OpenVPN bezeroa LAN osoarentzat OpenWrt-n: funtzionatzen duen ordena

Lau lan independentek router baten LAN osoa tunel baten atzean jartzen dute. Tunel-gailuak jabe bat behar du, suebaki-zona bat, goranzko estekarantz itzultze-helburu bat eta, bezero batzuk VPNtik kanpo egon behar badute, iturburu-helbidearen araberako bideratzea. Konektatzen den baina ezer pasatzen ez duen tunelari normalean lau horietako bat falta zaio. Mendekotasun-ordenan lan egiteak esan nahi du amaierako hutsegitea aldatu berri duzun urratsari dagokiola. Beheko urrats bakoitza behatu dezakezun zerbaitetan amaitzen da, eta horrek hurrengoa susmo hutsa izatea eragozten du.

Erabaki zer partekatzen duen tunelak

Wi-Fi eta DHCP banatzen dituen routerrak berak exekuta dezake bezeroa. Horrek konektatutako gailu bakoitza tunelaren atzean jartzen du gailuz gailuko konfiguraziorik gabe, eta gune txikiek gehien nahi duten antolamendua da. Tunela erortzen denean eragin-eremu handiena duen antolamendua ere bada, gailu guztiek aldi berean galtzen baitute bidea. LANean ezerk ez du kanporako bide erabilgarririk gordetzen.

Lehenengoaren atzean bigarren router bat, bezeroa bere azpisarearekin exekutatuta, tunela bere gailuetara mugatzen du. Errazago kentzen da eta errazago azaltzen zaio heredatzen duenari. Kostua bi aldeetako irisgarritasuna da, biderik edo ataka-birbideratzerik gabe.

Edozelan ere, egin LAN azpisareak desberdinak. Barruti berberek alde bat zuzenean konektatuta bezala agerrarazten dute, eta sortzen den zulo beltzak VPN matxura ematen du orduetan zehar.

Eman jaberen bat tunelari

Adierazi tunela izena, gailua eta protokolo propiorik gabeko sare-interfaze gisa. Sare-sistemak gailua sortu eta kudeatzen du orduan, eta ondorengo guztiak interfazeari izenez erreferentzia egiten dio, ez gailuz. Horrek ahalbidetzen dio zonari aurkitzea.

Ez sortu gailu bera bi lekutan. Eskuz egindako tunel bat adierazitako interfaze baten ondoan gailu bat sortzen du, existitzen dena baina zonan ez dagoena, edo birkargatzean desagertzen dena. Biek bezeroak huts egin duela dirudite, eta batek ere ez du benetako arrazoia izendatzen duen errorerik ematen. Aukeratu bide deklaratiboa eta ezabatu eskuzkoa.

Mantendu izena berbera sare, suebaki eta VPN konfigurazioan. Zonak sareak izenez zerrendatzen ditu, beraz, idazketa-akats batek tunela zona guztietatik kanpo uzten du interfazea osasuntsu dirudien bitartean. Politika gabeko interfaze osasuntsua da nabaritzen zailena den egoera.

Sartu zona batean, gero birbidali hara

Suebaki-zona politika bizi den lekua da: input, output, forward eta masquerade. Zonarik gabeko tunel bat zuk aukeratu ez dituzun balio lehenetsiek gobernatzen dute, eta hori gutxitan da router bezero batek behar duena. Beheko blokek interfazea adierazten dute, zona batean jartzen dute eta LAN trafikoari zona horretara sartzeko baimena ematen diote.

config interface 'vpn'
    option device 'tun0'
    option proto 'none'

config zone
    option name 'vpn'
    list network 'vpn'
    option input 'REJECT'
    option output 'ACCEPT'
    option forward 'REJECT'
    option masq '1'

config forwarding
    option src 'lan'
    option dest 'vpn'

21.02 baino zaharragoak diren bertsioetan interfaze-lerro bera option ifname gisa idazten da, beraz, egiaztatu instalatutako firmwareak zein forma analizatzen duen itsatsi aurretik. Birbidalketa-bloka LAN trafikoak tunela erabiltzeko baimena da. Hori gabe gailua martxan dago, bezeroa konektatuta, eta LANeko ostalaririk ez da tunelera iristen. Hori da konektatuta baina internetik ez txosten ohikoena router bezeroetan.

VPN zonako masquerade-ak LAN helbide bakoitza routerraren tunel-helbidera tolesten du paketea irten aurretik. Horrek beste aldeko zure azpisarerako itzulera-bide baten beharra kentzen du.

Beste aldeak zure LANa jada bideratzen badu, masquerade desaktibatzeak iturburu-helbideak ikusgai mantentzen ditu eta bezero bakoitzeko erregistroak esanguratsu egiten ditu. Aukeratu bat eta idatzi zein, bi aukerak geroago laguntza-galdera desberdinak sortzen baitituzte. LANetik WANera lehenetsitako birbidalketa kentzea bere ondorio propioa duen erabaki bereizia da. Kendu eta routerraren beraren internet-sarbidea harekin doa.

Izendatu benetako goranzko esteka NATen

Itzultze-araua eskuz idatzita dagoen firmwarean, gaizki doan eremua irteerako interfazea da. vlan2 izendatzen duen arauak ez du ezer egiten saioa ppp0-n amaitzen denean. Interfazerik gabeko arau batek pribatu behar zuen trafikoa itzul dezake. Bi erroreek ez dute euren burua iragartzen, tunelak lanean jarraitzen duelako.

iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE

Ordeztu arau horretako ppp0 ip route-(e)tik edo martxan dauden interfazeen zerrendatik datorren interfazearekin, eta gero begiratu kontagailua LAN ostalari batek orria kargatzen duen bitartean. Hornitzaile bakarreko router batean, goranzko estekarako masquerade-arau bat nahikoa izaten da. Tunelaren interfazerako bigarren arau bat ez da lehenengoaren ordezkoa.

Gero gehitu tunelean zer sartzen den erabakitzen duten bezero-aukerak. redirect-gateway direktibak bezeroaren internet-trafikoa VPNtik bidaltzen du, eta hori gabe tunelak zerbitzariak bultzatzen dituen bideak baino ez ditu eramaten. Egiaztatu sortutako bideratze-taula DNS ukitu aurretik.

Bereizi Wi-Fi bigarren taula batekin

Bideratze-taula batek ezin ditu bi balio lehenetsi eduki. Beraz, tunela saihestu behar duen bigarren SSID batek bere azpisarea eta bere taula behar ditu. Eman tunelaturiko SSIDari bere barrutia, eta gero bideratu barruti hori soilik tunelera taula hautatzen duen arau batekin.

OpenWrt-ko politika bidezko bideratze-paketeek konbinazio hori adierazten dute zehazki. Eskuz ere egiten da: iturburu-arau bat eta lehenetsia tunel-gailura seinalatzen duen taula bat.

Egiaztatu banaketa bi sareetatik. Tunelaturiko SSIDan dagoen bezeroak VPNaren irteera-helbidea erakutsi behar du, eta SSID arruntean dagoenak hornitzailearena. Biak berdin agertzen direnean, arauak iturburu okerrarekin egiten du bat edo taula ez da inoiz kontsultatzen. Probatu berriz konektatu ondoren ere, interfazearen izenaren mende dagoen arau bat hausten baita gailua berriz zenbakitzen denean.

Susma itzazu erlojua eta gailuaren bandera

persist-tun banderak tunel-gailua tokian uzten du berrabiarazteen artean. Horrek zerbitzariari dagokio eta bere egoera hutsetik berreraiki behar lukeen bezeroa nahasten du. Kendu ezazu router bezero bat diagnostikatzen ari zaren bitartean, negoziazio huts egin bat gainditzen duen gailu batek zein urrats hautsi zen ezkutatzen baitu. Jarri berriro bezeroa modu fidagarrian konektatzen denean, eta ez lehenago.

Erlojua da beste hutsegite isila. Bateria bidezko erlojurik gabeko router bat garaitik hasten da, hau da, ziurtagiri-egiaztapenek huts egiten dute NTPak harrapatu arte. Alderatu erregistroaren denbora-markak benetako orduarekin ziurtagiria ukitu aurretik, abiaraztearen minutu bat geroago konektatzen duen bezero bat normalean ordu-sinkronizazioaren zain egoten baita.