Köprülü VPN erişim noktası: telefon hangi varsayılan rotayı kullanıyor?
Pi'nin varsayılan rotası telefonun ağ geçidi değildir. İki kararı ayırın, uplink'i köprünün dışında tutun ve lease'i tünelden önce test edin.
Köprülü erişim noktanızdaki telefon adresini ve ağ geçidini bir yerden alır ve bu, Pi'nin varsayılan rotası değildir. Pi'nin varsayılanını değiştirmek, Pi'nin kendi trafiğini nereye gönderdiğini değiştirir. Telefon kendisine söylenen ağ geçidini kullanmaya devam eder ve bu ağ geçidi uzak LAN'da bulunduğunda çerçeveleri köprüden geçer. İki tüketici, iki karar. Bunları ayırmak, Pi'nin kendisi iyiyken interneti olmayan bir erişim noktasıyla ilgili bildirimlerin çoğunu açıklar.
İki cihaz, iki farklı ağ geçidi kararı
Pi'nin kendi IP yığını ve kendi varsayılan rotası vardır. Telefonun kendi IP yığını ve kendi varsayılan rotası vardır.
| Consumer | Who chooses its gateway | What carries the traffic |
|---|---|---|
| Phone on the bridged AP | The remote LAN router, delivered in its client configuration | An Ethernet frame toward that router crosses the AP and TAP bridge |
| Pi's encrypted connection | The travel uplink's route toward the VPN peer | The Pi sends its own outer transport packets over the underlay |
O tablo bütün modeldir. Telefonun ağ geçidi uzak LAN'daki bir adrestir ve çerçeveleri katman 2'de o yönlendiriciye iletilir. Pi'nin varsayılan rotası, Pi'nin kendi dış taşımasıyla ilgilidir ve bu taşımanın seyahat uplink'i üzerinden VPN eşine ulaşması gerekir.
Köprü çerçeveleri iletir, paketleri yönlendirmez
Bir Linux köprüsü Ethernet çerçevelerini hedef MAC'e göre iletir ve portları arasında yaptığı tek şey budur. Telefonun uzak yönlendiricinin MAC'ine adreslenmiş çerçevesi TAP portuna geçirilir ve Pi'nin yönlendirme tablosuna dokunmadan tüneli geçer. Bu yüzden bozuk bir Pi varsayılan rotası telefonu çalışır bırakabilir ve bu yüzden doğru bir rota yanlış ağ geçidi verilmiş bir telefonu düzeltemez.
TAP Ethernet çerçeveleri taşır ve köprü portu olabilir. TUN IP paketleri taşır ve olamaz. Tasarımınız birini diğeriyle değiştirdiyse köprü köprü değildir ve buradaki geri kalan geçerli değildir.
Telefonun lease'ini kimin dağıttığına karar verin
DHCP seçeneği 3 yönlendirici seçeneğidir ve istemciye kendi alt ağı için hangi ağ geçidini kullanacağını söyler. Uzak LAN'ın DHCP sunucusu tek dağıtıcı olduğunda telefon uzak bir ağ geçidi alır ve tasarım tutarlıdır. Seyahat tarafında başka bir şey önce yanıt verdiğinde telefon yerel bir ağ geçidi alır, internet trafiği seyahat uplink'inden çıkar ve uzak LAN trafiğinin hiçbir yolu yoktur.
O yayın alanı için tek bir dağıtıcı çalıştırın ve ne dağıttığını kaydedin.
Pi, aynı lease'ten adres alsa bile ayrı bir durumdur. Lease'in sunduğu rotaları kurup kurmayacağına bilinçli olarak karar verin, çünkü içe aktarılmış uzak bir varsayılan, Pi'nin kendi VPN taşımasını canlı tutmaya çalıştığı tünelin içine çekebilir. systemd-networkd ile bu karar DHCP bölümündeki UseRoutes=; dhclient ile istek listesindeki routers seçeneğidir.
Uplink'i köprülü LAN'ın dışında tutun
Pi'nin dış VPN bağlantısını taşıyan arabirim köprü portu olmamalıdır. Olursa şifreli taşıma genişletilmiş LAN'a geçer ve tünel sonunda kendi dış paketlerini taşır, bu da döngü değil paket kaybı gibi görünen bir şekilde başarısız olur. AP yeteneğini ve köprü desteğini de açık tutun. station kipindeki kablosuz arabirim genellikle köprü portu olamaz, çünkü 802.11 başlığında bir köprünün ihtiyaç duyduğu ikinci MAC adresine yer yoktur.
Tanımlayın genişletilmiş yayın alanını, tek bir adres planı ve gerçekten istediğiniz çerçeve filtrelemesini. Pi'de VPN dinleyicisine izin vermek, köprülü her istemciye Pi'nin yönetim hizmetlerine erişim vermez. Bunlar ayrı kurallardır ve onları tek kural gibi ele almak, bir erişim noktasının sessizce açık bir kapıya dönüşme yoludur.
Bozulduğunda dört şeyi ayrı ayrı test edin
Telefon uzak LAN'a ulaşamadığında dört gözlem nedenleri ayırır. Bunları bu sırayla çalıştırın ve ilk başarısız olanda durun.
ip route show default
bridge link show
ip -4 neigh show dev br0
tcpdump -ni br0 arp or icmpLease ile başlayın: telefonun uzak alt ağda adresi ve ağ geçidi var mı? Sonra köprüye bakın ve AP portu ile TAP portunun ikisinin de ilettiğini doğrulayın. Sonra komşu tablosunu okuyun, çünkü uzak yönlendirici için çözülmemiş bir kayıt çerçevelerin çıktığı ve hiçbir şeyin yanıt vermediği anlamına gelir. Son olarak telefon ping atarken köprüdeki çerçeveleri izleyin; bu size arızanın IP'nin altında olup olmadığını söyler.
Bitirdiğinizde her varsayılan rotanın hangi cihaza ait olduğunu kaydedin. Bir satır belge, yerel ve uzak çıkışı bilinçli bir istemci kararına dönüştürür ve köprü referansını yanında tutmak değerlidir.