VPN Bağlantınızı LAN'ınızdaki Her Cihazla Paylaşın

Bir dizüstü bilgisayar tüneli elinde tutuyor, evin geri kalanı aynı erişimi istiyor ve ilk deneme her şeyi bağlı makineye yöneltmek oluyor. Bu, VPN ile hiçbir ilgisi olmayan nedenlerle başarısız olur: paketi alan ana makine paketi iletmeli, kaynağını yeniden yazmalı ve yanıtların geri dönüş yolunu bulmasını sağlamalıdır. Üçünden biri eksik olursa bağlı dizüstü çalışmaya devam ederken diğer tüm cihazlar yanıt alamaz. Çözüm, istemci ayarı değil bir yönlendirme tasarımıdır.

Cihazları ana makineye yöneltmek neden başarısız olur

Uzak bir ağa adreslenmiş bir paket alan ana makine, o an için yönlendirici olur; biri onu öyle yapılandırmış olsun ya da olmasın. İletim, Linux'ta ve Windows'ta bir özellik açmadıkça varsayılan olarak kapalıdır. Adres çevirisi önemlidir çünkü uzak taraf yanıtları nereye göndereceğini bilmelidir ve özel bir LAN adresi onun için hiçbir şey ifade etmez. Dönüş rotası üçüncü parçadır ve ilk ping başarılı göründüğünde insanların unuttuğu parça da budur.

Ayarları rastgele açıp kapatmak yerine bu sırayla teşhis edin. Eksik her parça biraz farklı bir belirti üretir.

Ana makinede iletimi ve adres çevirisini etkinleştirin

Bağlı ana makinedeki iki değişiklik ilk iki parçayı kapsar: IPv4 iletimini etkinleştirin ve LAN trafiğini tünel arayüzüne çevirin.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

sysctl değerini /etc/sysctl.d altındaki bir dosyada kalıcı hale getirin ve yeniden başlatmadan sonra masquerade kuralını tekrar kontrol edin, çünkü güvenlik duvarı ön yüzleri özel zincirleri temizleyebilir. Windows'ta paylaşım özelliği her iki adımı da yapar, ancak LAN bağdaştırıcısını sabit bir alt ağa yeniden adresler ve ağ geçidini siler; bu da statik adreslemeyi ve bağlantı noktası yönlendirmeyi bozar. Paylaşımın başarısız olduğu sonucuna varmadan önce yönlendiricinin ana makineye giden yolunu yeni adresinde geri yükleyin. Ardından ikinci bir cihaz trafik gönderirken kural sayaçlarının arttığını izleyin.

LAN'a yeniden başlatmalara dayanan bir yol verin

Diğer cihazların uzak ön eke bir rotaya ihtiyacı vardır ve bunu sağlamanın iki yolu etki alanı bakımından farklıdır.

ip route add 10.8.0.0/24 via 192.168.1.20 dev eth0

Bir istemcinin varsayılan ağ geçidini ana makineye yöneltmek, yerel yazdırma ve dosya paylaşımı dahil tüm trafiğini ana makineden geçirir, bu yüzden ana makine uyuduğunda ilgisiz şeyler durur. Yönlendiricide uzak ön ek için belirli bir rota eklemek daha dardır: yalnızca tünelin arkasındaki hedefler bağlı makineye gider ve LAN'ın geri kalanı çalışmaya devam eder. Yukarıdaki alt ağlar örnektir, bu yüzden bunları kendi LAN ve tünel aralıklarınızla değiştirin. Her iki durumda da tünel açıkken ve sonra kapalıyken ikinci bir cihazdan test edin.

Tüneli suçlamadan önce MTU'ya dikkat edin

Tüneller kullanılabilir paket boyutunu küçültür ve ikinci cihazın bundan haberi yoktur. Büyük aktarımlar ve TLS el sıkışmaları takılırken küçük istekler başarılı olur.

ping -M do -s 1400 10.8.0.5

Bir yanıt, bu boyutun yolu parçalanmadan geçtiğini kanıtlar; bir zaman aşımı, kapsülleme yükünün paketi tünelin MTU'sunun ötesine ittiği anlamına gelir. Paylaşım arayüzündeki MTU'yu düşürün veya ileten cihazdaki en büyük segment boyutunu sınırlayın, ardından aynı testi yineleyin. Önce aynı boyutu LAN tarafında test edin, çünkü yerel bir hata tüneli değil LAN'ı işaret eder. Çalışan boyutu kaydedin, çünkü sağlayıcı veya tünel değişikliği onu kaydırabilir.

Tek bir ek cihaz için ana makineden paylaşım yeterlidir. Bir ev için rotayı yönlendiriciye koyun. Erişimin dizüstü sizinle birlikte gittiğinde de sürmesi gerekiyorsa, tünelin kendisi ayrı bir ağ geçidine aittir.