Delite eno VPN povezavo z vsemi napravami v omrežju LAN

En prenosnik drži tunel, preostanek hiše želi enak dostop, prvi poskus pa je vse usmeriti na povezani stroj. To spodleti zaradi razlogov, ki nimajo nič skupnega z VPN: gostitelj, ki prejme paket, ga mora posredovati naprej, prepisati njegov vir in poskrbeti, da odgovori najdejo pot nazaj. Če zgrešite katero od treh, povezani prenosnik deluje naprej, medtem ko vse druge naprave ne prejmejo odgovora. Rešitev je načrt usmerjanja, ne nastavitev odjemalca.

Zakaj usmerjanje naprav na gostitelja spodleti

Gostitelj, ki prejme paket, naslovljen na oddaljeno omrežje, za tisti trenutek postane usmerjevalnik, ne glede na to, ali ga je kdo tako nastavil. Posredovanje je v sistemih Linux in Windows privzeto izklopljeno, razen če ga vklopi kaka funkcija. Prevajanje naslovov je pomembno, ker mora oddaljena stran vedeti, kam poslati odgovore, zasebni naslov LAN pa ji ne pomeni nič. Povratna pot je tretji del in prav nanjo ljudje pozabijo, ko se prvi ping zdi uspešen.

Diagnosticirajte v tem vrstnem redu, namesto da naključno preklapljate nastavitve. Vsak manjkajoči del povzroči nekoliko drugačen simptom.

Vklopite posredovanje in prevajanje naslovov na gostitelju

Dve spremembi na povezanem gostitelju pokrijeta prva dva dela: vklopite posredovanje IPv4 in prevedite promet LAN na vmesnik tunela.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Vrednost sysctl shranite v datoteko pod /etc/sysctl.d in po ponovnem zagonu znova preverite pravilo masquerade, ker lahko čelne strani požarnega zidu počistijo lastne verige. V sistemu Windows funkcija deljenja izvede oba koraka, vendar tudi znova naslovi omrežni vmesnik LAN na fiksno podomrežje in izbriše njegov prehod, kar pokvari statično naslavljanje in posredovanje vrat. Obnovite pot usmerjevalnika do gostitelja na novem naslovu, preden sklepate, da je deljenje spodletelo. Nato opazujte, kako se števci pravila povečujejo, medtem ko druga naprava pošilja promet.

Omrežju LAN dajte pot, ki preživi ponovne zagone

Druge naprave potrebujejo pot do oddaljene predpone, dva načina zagotavljanja pa se razlikujeta po obsegu vpliva.

ip route add 10.8.0.0/24 via 192.168.1.20 dev eth0

Če privzeti prehod odjemalca usmerite na gostitelja, gre ves njegov promet skozi gostitelja, vključno z lokalnim tiskanjem in deljenjem datotek, zato se nepovezane stvari ustavijo, ko gostitelj zaspi. Dodajanje posebne poti na usmerjevalniku za oddaljeno predpono je ožje: samo cilji za tunelom gredo na povezani stroj, preostanek omrežja LAN pa deluje naprej. Zgornja podomrežja so primeri, zato jih zamenjajte s svojimi obsegi LAN in tunela. V vsakem primeru preizkusite z druge naprave s tunelom vklopljenim in nato izklopljenim.

Bodite pozorni na MTU, preden krivite tunel

Tuneli zmanjšajo uporabno velikost paketa, druga naprava pa o tem nima pojma. Veliki prenosi in rokovanja TLS se ustavijo, medtem ko majhne zahteve uspejo.

ping -M do -s 1400 10.8.0.5

Odgovor dokazuje, da ta velikost preide pot brez razdrobljenosti; časovna omejitev pomeni, da je zaradi stroškov kapsuliranja paket šel čez MTU tunela. Znižajte MTU na vmesniku za deljenje ali omejite največjo velikost segmenta na posredovalniku in nato ponovite isto preverjanje. Najprej preizkusite isto velikost na strani LAN, ker lokalna napaka kaže na LAN in ne na tunel. Zabeležite velikost, ki deluje, saj jo lahko poznejša sprememba ponudnika ali tunela premakne.

Za eno dodatno napravo zadošča deljenje iz gostitelja. Za gospodinjstvo postavite pot na usmerjevalnik. Ko mora dostop preživeti odhod prenosnika z vami, sodi tunel sam na namenski prehod.