Ibahagi ang Isang Koneksyong VPN sa Lahat ng Device sa Iyong LAN

Isang laptop ang humahawak ng tunnel, gusto ng iba pang bahay ang parehong access, at ang unang pagtatangka ay ituro ang lahat sa konektadong makina. Nabibigo ito dahil sa mga dahilang walang kaugnayan sa VPN: kailangang ipasa ng tumatanggap na host ang packet, muling isulat ang pinagmulan nito at tiyakin na makakahanap ng daan pabalik ang mga tugon. Kapag may kulang sa tatlo, patuloy na gumagana ang konektadong laptop habang wala namang tugon ang lahat ng iba pang device. Ang solusyon ay isang disenyo ng routing, hindi isang setting ng client.

Bakit nabibigo ang pagturo ng mga device sa host

Ang host na tumatanggap ng packet na naka-address sa isang malayong network ay nagiging router sa sandaling iyon, may nag-configure man nito nang ganoon o wala. Naka-off bilang default ang pagpapasa sa Linux at sa Windows maliban kung may feature na nagbubukas nito. Mahalaga ang pagsasalin ng address dahil kailangang malaman ng malayong panig kung saan ipapadala ang mga tugon, at walang ibig sabihin sa kanya ang isang pribadong LAN address. Ang ruta pabalik ang ikatlong bahagi, at ito ang nakakalimutan ng mga tao kapag tila nagtagumpay ang unang ping.

I-diagnose sa ganoong pagkakasunod-sunod sa halip na random na i-on at i-off ang mga setting. Bawat kulang na bahagi ay nagdudulot ng bahagyang ibang sintomas.

I-on ang pagpapasa at pagsasalin ng address sa host

Dalawang pagbabago sa konektadong host ang sumasaklaw sa unang dalawang bahagi: i-on ang pagpapasa ng IPv4 at isalin ang trapiko ng LAN sa interface ng tunnel.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

Panatilihin ang halaga ng sysctl sa isang file sa ilalim ng /etc/sysctl.d, at muling suriin ang masquerade rule pagkatapos ng reboot, dahil maaaring burahin ng mga front end ng firewall ang mga custom chain. Sa Windows ginagawa ng sharing feature ang dalawang hakbang, ngunit muli rin nitong ina-address ang LAN adapter sa isang fixed subnet at binubura ang gateway nito, na sumisira sa static addressing at port forwarding. Ibalik ang landas ng router patungo sa host sa bago nitong address bago magpasyang nabigo ang pagbabahagi. Pagkatapos ay panoorin ang pagtaas ng mga counter ng rule habang nagpapadala ng trapiko ang pangalawang device.

Bigyan ang LAN ng landas na nakakaligtas sa mga reboot

Kailangan ng iba pang device ng ruta patungo sa malayong prefix, at ang dalawang paraan ng pagbibigay nito ay magkaiba sa saklaw ng epekto.

ip route add 10.8.0.0/24 via 192.168.1.20 dev eth0

Ang pagturo sa default gateway ng client sa host ay nagpapadala ng lahat ng trapiko nito sa host, kabilang ang lokal na pag-print at pagbabahagi ng file, kaya tumitigil ang mga walang kaugnayang bagay kapag natutulog ang host. Ang pagdaragdag ng partikular na ruta sa router para sa malayong prefix ay mas makitid: ang mga destinasyon sa likod ng tunnel lang ang pumupunta sa konektadong makina, at patuloy na gumagana ang natitirang LAN. Ang mga subnet sa itaas ay halimbawa lamang, kaya palitan ang mga ito ng sarili mong saklaw ng LAN at tunnel. Sa alinmang paraan, subukan mula sa pangalawang device habang naka-on at pagkatapos naka-off ang tunnel.

Alamin ang MTU bago sisihin ang tunnel

Binabawasan ng tunnel ang magagamit na laki ng packet, at wala itong kaalaman ang pangalawang device. Nagsisikip ang malalaking paglilipat at TLS handshake habang nagtatagumpay ang maliliit na request.

ping -M do -s 1400 10.8.0.5

Ang isang tugon ay nagpapatunay na ang laki noon ay tumatawid sa landas nang walang fragmentation; ang pag-timeout ay nangangahulugang itinulak ng encapsulation overhead ang packet lampas sa MTU ng tunnel. Bawasan ang MTU sa interface ng pagbabahagi o limitsahan ang maximum segment size sa device na nagpapasa, at ulitin ang parehong pagsusuri. Subukan muna ang parehong laki sa gilid ng LAN, dahil ang lokal na pagkabigo ay tumutukoy sa LAN at hindi sa tunnel. Itala ang gumaganang laki, dahil maaaring ilipat ito ng pagbabago ng provider o tunnel sa hinaharap.

Para sa isang karagdagang device, sapat na ang pagbabahagi mula sa host. Para sa isang sambahayan, ilagay ang ruta sa router. Kapag kailangang manatili ang access kahit umalis ang laptop kasama ka, ang tunnel mismo ay nararapat sa isang dedikadong gateway.