Macaamiisha hotspot ee Pi kuma gaaraan LAN-ka guriga iyada oo loo marayo TUN VPN

Macaamiisha maxalliga ah ee Wi-Fi iyo Ethernet waxay ku xirmaan hotspot-ka Pi, waxay cinwaan ka qaataan DHCP-da diiradiisa waxayna soo rarayaan bogagga internet-ka iyagoo aan caban. Isla macaamiishaas ayaa markaas waqti ku dhamaada marka ay furaan wadaag fayl ama interface web ah LAN-ka guriga, halka Pi laftiisu uu LAN-kaas ku gaaro tunnel-ka. Waxba kama jiraan lakabka wireless-ka oo ah mid jaban. Waxa maqan waa qandaraas la mariyay dariiqa: prefix-ka hotspot-ka waa in lagu qaado interface-ka TUN, oo wax guriga dhinaciisa ah waa inuu ogaadaa sida jawaabaha dib loogu celiyo halkaas. Labada qaybood waa inay jiraan ka hor inta aan hal packet dhammaystirin safarka iyo soo noqoshada.

Saddex isku xirnaansho oo leh saddex shaqo oo kala duwan

Buundada Ethernet ee Linux waxay u gudbisaa frames-ka cinwaanka MAC-ka loo socdo. OpenVPN habka TUN waxay qaaddaa packets IP oo aan lahayn lakab MAC haba yaraatee, sidaas darteed ku darista buundo maxalli ah waligeed tunnel-ka uma diiwaangeliso sidii deked. dokumentiga kernel-ka ee TUN/TAP waxay sharraxaan kala qaybintaas: qalabka TAP wuxuu u eg yahay interface Ethernet, qalabka TUN ma aha. Naqshad isku xirta laba dekedood oo maxalli ah kadibna dariiqa qaata waa router, wax kasta oo magacyada interface-yada yiraahdaan.

Kala duwanaanshahaas ayaa go'aamiya lahaanshaha. Subnet-ka macaamiisha, gateway-gooda caadiga ah iyo awoodda DHCP ee diiradaas waxay ka tirsan yihiin qorshaha maxalliga ah ee Pi. Faafinta DHCP-da guriga ma gudubto tunnel la mariyay dariiqa, oo ma jiro dejinta buundo oo beddela taas; macaamiisha u jeedinta server DHCP guriga waa naqshad relay gaar ah oo ula kac ah oo leh hababkeeda guuldarro.

Modem-ka sidoo kale ka fogee buundada macaamiisha. Isku xirka PPP ma aha qalab Ethernet oo sumad kale leh, oo macquulka dariiqa caadiga ah ee la diiwaangeliyay ee pppd wuxuu shaqeeyaa ka dib wada-hadalka IPCP oo wuxuu dib u jiitaa dariiqiisa marka xiriirkaas dhaco. Koobiga template DHCP iyo magaca beddelka usb0 kasta oo loo beddelo ppp0 waxba kama caddaynayo gateway, metric ama meertada nolosha.

Dooro prefix-yada ka hor inta aadan wax konfigurasyon ah tafatirin

Prefix-yada is-dulsaaran waxay lumiyaan fiidiyooyin badan marka loo eego xeerarka firewall-ka, sababtoo ah is-dulsaarku wuxuu raadinta dariiqa u diraa interface-ka qaldan xitaa marka tunnel-ku caafimaad qabo. Ku bilow liiska waxa hore ugu jira Pi, ka dibna natiijada u akhri sidii afar barkadood oo kala duwan.

ip -4 addr show scope global
ip -4 route show table main
ip -4 route get 192.168.77.10

Barkadda koowaad waa cinwaanka underlay ee shirkadda telecom-ka siisay modem-ka; waa inuu ka baxsanaadaa qorshe kasta oo macaamiisha u jeeda. Tan labaad waa subnet-ka tunnel-ka ee server-ku doortay, inta badan /24 gaar ah oo u gaar ah. Tan saddexaad waa buundada hotspot-ka, tan afraadna waa prefix-ka guriga ee aad rabto inaad gaarto. Safarkan hotspot-ku wuxuu helaa 172.28.90.0/24 iyadoo buundadu ku taal 172.28.90.1, LAN-ka adeegga guriguna wuxuu hayaa 192.168.77.0/24, taas oo ka fogaanaysa 192.168.1.0/24 iyo 10.0.0.0/24 ee caadiga ah ee router-yada macaamiishu la yimaadaan iyo diirada shirkadda 100.64.0.0/10.

Ku dhawaaq cinwaanka buundada sidii gateway DHCP-da hotspot-ka oo wax kale ma jiro. Waligaa ha siin macaamiisha hotspot cinwaan guri sidii gateway; ma laha dariiq lakab isku xir ah oo u socda qaybtaas.

Dariiq u samee jiho kasta dhinaca haysta

Pi wuxuu u baahan yahay dariiq loogu tago prefix-ka guriga tunnel-ka. Server-yada habka server-ka waxay inta badan riixaan dariiqaas, marka marka hore xaqiiji in gudbintu furan tahay iyo in kernel-ku xalliyo cinwaan guri tun0.

sysctl net.ipv4.ip_forward
ip route add 192.168.77.0/24 dev tun0
ip -4 route get 192.168.77.10

Haddii ip route get wali soo sheegayo interface underlay, halkaas joog; wax kale oo dariiqa ku jira ma hagaajin karo raadin qaldan.

Qalabka guriga ma laha dariiq u socda 172.28.90.0/24, sidaas darteed jawaabahoodu waxay raacaan gateway-ka caadiga ah oo waxay ku dhintaan router-ka. Waxaa jira laba hagaajin oo la taageeray. Ama ku dar dariiq static router-ka guriga oo prefix-ka hotspot-ka u jeeda cinwaanka LAN ee server-ka VPN, ama, marka server-ku laftiisu yahay gateway-ka, diiwaangeli prefix-ka macmiilka shaxda dariiqa server-ka laftiisa. Habka multi-client ee OpenVPN, galka macmiilka gaar ah wuxuu qaadaa xiriirkaas: fayl loogu magac daray magaca guud ee shahaadada macmiilka, oo ka kooban iroute 172.28.90.0 255.255.255.0 iyo sadarka route ee u dhigma ee ku rakibaya kernel-ka server-ka. Dariiq kernel la qiyaasay server-ka ma aha isla hadalka sheegidda server-ka macmiilkee leh prefix-ka.

Ha u rarin adeegga DHCP ee shabakadda guriga server-ka VPN si tan u shaqayso. Beddelka gateway-ka caadiga ah ee guri dhan waa isbeddel aad uga weyn ku darista hal dariiq soo noqod oo gaar ah, oo waxay jiitaa DNS, kaydka cinwaannada iyo qalab kasta oo iska indhatiraya heshiiska cusub guuldarrada.

Fur gudbinta adigoon qiyaasin firewall-ka

Gudbinta furan macnaheedu ma aha in packet-ka loo oggol yahay inuu gudbo. Taraafikga buundada ilaa tunnel-ka wali wuxuu ku dhacaa xeerarka shaandhaynta, oo siyaasadda gudbinta caadiga ah ee drop waxay tuurtaa taraafikga hotspot-ka halka taraafikga Pi laftiisu sii shaqaynayo, taas oo si sax ah u soo saarta calaamadda kala qaybsan ee kor ku xusan.

iptables -S FORWARD
iptables -t nat -S POSTROUTING
nft list ruleset

Raadi xeer aqbalid laga bilaabo br0 ilaa tun0 iyo jihada jawaabta u dhigma, iyo xeer postrouting oo laga yaabo inuu dib u qoro isha. Haddii siyaasadda silsiladdu tahay drop oo aan xeerna ku habboonayn, ku dar aqbalida cidhiidhiga ah oo dib u tijaabi halkii aad siyaasadda u rogi lahayd accept.

Turjumaaddu waa doorasho siyaasadeed ee ma aha shardi. NAT-ka isha ee u jeeda LAN-ka guriga wuxuu macmiil kasta oo hotspot ah u muujiyaa sida cinwaanka tunnel-ka Pi, taas oo luminaysa nisbaynta macmiil kasta ee diiwaannada guriga oo jebisa adeegyada filanaya isha asalka ah. Dariiq la'aan NAT waxay hayaan cinwaannada macaamiisha la arki karo laakiin waxay ku xiran tahay dariiqa soo noqodka ee kor ku xusan. Dooro mid oo DNS iyo IPv6 ula dhaqan si isku mid ah, sababtoo ah dariiqa IPv4 shaqaynaya oo ag taal dariiqa IPv6 jaban ayaa wali browser-ka loo akhriyaa sidii badh jaban.

Xaqiiji safarka iyo soo noqoshada, ka dib ula kac u jebi

Ka tijaabi macmiil hotspot, waligaa ka tijaabin Pi, sababtoo ah taraafikga Pi laftiisu wuxuu dhaafaa dariiqa hore iyo kan soo noqodka labadaba. Fiiri labada interface halka hal macmiil isku dayayo inuu gaaro adeeg guri.

tcpdump -ni br0 host 192.168.77.10
tcpdump -ni tun0 host 192.168.77.10
ping -c 3 192.168.77.10

Akhri labada duubista wada. Codsiyada br0 oo waligood ka soo muuqan tun0 waxay ka dhigan tahay Pi ma gudbinayo ama dariiquu u jeedaa meel kale. Codsiyada tun0 oo aan jawaab lahayn waxay ka dhigan tahay dhinaca guriga ma laha dariiq soo noqod ama server-ku wuu shaandheeyay packet-ka. Jawaabaha tun0 oo waligood dib uga soo muuqan br0 waxay ka dhigan tahay xeerka shaandhaynta rogan ayaa maqan, halkaas oo tunnel-ku u eg yahay mid qumman oo macmiilku wali waxba arkin.

Ka dib ula kac u jebi dariiqa. Hoos u dhig xiriirka modem-ka oo mar kale kor u qaad oo dib u socodsii hubinta dariiqa iyo duubista; dariiq ka badbaada tunnel-ka laakiin ku waaya dib u xirnaanta waxay ka tirsan tahay profile-ka xiriirka, ma aha amar hal mar ah. Xaqiiji in gaadiidka tunnel-ku wali ka baxo underlay oo aan ka bixin isaga laftiisa, oo ah wareegga caadiga ah marka dariiq caadi ah oo la riixay la aqbalo iyada oo aan lahayn dariiq host u socda peer-ka.

Aqbal naqshadda kaliya marka macmiil hotspot uu xallin karo magac guri, furi karo adeeg TCP oo uu sii hayn karo kulan nool inta lagu jiro hal dib u xirnaan modem. Haddii application-ku runtii u baahan yahay ogaansho heer Ethernet ah qaybta guriga, dooro naqshad Layer 2 la taageeray halkii aad ku sharixi lahayd buundada maxalliga ah mid la buundo oo aad sugayso faafinta inay soo muuqato.