OpenVPN-klient fyrir allt LAN á OpenWrt: vinnulag sem virkar

Fjögur sjálfstæð verk setja allt LAN beins í gegnum eitt göng. Göngutækið þarf eiganda, eldveggssvæði, þýðingarmarkmið í átt að uplink og, ef einhverjum biðlurum á að halda utan VPN, leiðsögn eftir upprunafangi. Göng sem tengjast án þess að neitt fari í gegnum þau vantar oftast eitt af þessum fjórum. Að vinna í röð háðra skrefa þýðir að bilun í lokin tilheyrir skrefinu sem þú breyttir síðast. Hvert skref hér að neðan endar á einhverju sem þú getur séð, og það kemur í veg fyrir að næsta skref verði gisk.

Ákveddu hvað deilir göngunum

Beinninn sem úthlutar Wi-Fi og DHCP getur keyrt biðlarann sjálfur. Það setur hvert tengt tæki á bak við göngin án uppsetningar á hvert tæki, og það er fyrirkomulagið sem flestar litlar stöðvar vilja. Það er líka það með víðtækustu áhrifin þegar göngin detta, því hvert tæki missir leið sína í einu. Ekkert á LAN-inu heldur úti virkri leið.

Annar beinn á bak við þann fyrsta, sem keyrir biðlarann með eigin undirneti, takmarkar göngin við eigin tæki. Það er auðveldara að fjarlægja og auðveldara að útskýra fyrir þeim sem tekur við því. Kostnaðurinn er aðgengi milli hliðanna án leiðar eða portfærslu.

Hvort sem er, hafðu LAN-undirnetin ólík. Eins svið gera að ein hlið lítur út fyrir að vera beintengd, og svarta holan sem af því verður lítur út eins og VPN-bilun í klukkustundir.

Gefðu göngunum eiganda

Lýstu göngunum sem nettengi með nafni, tæki og engum eigin samskiptareglum. Netkerfið býr þá til og stýrir tækinu, og allt það sem er neðar vísar í tengið eftir nafni en ekki eftir tæki. Það er það sem gerir svæðinu kleift að finna það.

Búðu ekki til sama tækið á tvo staði. Handsmíðuð göng við hlið lýsts tengis framleiða tæki sem er til en er ekki í svæði, eða tæki sem hverfur við endurhleðslu. Bæði líta út eins og biðlarinn hafi brugðist, og hvorugt gefur villu sem nefnir raunverulega orsök. Veldu skýrlega leiðina og eyddu þeirri handvirku.

Hafðu nafnið eins í net-, eldveggs- og VPN-stillingum. Svæðið telur upp net eftir nafni, svo innsláttarvilla skilur göngin utan hvers svæðis á meðan tengið sjálft lítur heilbrigt út. Heilbrigt tengi án stefnu er erfiðasta ástandið að koma auga á.

Setja í svæði, svo framsenda inn í það

Eldveggssvæði er þar sem stefnan býr: inntak, úttak, framsending og masquerade. Göng sem eru ekki í neinu svæði stýrast af sjálfgefnum gildum sem þú valdir ekki, og það er sjaldan það sem beinsbiðlari þarf. Kubbarnir hér að neðan lýsa tenginu, setja það í svæði og leyfa LAN-umferð inn í það svæði.

config interface 'vpn'
    option device 'tun0'
    option proto 'none'

config zone
    option name 'vpn'
    list network 'vpn'
    option input 'REJECT'
    option output 'ACCEPT'
    option forward 'REJECT'
    option masq '1'

config forwarding
    option src 'lan'
    option dest 'vpn'

Á útgáfum eldri en 21.02 er sama tengilínan skrifuð sem option ifname, svo athugaðu hvaða form uppsetta fastbúnaðurinn les áður en þú límir. Framsendingarkubburinn er leyfið sem gerir LAN-umferð kleift að nota göngin yfirhöfuð. Án hans er tækið uppi, biðlarinn tengdur og enginn LAN-vél kemst í göngin. Það er algengasta tilkynningin um tengingu án Internets hjá beinsbiðlurum.

Masquerade á VPN-svæðinu þjappar hverju LAN-fangi í göngufang beinsins áður en pakkinn fer. Það fjarlægir þörfina fyrir afturleið að undirnetinu þínu hinum megin.

Ef hin hliðin leiðir LAN-ið þitt þegar, heldur slökkt masquerade upprunaföngunum sýnilegum og gerir annálaða atburðaskrá fyrir hvern biðlara merkingarbæra. Veldu aðra og skrifaðu niður hverja, því valið tvennt skapar mismunandi stuðningsspurningar síðar. Að fjarlægja sjálfgefna framsendingu frá LAN til WAN er sérstök ákvörðun með eigin afleiðingu. Taktu hana í burtu og eigin Internet-aðgangur beinsins fer með.

Nefndu raunverulega uplinkið í NAT

Á fastbúnaði þar sem þýðingarreglan er handskrifuð er útgangstengið reiturinn sem fer úrskeiðis. Regla sem nefnir vlan2 gerir ekkert þegar setan endar á ppp0. Regla án nokkurs tengis getur þýtt umferð sem átti að vera einkaleg. Hvorug mistökin tilkynna sig, því göngin halda áfram að virka.

iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE

Skiptu ppp0 í þeirri reglu út fyrir tengið úr ip route eða listanum yfir virk tengi, og fylgstu svo með teljaranum á meðan LAN-vél hleður síðu. Á beini með einum þjónustuveitanda er ein masquerade-regla fyrir uplinkið venjulega nóg. Önnur regla fyrir göngutengið kemur ekki í staðinn fyrir þá fyrstu.

Bættu svo við biðlaravalkostunum sem ákveða hvað fer inn í göngin. redirect-gateway-tilskipun sendir Internetumferð biðlarans gegnum VPN, og án hennar flytur göngin aðeins leiðirnar sem þjónninn ýtir. Athugaðu leiðatöfluna sem myndast áður en þú snertir DNS.

Skiptu Wi-Fi með annarri töflu

Ein leiðatafla getur ekki haldið tveimur sjálfgefnum leiðum. Þess vegna þarf annað SSID sem á að fara fram hjá göngunum eigið undirnet og eigin töflu. Gefðu tunnlaða SSID-inu eigið svið, og leiddu svo aðeins það svið inn í göngin með reglu sem velur töfluna.

Stefnuleiðsagnarpakkar á OpenWrt tjá nákvæmlega þá samsetningu. Handvirkt virkar líka, með upprunareglu og töflu þar sem sjálfgefna leiðin vísar á göngutækið.

Athugaðu skiptinguna frá báðum netum. Biðlari á tunnlaða SSID-inu á að sýna útgangsfang VPN-sins, og biðlari á venjulega SSID-inu á að sýna fang þjónustuveitandans. Þegar bæði líta eins út passar reglan við rangt upprun og taflan er aldrei skoðuð. Prófaðu líka eftir endurtengingu, því regla sem byggir á nafni tengisins brestur þegar tækið er endurnúmerað.

Grunaðu klukkuna og merki tækisins

Merkið persist-tun lætur göngutækið standa yfir endurræsingar. Það hentar þjóni og ruglar biðlara sem á að byggja ástand sitt upp frá grunni. Fjarlægðu það meðan þú greinir beinsbiðlara, því tæki sem lifir misheppnaða samningaviðræðu felur hvaða skref raunverulega brotnaði. Settu það aftur þegar biðlarinn tengist áreiðanlega, og ekki fyrr.

Klukkan er hin hljóðláta bilun. Beinn án rafhlöðustuddrar klukku byrjar á tímabilinu, sem þýðir að skírteinaprófanir mistakast þar til NTP nær honum. Berðu tímastimpla annálsins saman við rauntíma áður en þú snertir skírteini, því biðlari sem tengist mínútu eftir ræsingu bíður venjulega eftir tímasamstillingu.