Πελάτης OpenVPN για ολόκληρο το LAN στο OpenWrt: μια σειρά που δουλεύει

Η ιδιοκτησία της διεπαφής, η πολιτική ζώνης, το masquerade και οι πίνακες ανά SSID είναι τέσσερις ξεχωριστές δουλειές. Κάντε τες με σειρά και το τούνελ σε όλο το ρούτερ σταματά να σας παλεύει.

Τέσσερις ανεξάρτητες δουλειές βάζουν ολόκληρο το LAN ενός ρούτερ πίσω από ένα τούνελ. Η συσκευή του τούνελ χρειάζεται ιδιοκτήτη, ζώνη τείχους προστασίας, στόχο μετάφρασης προς το uplink και, αν μερικοί πελάτες πρέπει να μείνουν εκτός του VPN, δρομολόγηση κατά διεύθυνση πηγής. Ένα τούνελ που συνδέεται ενώ τίποτα δεν περνά συνήθως του λείπει ένα από αυτά τα τέσσερα. Η εργασία με σειρά εξάρτησης σημαίνει ότι μια αποτυχία στο τέλος ανήκει στο βήμα που μόλις αλλάξατε. Κάθε βήμα παρακάτω τελειώνει με κάτι που μπορείτε να παρατηρήσετε, και αυτό κρατά το επόμενο από το να είναι εικασία.

Αποφασίστε τι μοιράζεται το τούνελ

Το ρούτερ που μοιράζει Wi-Fi και DHCP μπορεί να τρέξει το ίδιο τον πελάτη. Αυτό βάζει κάθε συνδεδεμένη συσκευή πίσω από το τούνελ χωρίς ρύθμιση ανά συσκευή, και είναι η διάταξη που θέλουν οι περισσότερες μικρές εγκαταστάσεις. Είναι επίσης αυτή με το μεγαλύτερο εύρος επίπτωσης όταν πέσει το τούνελ, γιατί όλες οι συσκευές χάνουν τη διαδρομή τους ταυτόχρονα. Τίποτα στο LAN δεν κρατά μια λειτουργική διαδρομή προς τα έξω.

Ένα δεύτερο ρούτερ πίσω από το πρώτο, που τρέχει τον πελάτη με δικό του υποδίκτυο, περιορίζει το τούνελ στις δικές του συσκευές. Αφαιρείται ευκολότερα και εξηγείται ευκολότερα σε όποιον το κληρονομήσει. Το κόστος είναι η προσβασιμότητα μεταξύ των δύο πλευρών χωρίς διαδρομή ή προώθηση θύρας.

Όπως και να έχει, κάντε τα υποδίκτυα του LAN διακριτά. Τα ίδια εύρη κάνουν τη μία πλευρά να φαίνεται άμεσα συνδεδεμένη, και η μαύρη τρύπα που προκύπτει μοιάζει με βλάβη VPN για ώρες.

Δώστε στο τούνελ ιδιοκτήτη

Δηλώστε το τούνελ ως διεπαφή δικτύου με όνομα, συσκευή και χωρίς δικό του πρωτόκολλο. Το σύστημα δικτύου τότε δημιουργεί και διαχειρίζεται τη συσκευή, και ό,τι ακολουθεί αναφέρεται στη διεπαφή με το όνομα και όχι με τη συσκευή. Αυτό επιτρέπει στη ζώνη να το βρει.

Μη δημιουργείτε την ίδια συσκευή σε δύο σημεία. Ένα χειροποίητο τούνελ δίπλα σε δηλωμένη διεπαφή παράγει συσκευή που υπάρχει αλλά δεν είναι σε ζώνη, ή μία που εξαφανίζεται στην επαναφόρτωση. Και τα δύο μοιάζουν με αποτυχία του πελάτη, και κανένα δεν παράγει σφάλμα που να ονομάζει την πραγματική αιτία. Διαλέξτε τη δηλωτική διαδρομή και διαγράψτε τη χειροκίνητη.

Κρατήστε το όνομα ίδιο στη ρύθμιση δικτύου, τείχους προστασίας και VPN. Η ζώνη απαριθμεί δίκτυα με όνομα, οπότε ένα τυπογραφικό αφήνει το τούνελ έξω από κάθε ζώνη ενώ η ίδια η διεπαφή φαίνεται υγιής. Μια υγιής διεπαφή χωρίς πολιτική είναι η δυσκολότερη κατάσταση να εντοπιστεί.

Βάλτε το σε ζώνη και μετά προωθήστε μέσα της

Η ζώνη του τείχους προστασίας είναι εκεί όπου ζει η πολιτική: input, output, forward και masquerade. Ένα τούνελ εκτός κάθε ζώνης κυβερνάται από προεπιλογές που δεν διαλέξατε, και σπάνια είναι αυτό που χρειάζεται ένας πελάτης ρούτερ. Τα παρακάτω τμήματα δηλώνουν τη διεπαφή, τη βάζουν σε ζώνη και επιτρέπουν στην κίνηση του LAN να μπει σε αυτή τη ζώνη.

config interface 'vpn'
    option device 'tun0'
    option proto 'none'

config zone
    option name 'vpn'
    list network 'vpn'
    option input 'REJECT'
    option output 'ACCEPT'
    option forward 'REJECT'
    option masq '1'

config forwarding
    option src 'lan'
    option dest 'vpn'

Σε εκδόσεις παλαιότερες από 21.02 η ίδια γραμμή διεπαφής γράφεται option ifname, οπότε ελέγξτε ποια μορφή αναλύει το εγκατεστημένο firmware πριν επικολλήσετε. Το τμήμα προώθησης είναι η άδεια που αφήνει την κίνηση του LAN να χρησιμοποιήσει καθόλου το τούνελ. Χωρίς αυτό η συσκευή είναι πάνω, ο πελάτης συνδεδεμένος, και κανένας υπολογιστής του LAN δεν φτάνει στο τούνελ. Αυτή είναι η συνηθέστερη αναφορά συνδεδεμένο αλλά χωρίς internet στους πελάτες ρούτερ.

Το masquerade στη ζώνη του VPN συνθλίβει κάθε διεύθυνση LAN στη διεύθυνση τούνελ του ρούτερ πριν φύγει το πακέτο. Αυτό αφαιρεί την ανάγκη για διαδρομή επιστροφής προς το υποδίκτυό σας στην άλλη πλευρά.

Αν η άλλη πλευρά δρομολογεί ήδη το LAN σας, το κλείσιμο του masquerade κρατά τις διευθύνσεις πηγής ορατές και κάνει τα αρχεία ανά πελάτη ουσιαστικά. Διαλέξτε ένα και σημειώστε ποιο, γιατί οι δύο επιλογές παράγουν αργότερα διαφορετικές ερωτήσεις υποστήριξης. Η αφαίρεση της προεπιλεγμένης προώθησης από LAN σε WAN είναι ξεχωριστή απόφαση με δική της συνέπεια. Αφαιρέστε την και η πρόσβαση του ίδιου του ρούτερ στο internet φεύγει μαζί.

Ονομάστε το πραγματικό uplink στο NAT

Σε firmware όπου ο κανόνας μετάφρασης είναι χειρόγραφος, το πεδίο που πάει στραβά είναι η εξερχόμενη διεπαφή. Ένας κανόνας που ονομάζει vlan2 δεν κάνει τίποτα όταν η συνεδρία τερματίζει στο ppp0. Ένας κανόνας χωρίς καμία διεπαφή μπορεί να μεταφράσει κίνηση που θα έπρεπε να μείνει ιδιωτική. Κανένα από τα δύο λάθη δεν ανακοινώνεται, γιατί το τούνελ συνεχίζει να δουλεύει.

iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE

Αντικαταστήστε το ppp0 σε αυτόν τον κανόνα με τη διεπαφή από ip route ή από τη λίστα ενεργών διεπαφών, και μετά παρακολουθήστε τον μετρητή όσο ένας υπολογιστής του LAN φορτώνει σελίδα. Σε ρούτερ με έναν πάροχο, ένας κανόνας masquerade για το uplink συνήθως αρκεί. Ένας δεύτερος κανόνας για τη διεπαφή του τούνελ δεν αντικαθιστά τον πρώτο.

Μετά προσθέστε τις επιλογές του πελάτη που αποφασίζουν τι μπαίνει στο τούνελ. Η οδηγία redirect-gateway στέλνει την κίνηση internet του πελάτη μέσα από το VPN, και χωρίς αυτή το τούνελ κουβαλά μόνο τις διαδρομές που σπρώχνει ο διακομιστής. Ελέγξτε τον πίνακα δρομολόγησης που προκύπτει πριν αγγίξετε το DNS.

Χωρίστε το Wi-Fi με δεύτερο πίνακα

Ένας πίνακας δρομολόγησης δεν κρατά δύο προεπιλογές. Ένα δεύτερο SSID που πρέπει να παρακάμπτει το τούνελ χρειάζεται επομένως δικό του υποδίκτυο και δικό του πίνακα. Δώστε στο τουνελοποιημένο SSID το δικό του εύρος και μετά δρομολογήστε μόνο αυτό το εύρος στο τούνελ με κανόνα που επιλέγει τον πίνακα.

Τα πακέτα δρομολόγησης κατά πολιτική στο OpenWrt εκφράζουν ακριβώς αυτόν τον συνδυασμό. Και με το χέρι δουλεύει, με κανόνα πηγής και πίνακα του οποίου η προεπιλογή δείχνει στη συσκευή του τούνελ.

Ελέγξτε τον χωρισμό από τα δύο δίκτυα. Ένας πελάτης στο τουνελοποιημένο SSID πρέπει να δείχνει τη διεύθυνση εξόδου του VPN, και ένας πελάτης στο συνηθισμένο SSID τη διεύθυνση του παρόχου. Όταν και τα δύο φαίνονται ίδια, ο κανόνας ταιριάζει λάθος πηγή ή ο πίνακας δεν συμβουλεύεται ποτέ. Δοκιμάστε και μετά από επανασύνδεση, γιατί ένας κανόνας που εξαρτάται από το όνομα της διεπαφής σπάει όταν η συσκευή αριθμηθεί ξανά.

Υποψιαστείτε το ρολόι και τη σημαία της συσκευής

Η σημαία persist-tun αφήνει τη συσκευή του τούνελ στη θέση της ανάμεσα σε επανεκκινήσεις. Αυτό ταιριάζει σε διακομιστή και μπερδεύει έναν πελάτη του οποίου η κατάσταση πρέπει να χτιστεί από την αρχή. Αφαιρέστε την όσο αντιμετωπίζετε πρόβλημα σε πελάτη ρούτερ, γιατί μια συσκευή που επιβιώνει από αποτυχημένη διαπραγμάτευση κρύβει ποιο βήμα έσπασε πραγματικά. Επαναφέρετέ την όταν ο πελάτης συνδέεται αξιόπιστα, και όχι νωρίτερα.

Το ρολόι είναι η άλλη σιωπηλή αποτυχία. Ένα ρούτερ χωρίς ρολόι με μπαταρία ξεκινά στην εποχή, που σημαίνει ότι οι έλεγχοι πιστοποιητικού αποτυγχάνουν μέχρι να προλάβει το NTP. Συγκρίνετε τις χρονικές σφραγίδες του αρχείου καταγραφής με την πραγματική ώρα πριν αγγίξετε πιστοποιητικό, γιατί ένας πελάτης που συνδέεται ένα λεπτό μετά την εκκίνηση συνήθως περιμένει συγχρονισμό ώρας.

Σχετικά άρθρα