树莓派 作为网关整个网络路由至 VPN 的几点注意

回国之后不久 Dropbox 就被封了，真是够狠的，最近还有工作要通过 Dropbox 协作才能完成，所以我就开始折腾 strongSwan 在 Mac OS X 上的配置。但是 strongSwan 在 Mac 上有个 DNS 问题，导致连接上 VPN 之后，DNS 服务器设置成功，但是 DNS 查询用的 interface 并没有更新（还是 eth0，而不是新建的 tun0），导致 resolver 的“Reachable”标记消失，无法查询域名。研究了几天 System Configuration Framework 都没有结果，后来想到干脆捡起之前通过 Raspberry Pi 全家翻墙的烂摊子，继续研究这一种方法，比较一劳永逸。

这个方法的大概意思是，当网络中的一个电脑需要访问不在子网掩码所遮罩的子网下时，网络会把数据包发给网关。默认的网关一般都是路由器。但是通过这个方法，我们让 Raspberry Pi（或者其它的任何一台 Linux 电脑）作网关，而不是让原来的路由器作网关，并把收到的数据发给位于境外的 VPN 网关，从而达到从境外访问网络的目的。

这个方法要求配置 strongSwan 做一个 site-to-site 网络，所以需要你也有 VPN 网关的控制权。我还没有研究出来如何在 Raspberry Pi 上做 NAT，所以暂时需要在远端网关上配置一个“conn”指定家中网络的子网，然后通过 iptables 设置转发整个子网。IPsec 本身的配置我就不再说了，这类的东西网上比较多，只需要一个 site-to-site，然后远端子网设置成 0.0.0.0/0 即可。

在配置过程中，会遇到一个问题，就是让远端子网设置成了 0.0.0.0/0 之后，连接上 VPN 之后，其它电脑就再也无法和 Raspberry Pi 通信了 ，大概是因为 Raspberry Pi 发出的包都通过隧道发送到 VPN 网关了。这个问题可以通过设置一个“shunt policy”来解决。在/etc/ipsec.conf中可以指定一个新的“conn”：

conn local-net
  leftsubnet=192.168.11.0/24
  rightsubnet=192.168.11.0/24
  authby=never
  type=pass
  auto=route

这样的话，来往 192.168.11.0/24 子网的通信都会 bypass VPN 隧道。

另外一个大概会遇到的问题问题就是，在 Raspberry Pi 上运行 strongSwan 并且连接上了 VPN 之后，家中局域网的所有设备都会提示 IP 地址冲突 。这是因为，RFC2131和5227 说，在获得 DHCP 提供的 IP 地址后，在使用这个地址前电脑必须马上使用 ARP 来探测局域网中的地址冲突。ARP 是广播来问局域网中某个 IP 地址应该解析成哪个 MAC 地址。然而，strongSwan 的“farp”插件在这个情形下会导致严重问题，因为我们的 rightsubnet 说的是 0.0.0.0/0，所以 farp 插件会对针对任何 IPv4 地址的 ARP 探测使用自己的 MAC 地址做出回应，所以局域网中的电脑不管想用什么 IP 地址都会发现“这个地址已经被占用了”。解决的方法是，运行ipsec statusall然后列出正在使用的插件列表，删除“farp”然后将这个列表手工指定在/etc/strongswan.conf。

另外可能遇到的问题是，类似Instagram 和Speedtest.net 的网站可能会打不开 （stall）。这个问题是 MTU 设置过大导致的。Raspberry Pi 上 Arch Linux eth0 接口默认的 MTU 是 1500，如果所访问网站的 MSS 设置得很大，电脑发出去的包还是很大，再被加上 ESP header，就超过了 1500 字节了，会导致包被丢弃。解决的方法可以是改变家里每台电脑的 MTU 值，但是很复杂。另外的办法就是修改网站那一方的 MSS 值，让电脑误认为网站无法处理很大的数据包，这样电脑发出来的包在加上各种 header 就不会超过 1500 了。改写网站发来的 MSS 值可以通过在 Raspberry Pi 上使用 iptables -t mangle -A FORWARD -o eth0 -p tcp -m tcp –tcp-flags SYN,RST SYN -m tcpmss –mss 1361:1536 -j TCPMSS –set-mss 1360来实现。

另外我想说一下这一种通过 Rapberry Pi 来连接 VPN 的方法是比较靠谱的，因为如果远端 VPN 服务器出现问题，“死掉的小伙伴检测”（Dead Peer Detection）理论上是可以在较短时间内发现并且移除 Raspberry Pi 中的 ip xfrm 规则的，这样的话经过 Raspberry Pi 的网络流量不会断掉，而是通过家里原来的默认路由访问互联网。虽然不能再经过 VPN 了，但是至少不会断网。