream clients die at the Pi |
| Owner of the remote network | A path for 10.41.0.0/24 over the permitted tunnel | Replies stop at the first unaware hop |
| LAN router behind the Pi | Specific route for 10.72.9.0/24 via 192.168.71.1, or a suitable default | Clients never send private traffic to the Pi |
| Client machine | Default via 10.41.0.1, or a specific entry for 10.72.9.0/24 | The private network is unreachable from the client |
Vsaka naprava sprejme eno odločitev in nobena ne more sprejeti odločitve druge namesto nje. Pi potrebuje dva vnosa, ne enega, in povratna pot je tista, ki jo ljudje pozabijo. Posredovani promet pravilno doseže zasebno omrežje in nato umre na poti nazaj, ker Pi nima pojma, kje živi 10.41.0.0/24. To izgleda kot težava požarnega zidu in je v resnici manjkajoča pot.
Tudi oddaljena stran potrebuje svojo pot. Če storitev na oddaljenem koncu ne ve, da je 10.41.0.0/24 dosegljiv skozi vaš tunel, se odgovori ustavijo na prvem skoku brez odgovora. Dodajte obe smeri, preden berete filtre paketov.
Naslednji skoki prihajajo iz priklopa
Naslednji skok mora biti naslov v omrežju, do katerega naprava res lahko pride. Javni naslov partnerja VPN ni naslednji skok za zasebno podomrežje, oddaljeno storitveno omrežje pa sploh ni naslednji skok. Pot do nedosegljive prehodne postaje je na seznamu videti pravilna in zavrže vsak paket. Preverite, ali prehodna postaja odgovarja, preden obtožite cilj.
Držite zunanjega partnerja VPN Pi dosegljivega prek njegove lastne podložne poti. Ta vnos je ločen od poti koristnega tovora in njihovo mešanje da tunel, ki se po spremembi poti ne more znova vzpostaviti.
Dokumentacija statičnih poti razjasni razliko med ciljem in prehodno postajo, čeprav vsaka platforma svoje menije poimenuje drugače. Berite dokumentacijo za napravo pred seboj, namesto da kopirate zaslon drugega dobavitelja. Ukazi spodaj kažejo obliko vnosov v Linuxu.
# on the Pi
ip route add 10.41.0.0/24 via 192.168.71.2
ip route add 10.72.9.0/24 dev tun0
# on the downstream router
ip route add 10.72.9.0/24 via 192.168.71.1Kaj prevajanje naredi z virom
Če usmerjevalnik nižje že prevaja svoje odjemalce na tranzitni naslov, Pi vidi en preveden vir namesto lastnega naslova vsakega odjemalca. To je drugačna zasnova od zgoraj opisane, ki ohranja vir. Spremeni politiko na podlagi vira, beleženje in to, katera stran lahko začne povezave. Obe zasnovi delujeta; odgovarjata na različna vprašanja.
Ko storitev VPN nad njo zavrne usmerjanje odjemalske predpone nazaj, je ozek prevod na izhodu tunela Pi lahko zakonita začasna rešitev. To ni dokaz, da je bila manjkajoča pot nepotrebna. Zabeležite, kateri naslov oddaljeno omrežje res vidi in katera povratna pot iz tega izhaja.
Izbira poti, dovoljenje za posredovanje in prevajanje vira ostajajo tri ločene naloge. Izpraznitev skupne verige NAT ali dovoljenje vsakemu vmesniku, ker en žični odjemalec deluje, je način, kako delujoč preizkus postane odprt posredovalnik.
Dokažite to z odjemalskega stroja
Pošljite zahtevo s stroja v spodnjem omrežju LAN, nato spremljajte njen vir ven in nazaj. Ping, ki ga pošlje Pi, nikoli ne preizkusi spodnje povratne poti, zato uspešen ping dokaže manj, kot se zdi. Dodajte drugi preizkus z žičnega odjemalca v lastnem omrežju LAN Pi, da bo mogoče primerjati obe poti. Ponovite oba po ponovnem zagonu katere koli naprave.
Poti, dodane ročno, in prevodi, ki nikoli niso bili shranjeni, izginejo skupaj. Par je potem videti kot nova okvara, ne kot nedokončano delo.
Shranite model priklopa skupaj s potmi, dovoljeno zasebno storitvijo in vsakim prevodom v eni opombi. Ta opomba je tisto, kar prepreči naslednji osebi, da bi brezžično postavitev obravnavala kot vprašanje usmerjevalne politike.