Bitta VPN ulanishini LAN tarmog'idagi barcha qurilmalar bilan bo'lishing

Bitta noutbuk tunnelni ushlab turadi, uyning qolgan qismi xuddi shu kirishni xohlaydi va birinchi urinish hamma narsani ulangan mashinaga yo'naltirishdir. Bu VPN bilan hech qanday aloqasi bo'lmagan sabablarga ko'ra muvaffaqiyatsiz bo'ladi: qabul qiluvchi xost paketni yo'naltirishi, manbasini qayta yozishi va javoblar qaytish yo'lini topishiga ishonch hosil qilishi kerak. Uchtadan birini o'tkazib yuborsangiz, ulangan noutbuk ishlashda davom etadi, qolgan barcha qurilmalar esa javob olmaydi. Yechim — marshrutlash loyihasi, mijoz sozlamasi emas.

Nega qurilmalarni xostga yo'naltirish muvaffaqiyatsiz bo'ladi

Uzoq tarmoqqa manzillangan paketni qabul qilgan xost o'sha lahzada routerga aylanadi, kimdir uni shunday sozlaganmi yoki yo'qmi, baribir. Yo'naltirish Linux va Windowsda sukut bo'yicha o'chirilgan, agar biron funksiya uni yoqmasa. Manzil tarjimasi muhim, chunki uzoq tomon javoblarni qayerga yuborishni bilishi kerak, xususiy LAN manzili esa unga hech narsa demaydi. Qaytish marshruti uchinchi qism bo'lib, birinchi ping muvaffaqiyatli ko'ringanda odamlar aynan shuni unutadi.

Sozlamalarni tasodifiy yoqib-o'chirish o'rniga shu tartibda tashxis qo'ying. Har bir etishmayotgan qism biroz boshqacha alomat beradi.

Xostda yo'naltirish va manzil tarjimasini yoqing

Ulangan xostdagi ikkita o'zgarish birinchi ikki qismni qoplaydi: IPv4 yo'naltirishni yoqing va LAN trafigini tunnel interfeysiga tarjima qiling.

sysctl -w net.ipv4.ip_forward=1
iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADE

sysctl qiymatini /etc/sysctl.d ostidagi faylda saqlang va qayta yuklashdan keyin masquerade qoidasini yana tekshiring, chunki xavfsizlik devori old qismlari maxsus zanjirlarni tozalashi mumkin. Windowsda bo'lishish funksiyasi ikkala qadamni ham bajaradi, lekin u LAN adapterini qat'iy subnetga qayta manzillaydi va shlyuzini o'chiradi, bu esa statik manzillashni va port yo'naltirishni buzadi. Bo'lishish muvaffaqiyatsiz bo'ldi degan xulosaga kelishdan oldin routerning xostga boradigan yo'lini yangi manzilda tiklang. Keyin ikkinchi qurilma trafik yuborayotganda qoida hisoblagichlari oshib borishini kuzating.

LANga qayta yuklashdan omon qoladigan yo'l bering

Boshqa qurilmalarga uzoq prefiksga marshrut kerak, uni ta'minlashning ikki usuli ta'sir doirasi bilan farq qiladi.

ip route add 10.8.0.0/24 via 192.168.1.20 dev eth0

Mijozning standart shlyuzini xostga yo'naltirish uning barcha trafigini xost orqali o'tkazadi, jumladan mahalliy chop etish va fayl bo'lishishni, shuning uchun xost uxlaganda aloqasiz narsalar to'xtaydi. Routerda uzoq prefiks uchun aniq marshrut qo'shish torroq: faqat tunnel orqasidagi manzillar ulangan mashinaga boradi, LANning qolgan qismi ishlashda davom etadi. Yuqoridagi subnetlar misol, shuning uchun ularni o'zingizning LAN va tunnel diapazonlaringiz bilan almashtiring. Qanday bo'lmasin, tunnel yoqilganda va keyin o'chirilganda ikkinchi qurilmadan sinab ko'ring.

Tunnelni ayblashdan oldin MTUga e'tibor bering

Tunnellar foydali paket hajmini kichraytiradi va ikkinchi qurilma bu haqda hech narsa bilmaydi. Katta uzatishlar va TLS qo'l siqishlari to'xtab qoladi, kichik so'rovlar esa muvaffaqiyatli bo'ladi.

ping -M do -s 1400 10.8.0.5

Javob bu hajm yo'ldan bo'linmasdan o'tishini isbotlaydi; vaqt tugashi inkapsulyatsiya yuki paketni tunnel MTUsidan nariga surganini bildiradi. Bo'lishish interfeysida MTUni pasaytiring yoki yo'naltiruvchi qurilmada maksimal segment hajmini cheklang, so'ngra xuddi shu tekshiruvni takrorlang. Avval xuddi shu hajmni LAN tomonida sinab ko'ring, chunki mahalliy xato tunnelga emas, LANga ishora qiladi. Ishlaydigan hajmni yozib qo'ying, chunki keyinchalik provayder yoki tunnel o'zgarishi uni siljitishi mumkin.

Bitta qo'shimcha qurilma uchun xostdan bo'lishish kifoya. Uy xo'jaligi uchun marshrutni routerga qo'ying. Kirish noutbuk siz bilan ketganda ham saqlanib qolishi kerak bo'lsa, tunnelning o'zi alohida shlyuzga tegishli.