Cleient OpenVPN ar gyfer y LAN gyfan ar OpenWrt: trefn sy’n gweithio

Mae pedair gwaith annibynnol yn rhoi LAN gyfan llwybrydd y tu ôl i un twnnel. Mae ar ddyfais y twnnel angen perchennog, parth mur tan, targed cyfieithu tuag at y cyswllt i fyny ac, os oes rhaid i rai cleientiaid aros oddi ar y VPN, llwybro yn ôl cyfeiriad ffynhonnell. Mae twnnel sy’n cysylltu tra nad oes dim yn pasio fel arfer ar goll un o’r pedwar hynny. Gweithio mewn trefn dibynniaeth yn golygu bod methiant ar y diwedd yn perthyn i’r cam yr ydych newydd ei newid. Mae pob cam isod yn gorffen gyda rhywbeth y gallwch ei arsylwi, ac mae hynny’n cadw’r nesaf rhag bod yn ddyfaliad.

Penderfynwch beth sy’n rhannu’r twnnel

Gall y llwybrydd sy’n dosbarthu Wi-Fi a DHCP redeg y cleient ei hun. Mae hynny’n rhoi pob dyfais gysylltiedig y tu ôl i’r twnnel heb unrhyw osod fesul dyfais, a dyna’r drefn y mae’r rhan fwyaf o safleoedd bach yn ei heisiau. Dyma hefyd y drefn â’r effaith fwyaf pan fydd y twnnel yn disgyn, oherwydd bod pob dyfais yn colli ei llwybr ar unwaith. Nid oes dim ar y LAN yn cadw llwybr allan sy’n gweithio.

Mae ail lwybrydd y tu ôl i’r cyntaf, yn rhedeg y cleient gyda’i is-rwydwaith ei hun, yn cyfyngu’r twnnel i’w ddyfeisiau ei hun. Mae’n haws ei dynnu a’n haws ei esbonio i bwy bynnag sy’n ei etifeddu. Y gost yw cyrhaeddedd rhwng y ddau ochr heb lwybr na phorthladd blaen.

Un ffordd neu’r llall, gwnewch is-rwydweithiau’r LAN yn wahanol. Mae ystodau unfath yn gwneud un ochr i edrych fel pe bai wedi’i chysylltu’n uniongyrchol, ac mae’r twll du sy’n deillio’n edrych fel nam VPN am oriau.

Rhowch berchennog i’r twnnel

Datganwch y twnnel fel rhyngwyneb rhwydwaith ag enw, dyfais ac heb brotocol iddo’i hun. Yna mae’r system rwydwaith yn creu ac yn rheoli’r ddyfais, ac mae popeth i lawr yr afon yn cyfeirio at y rhyngwyneb wrth ei enw yn hytrach nag wrth y ddyfais. Dyna sy’n caniatáu i’r parth ei ganfod.

Peidiwch â chreu’r un ddyfais mewn dau le. Mae twnnel wedi’i wneud â llaw wrth ymyl rhyngwyneb a ddatganwyd yn cynhyrchu dyfais sy’n bodoli ond nad yw mewn parth, neu un sy’n diflannu ar ail-lwytho. Mae’r ddau’n edrych fel pe bai’r cleient wedi methu, ac nid yw’r un ohonynt yn cynhyrchu gwall sy’n enwi’r gwir achos. Dewiswch y llwybr datganiadol a dilewch yr un â llaw.

Cadwch yr enw’n unfath yn y ffurfweddiad rhwydwaith, mur tan a VPN. Mae’r parth yn rhestru rhwydweithiau wrth eu henw, felly mae gwall teipio’n gadael y twnnel y tu allan i bob parth tra bo’r rhyngwyneb ei hun yn edrych yn iach. Rhyngwyneb iach heb bolisi yw’r cyflwr anoddaf ei weld.

Rhowch ef mewn parth, yna anfonwch i mewn iddo

Parth mur tan yw lle mae polisi’n byw: input, output, forward a masquerade. Mae twnnel heb barth yn cael ei reoli gan ragosodiadau na wnaethoch eu dewis, ac anaml yw hynny’r hyn sydd ei angen ar gleient llwybrydd. Mae’r blociau isod yn datgan y rhyngwyneb, yn ei osod mewn parth ac yn caniatáu traffig y LAN i mewn i’r parth hwnnw.

config interface 'vpn'
    option device 'tun0'
    option proto 'none'

config zone
    option name 'vpn'
    list network 'vpn'
    option input 'REJECT'
    option output 'ACCEPT'
    option forward 'REJECT'
    option masq '1'

config forwarding
    option src 'lan'
    option dest 'vpn'

Ar ryddhadau hŷn na 21.02 ysgrifennir yr un llinell rhyngwyneb fel option ifname, felly gwiriwch ba ffurf y mae’r cadarnwedd sydd wedi’i osod yn ei ddosrannu cyn gludo. Y bloc anfon yw’r caniatâd sy’n gadael i draffig y LAN ddefnyddio’r twnnel o gwbl. Heb hynny mae’r ddyfais i fyny, mae’r cleient wedi cysylltu, ac nid oes gwesteiwr LAN yn cyrraedd y twnnel. Dyma’r adroddiad mwyaf cyffredin o gysylltu ond dim rhyngrwyd ar gleientiaid llwybrydd.

Mae masquerade ar y parth VPN yn cywasgu pob cyfeiriad LAN i gyfeiriad twnnel y llwybrydd cyn i’r pecyn adael. Mae hynny’n dileu’r angen am lwybr dychwelyd i’ch is-rwydwaith ar yr ochr bell.

Os yw’r ochr bell eisoes yn llwybro eich LAN, mae diffodd masquerade yn cadw cyfeiriadau ffynhonnell yn weladwy ac yn gwneud cofnodion fesul cleient yn ystyrlon. Dewiswch un ac ysgrifennwch pa un, oherwydd bydd y ddau ddewis yn cynhyrchu gwahanol gwestiynau cymorth yn ddiweddarach. Mae tynnu’r anfon rhagosodedig o’r LAN i’r WAN yn benderfyniad ar wahân gyda’i ganlyniad ei hun. Tynnwch ef ac mae mynediad y llwybrydd ei hun i’r rhyngrwyd yn mynd gyda fe.

Enwch y cyswllt i fyny go iawn yn NAT

Ar gadarnwedd lle mae’r rheol gyfieithu wedi’i hysgrifennu â llaw, y maes sy’n mynd o’i le yw’r rhyngwyneb allan. Nid yw rheol sy’n enwi vlan2 yn gwneud dim pan fydd y sesiwn yn gorffen ar ppp0. Gall rheol heb unrhyw ryngwyneb gyfieithu traffig a ddylai fod wedi aros yn breifat. Nid yw’r un o’r ddau gamgymeriad yn cyhoeddi ei hun, oherwydd bod y twnnel yn parhau i weithio.

iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE

Cymerwch ppp0 allan o’r rheol honno a rhoi’r rhyngwyneb o ip route neu o’r rhestr rhyngwynebau sy’n rhedeg, yna gwyliwch y rhifydd tra bo gwesteiwr LAN yn llwytho tudalen. Ar lwybrydd un darparwr, mae un rheol masquerade ar gyfer y cyswllt i fyny fel arfer yn ddigon. Nid yw ail reol ar gyfer rhyngwyneb y twnnel yn cymryd lle’r gyntaf.

Yna ychwanegwch opsiynau’r cleient sy’n penderfynu beth sy’n mynd i mewn i’r twnnel. Mae’r gyfarwyddeb redirect-gateway yn anfon traffig rhyngrwyd y cleient drwy’r VPN, a hebddi nid yw’r twnnel ond yn cario’r llwybrau y mae’r gweinydd yn eu gwthio. Gwiriwch y tabl llwybro sy’n deillio cyn i chi gyffwrdd â DNS.

Rhannwch y Wi-Fi gydag ail dabl

Nid yw un tabl llwybro’n gallu dal dau ragosodiad. Felly mae angen is-rwydwaith ei hun a thabl ei hun ar ail SSID sy’n gorfod osgoi’r twnnel. Rhowch ystod ei hun i’r SSID twnelog, yna llwybrwch yr ystod honno’n unig i’r twnnel gyda rheol sy’n dewis y tabl.

Mae pecynnau llwybro polisi ar OpenWrt yn mynegi’r union gyfuniad hwnnw. Mae gwneud hynny â llaw yn gweithio hefyd, gyda rheol ffynhonnell a thabl y mae ei ragosodyn yn pwyntio at ddyfais y twnnel.

Gwiriwch y rhaniad o’r ddwy rwydwaith. Dylai cleient ar yr SSID twnelog ddangos cyfeiriad allan y VPN, a dylai cleient ar yr SSID cyffredin ddangos un y darparwr. Pan fydd y ddau’n edrych yr un fath, mae’r rheol yn cyd-fynd â’r ffynhonnell anghywir neu nid yw’r tabl byth yn cael ei ymgynghori. Profwch ar ôl ailgysylltu hefyd, oherwydd bod rheol sy’n dibynnu ar enw’r rhyngwyneb yn torri pan fydd y ddyfais yn cael ei hailrifo.

Amheuwch y cloc a baner y ddyfais

Mae baner persist-tun yn gadael dyfais y twnnel yn ei lle ar draws ailgychwyn. Mae hynny’n siwtio gweinydd ac yn drysu cleient y dylid ailadeiladu ei gyflwr o’r dechrau. Tynnwch ef wrth ddatrys problem cleient llwybrydd, oherwydd bod dyfais sy’n goroesi trafodaeth fethiedig yn cuddio pa gam a dorrodd mewn gwirionedd. Rhowch ef yn ôl unwaith y bydd y cleient yn cysylltu’n ddibynadwy, ac nid cyn hynny.

Y cloc yw’r methiant distaw arall. Mae llwybrydd heb gloc â batri yn dechrau ar yr epoc, sy’n golygu bod gwiriadau tystysgrif yn methu nes i NTP ddal i fyny. Cymharwch stampiau amser y cofnod â’r amser go iawn cyn i chi gyffwrdd â thystysgrif, oherwydd bod cleient sy’n cysylltu munud ar ôl cychwyn fel arfer yn aros am gydamseru amser.