Teljes LAN-os OpenVPN-kliens OpenWrt-n: működő sorrend

Az interfész tulajdonjoga, a zónapolitika, a masquerade és az SSID-nkénti táblák négy külön feladat. Végezze el őket sorrendben, és a teljes routerre kiterjedő alagút többé nem harcol Önnel.

Négy független feladat állítja egy router teljes LAN-ját egyetlen alagút mögé. Az alagút-eszköznek kell egy tulajdonos, egy tűzfalzóna, egy fordítási cél az uplink felé, és ha egyes klienseknek ki kell maradniuk a VPN-ből, forrásoldali útválasztás. Egy alagút, amely kapcsolódik, de semmi sem megy át rajta, általában e négy közül valamit nélkülöz. A függőségi sorrendben végzett munka azt jelenti, hogy a végén fellépő hiba ahhoz a lépéshez tartozik, amelyet épp megváltoztatott. Az alábbi lépések mindegyike valamivel zárul, amit megfigyelhet, és ez tartja távol a következő lépést a találgatástól.

Döntse el, mi osztozik az alagúton

A router, amely a Wi-Fi-t és a DHCP-t kiosztja, maga is futtathatja a klienst. Ez minden csatlakozó eszközt az alagút mögé tesz, eszközönkénti beállítás nélkül, és ezt az elrendezést akarja a legtöbb kis telephely. Ez egyben a legszélesebb hatókörű elrendezés, amikor az alagút leesik, mert minden eszköz egyszerre veszíti el az útvonalát. A LAN-on semmi sem tart fenn működő kifelé vezető utat.

Az első mögötti második router, amely saját alhálózattal futtatja a klienst, a saját eszközeire korlátozza az alagutat. Könnyebb eltávolítani és könnyebb elmagyarázni annak, aki örökli. Az ára az elérhetőség a két oldal között útvonal vagy porttovábbítás nélkül.

Bármelyik utat választja, tartsa különbözőnek a LAN-alhálózatokat. Az azonos tartományok miatt az egyik oldal közvetlenül csatlakozónak látszik, és az ebből keletkező fekete lyuk órákig VPN-hibának látszik.

Adjon tulajdonost az alagútnak

Deklarálja az alagutat hálózati interfészként névvel, eszközzel és saját protokoll nélkül. A hálózati rendszer ezután létrehozza és kezeli az eszközt, és minden, ami lejjebb van, név szerint hivatkozik az interfészre, nem eszköz szerint. Ez teszi lehetővé, hogy a zóna megtalálja.

Ne hozza létre ugyanazt az eszközt két helyen. A deklarált interfész mellett kézzel készített alagút olyan eszközt ad, amely létezik, de nincs zónában, vagy olyat, amely újratöltéskor eltűnik. Mindkettő úgy néz ki, mintha a kliens hibázott volna, és egyik sem ad olyan hibát, amely megnevezné a valódi okot. Válassza a deklaratív utat, és törölje a kézit.

Tartsa azonosnak a nevet a hálózati, tűzfal- és VPN-konfigurációban. A zóna név szerint listázza a hálózatokat, így egy elírás minden zónán kívül hagyja az alagutat, miközben maga az interfész egészségesnek látszik. Az egészséges, szabály nélküli interfész a legnehezebben észrevehető állapot.

Tegye zónába, majd továbbítson bele

A tűzfalzóna az a hely, ahol a szabályok élnek: bemenet, kimenet, továbbítás és masquerade. Az olyan alagutat, amely nincs zónában, olyan alapértékek szabályozzák, amelyeket nem ön választott, és ez ritkán az, amire egy router-kliensnek szüksége van. Az alábbi blokkok deklarálják az interfészt, zónába teszik, és engedélyezik a LAN-forgalmat abba a zónába.

config interface 'vpn'
    option device 'tun0'
    option proto 'none'

config zone
    option name 'vpn'
    list network 'vpn'
    option input 'REJECT'
    option output 'ACCEPT'
    option forward 'REJECT'
    option masq '1'

config forwarding
    option src 'lan'
    option dest 'vpn'

A 21.02-nél régebbi kiadásokon ugyanez az interfészsor option ifname formában szerepel, ezért a beillesztés előtt ellenőrizze, melyik formát értelmezi a telepített firmware. A továbbítási blokk az az engedély, amely egyáltalán lehetővé teszi a LAN-forgalom számára az alagút használatát. Nélküle az eszköz fel van, a kliens csatlakozva van, és egyetlen LAN-gazda sem éri el az alagutat. Ez a leggyakoribb jelentés arról, hogy van kapcsolat, de nincs internet, a router-klienseknél.

A VPN-zónán bekapcsolt masquerade a csomag távozása előtt minden LAN-címet a router alagút-címébe von össze. Ez megszünteti a fordított útvonal szükségességét az alhálózatához a túloldalon.

Ha a túloldal már útválasztja a LAN-ját, a masquerade kikapcsolása láthatóvá tartja a forráscímeket, és értelmessé teszi a kliensenkénti naplókat. Válasszon egyet, és írja le, melyiket, mert a két választás később eltérő támogatási kérdéseket szül. A LAN-WAN alapértelmezett továbbítás eltávolítása külön döntés, saját következménnyel. Vegye el, és a router saját internet-hozzáférése is elmegy vele.

Nevezze meg a valódi uplinket a NAT-ban

Azokon a firmware-eken, ahol a fordítási szabály kézzel íródik, a kimenő interfész az a mező, amely elromlik. A vlan2 nevű szabály semmit sem tesz, ha a munkamenet a ppp0 interfészen végződik. Az interfész nélküli szabály olyan forgalmat is fordíthat, amelynek privátnak kellett volna maradnia. Egyik hiba sem jelenti be magát, mert az alagút tovább működik.

iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE

Cserélje ki a ppp0 nevet abban a szabályban az ip route vagy az aktív interfészek listája által adott interfészre, majd figyelje a számlálót, miközben egy LAN-gazda oldalt tölt be. Egyetlen szolgáltatós routeren általában elég egy masquerade-szabály az uplinkhez. Az alagút-interfész második szabálya nem helyettesíti az elsőt.

Ezután adja hozzá a kliens azon beállításait, amelyek eldöntik, mi kerül az alagútba. A redirect-gateway direktíva a kliens internetes forgalmát a VPN-en keresztül küldi, és nélküle az alagút csak a szerver által küldött útvonalakat viszi. Ellenőrizze a kapott útvonaltáblát, mielőtt a DNS-hez nyúl.

Ossza ketté a Wi-Fi-t egy második táblával

Egy útvonaltábla nem tud két alapértelmezést tárolni. Ezért a második SSID-nek, amelynek meg kell kerülnie az alagutat, saját alhálózatra és saját táblára van szüksége. Rendeljen saját tartományt az alagútba vont SSID-hez, majd csak azt a tartományt irányítsa az alagútba egy táblát kiválasztó szabállyal.

Az OpenWrt szabályalapú útválasztó csomagjai pontosan ezt a kombinációt fejezik ki. Kézzel is működik, egy forrásszabállyal és egy táblával, amelynek alapértelmezése az alagút-eszközre mutat.

Ellenőrizze a szétválasztást mindkét hálózatból. Az alagútba vont SSID kliensének a VPN kilépő címét kell mutatnia, a közönséges SSID kliensének pedig a szolgáltatóét. Amikor mindkettő ugyanúgy néz ki, a szabály rossz forrásra illeszkedik, vagy a táblát soha nem kérdezi le a rendszer. Újracsatlakozás után is teszteljen, mert az interfész nevétől függő szabály elromlik, amikor az eszközt újraszámozzák.

Gyanakodjon az órára és az eszköz jelzőjére

A persist-tun jelző helyén hagyja az alagút-eszközt az újraindítások alatt. Ez egy szervernek megfelel, és összezavar egy klienst, amelynek állapotát a nulláról kellene felépíteni. Hibakeresés közben vegye le, mert a sikertelen egyeztetést túlélő eszköz elrejti, melyik lépés tört el valójában. Tegye vissza, amikor a kliens megbízhatóan kapcsolódik, és ne előbb.

Az óra a másik csendes hiba. Az akkumulátorral nem támogatott órájú router az epocháról indul, ami azt jelenti, hogy a tanúsítvány-ellenőrzések addig hibáznak, amíg az NTP be nem éri. Hasonlítsa össze a napló időbélyegeit a valódi idővel, mielőtt tanúsítványhoz nyúl, mert az indítás után egy perccel kapcsolódó kliens általában az időszinkronizációra vár.

Kapcsolódó cikkek