Ndani një lidhje VPN me të gjitha pajisjet në LAN-in tuaj

Një laptop mban tunelin, pjesa tjetër e shtëpisë dëshiron të njëjtin akses, dhe përpjekja e parë është të drejtohet gjithçka drejt makinës së lidhur. Dështon për arsye që nuk kanë asnjë lidhje me VPN-në: hosti marrës duhet ta përcjellë paketën, të rishkruajë burimin e saj dhe të sigurojë që përgjigjet të gjejnë rrugën e kthimit. Nëse mungon ndonjë nga të treja, laptopi i lidhur vazhdon të punojë ndërsa çdo pajisje tjetër mbetet pa përgjigje. Zgjidhja është një projektim rrugëtimi, jo një cilësim klienti.

Pse dështon drejtimi i pajisjeve drejt hostit

Një host që merr një paketë të adresuar për një rrjet të largët bëhet router për atë moment, pavarësisht nëse dikush e ka konfiguruar si të tillë apo jo. Përcjellja është e fikur si parazgjedhje në Linux dhe në Windows, përveç nëse një funksion e aktivizon. Përkthimi i adresave ka rëndësi sepse ana e largët duhet të dijë ku t'i dërgojë përgjigjet, dhe një adresë private LAN nuk do të thotë asgjë për të. Rruga e kthimit është pjesa e tretë, dhe është ajo që njerëzit harrojnë kur ping-u i parë duket se ka sukses.

Diagnostikoni në atë rend në vend që të ndizni dhe fikni cilësime rastësisht. Çdo pjesë që mungon prodhon një simptomë paksa të ndryshme.

Aktivizoni përcjelljen dhe përkthimin e adresave në host

Dy ndryshime në hostin e lidhur mbulojnë dy pjesët e para: aktivizoni përcjelljen IPv4 dhe përktheni trafikun LAN në ndërfaqen e tunelit.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Ruani vlerën sysctl në një skedar nën /etc/sysctl.d, dhe rikontrolloni rregullin masquerade pas një rindezjeje, sepse pjesët e përparme të firewall-it mund të zbrazin zinxhirët e personalizuar. Në Windows funksioni i ndarjes kryen të dy hapat, por gjithashtu riadreson përshtatësin LAN në një subnet fiks dhe fshin gateway-in e tij, gjë që prish adresimin statik dhe port forwarding. Riktheni rrugën e routerit drejt hostit në adresën e tij të re përpara se të konkludoni se ndarja dështoi. Pastaj vëzhgoni numëruesit e rregullit duke u rritur ndërsa një pajisje e dytë dërgon trafik.

Jepini LAN-it një rrugë që i mbijeton rindezjeve

Pajisjet e tjera kanë nevojë për një rrugë drejt prefiksit të largët, dhe dy mënyrat për ta siguruar ndryshojnë në shtrirjen e ndikimit.

ip route add 10.8.0.0/24 via 192.168.1.20 dev eth0

Drejtimi i gateway-it të parazgjedhur të një klienti drejt hostit dërgon të gjithë trafikun e tij përmes hostit, duke përfshirë printimin lokal dhe ndarjen e skedarëve, kështu që gjërat e palidhura ndalen kur hosti fle. Shtimi i një rruge specifike në router për prefiksin e largët është më i ngushtë: vetëm destinacionet pas tunelit shkojnë te makina e lidhur, dhe pjesa tjetër e LAN-it vazhdon të punojë. Subnet-et më sipër janë shembuj, prandaj zëvendësojini me intervalet tuaja të LAN-it dhe të tunelit. Në çdo rast, testoni nga një pajisje e dytë me tunelin ndezur dhe më pas fikur.

Vëzhgoni MTU-në përpara se të fajësoni tunelin

Tunelet zvogëlojnë madhësinë e përdorshme të paketës, dhe pajisja e dytë nuk ka asnjë ide. Transferimet e mëdha dhe handshake-t TLS ngecin ndërsa kërkesat e vogla kanë sukses.

ping -M do -s 1400 10.8.0.5

Një përgjigje provon se ajo madhësi e kalon rrugën pa fragmentim; një timeout do të thotë që ngarkesa e inkapsulimit e shtyu paketën përtej MTU-së së tunelit. Zvogëloni MTU-në në ndërfaqen e ndarjes ose kufizoni madhësinë maksimale të segmentit te përcjellësi, pastaj përsëritni të njëjtin provë. Testoni të njëjtën madhësi në anën e LAN-it së pari, sepse një dështim lokal tregon LAN-in dhe jo tunelin. Shënoni madhësinë që funksionon, pasi një ndryshim i mëvonshëm i ofruesit ose i tunelit mund ta zhvendosë atë.

Për një pajisje të vetme shtesë, ndarja nga hosti mjafton. Për një familje, vendoseni rrugën në router. Kur aksesi duhet t'i mbijetojë largimit të laptopit bashkë me ju, vetë tuneli i takon një gateway të dedikuar.