OpenWrt'то бүт LAN үчүн OpenVPN кардары: иштөө тартиби

Интерфейс ээлиги, зона саясаты, маскарад жана ар бир SSID үчүн таблицалар — бул төрт өзүнчө жумуш. Аларды тартиби менен аткарыңыз, ошондо бүт маршрутизаторду камтыган туннель сиз менен күрөшүүнү токтотот.

Маршрутизатордун бүт LAN тармагын бир туннелдин артына коюу үчүн төрт өзүнчө жумуш керек. Туннель түзмөгүнө ээ, файрвол зонасы, жогорку багытка карай которуу максаты, эгер кээ бир кардарлар VPN'ден тышкары калышы керек болсо, булак дареги боюнча маршруттоо керек. Туташат, бирок эч нерсе өтпөй турган туннелде адатта ушул төртөөнүн бири жетишпейт. Көз карандылык тартиби менен иштөө — акыркы ката азыр өзгөрткөн кадамга таандык деген сөз. Төмөнкү ар бир кадам көз менен көрүүгө боло турган нерсе менен бүтөт, бул кийинки кадамды божомолго айландырбайт.

Туннелди эмне бөлүшөөрүн чечиңиз

Wi-Fi жана DHCP таратуучу маршрутизатор кардарды өзү иштете алат. Бул ар бир туташкан түзмөктү жеке жөндөөсүз туннелдин артына коёт, жана чакан жайлардын көбү ушуну каалайт. Туннель үзүлгөндө эң чоң таасир да ушул тартипте болот, анткени бардык түзмөктөр бир убакта өз жолун жоготот. LAN тарабында сыртка чыгуучу иштеген жол калбайт.

Биринчисинин артындагы экинчи маршрутизатор кардарды өз ички тармагы менен иштетип, туннелди өз түзмөктөрү менен гана чектейт. Аны алып салуу да, мураскерге түшүндүрүү да оңой. Баасы — маршрут же порт багыттоосуз эки тараптын ортосунда жетүү мүмкүнчүлүгү жок.

Кандай болбосун, LAN ички тармактарын ар башка кылыңыз. Бирдей диапазондор бир тарапты түз туташкандай көрсөтөт, жана андан келип чыккан кара көңдөй VPN бузулушуна окшоп окулат сааттар бою.

Туннелге ээ бериңиз

Туннелди аталышы, түзмөгү бар жана өз протоколу жок тармактык интерфейс катары жарыялаңыз. Андан кийин тармак системасы түзмөктү түзөт жана башкарат, ал эми андан кийинкинин баары интерфейске түзмөктүн ордуна аталышы боюнча кайрылат. Ушул эле зонага аны табууга мүмкүндүк берет.

Бир түзмөктү эки жерден түзбөңүз. Жарыяланган интерфейстин жанындагы кол менен жасалган туннель бар, бирок зонада жок түзмөктү, же кайра жүктөөдө жоголуп кетүүчү түзмөктү жаратат. Экөө тең кардардын ийгиликсиздигине окшошот, жана экөө тең чыныгы себепти атаган ката чыгарбайт. Декларативдик жолду тандап, кол менен жасалганын өчүрүңүз.

Тармак, файрвол жана VPN конфигурациясында аталышты бирдей кармаңыз. Зона тармактарды аталыш боюнча тизет, ошондуктан бир тамга катасы туннелди бардык зоналардан тышкары калтырат, ал эми интерфейстин өзү соо көрүнөт. Саясатсыз соо интерфейсти байкоо эң кыйын.

Зона кылыңыз, анан ага багыттаңыз

Файрвол зонасы — саясат жашаган жер: кирүү, чыгуу, багыттоо жана маскарад. Эч бир зонага кирбеген туннель өзүңүз тандабаган демейкилер менен башкарылат, ал маршрутизатор кардарына сейрек керек. Төмөнкү блоктор интерфейсти жарыялайт, аны зонага жайгаштырат жана LAN трафигине ошол зонага кирүүгө уруксат берет.

config interface 'vpn'
    option device 'tun0'
    option proto 'none'

config zone
    option name 'vpn'
    list network 'vpn'
    option input 'REJECT'
    option output 'ACCEPT'
    option forward 'REJECT'
    option masq '1'

config forwarding
    option src 'lan'
    option dest 'vpn'

21.02'ден эски чыгарылыштарда ошол эле интерфейс сабы option ifname деп жазылат, ошондуктан кыстыруудан мурун орнотулган прошивка кайсы форманы түшүнөрүн текшериңиз. Багыттоо блогу — LAN трафигине туннелди такыр пайдаланууга уруксат. Ансыз түзмөк күйүк, кардар туташкан, бирок эч бир LAN хост туннелге жетпейт. Маршрутизатор кардарлары боюнча эң көп кайрылуу — туташкан, бирок интернет жок.

VPN зонасындагы маскарад пакет чыкпай туруп ар бир LAN дарегин маршрутизатордун туннель дарегине жыйнайт. Бул каршы тараптагы ички тармагыңызга кайтуу маршрутунун керегин жок кылат.

Эгер каршы тарапта LAN тармагыңыздын маршруту буга чейин эле болсо, маскарадды өчүрүү булак даректерди көрүнүктүү кармайт жана ар бир кардардын журналын маанилүү кылат. Бирөөнү тандап, кайсынысын тандаганыңызды жазып коюңуз, анткени эки тандоо кийин ар башка колдоо суроолорун жаратат. Демейки LAN'ден WAN'га багыттоону алып салуу — өз натыйжасы бар өзүнчө чечим. Аны алсаңыз, маршрутизатордун өз интернети да кошо кетет.

NAT ичинде чыныгы жогорку багытты атаңыз

Которуу эрежеси кол менен жазылган прошивкада чыгуучу интерфейс бузулуучу талаа. Эреже vlan2 деп аталса да, сессия ppp0 аркылуу бүтсө, эч нерсе кылбайт. Интерфейси такыр жок эреже купуя бойдон калышы керек болгон трафикти да которо алат. Эки катанын экөө тең өзүн жарыялабайт, анткени туннель иштеп турат.

iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE

Ошол эрежедеги ppp0 ны ip route же иштеп жаткан интерфейстер тизмесинен алынган интерфейс менен алмаштырыңыз, анан LAN хост баракчаны ачканда эсептегичке көз салыңыз. Бир провайдердүү маршрутизатордо жогорку багыт үчүн бир маскарад эрежеси адатта жетиштүү. Туннель интерфейси үчүн экинчи эреже биринчинин ордун баспайт.

Анан туннелге эмне кирерин чечүүчү кардар параметрлерин кошуңуз. redirect-gateway көрсөтмөсү кардардын интернет трафигин VPN аркылуу жөнөтөт, ансыз туннель сервер түрткөн маршруттарды гана алып жүрөт. DNS'ке тийүүдөн мурун алынган маршрут таблицасын текшериңиз.

Wi-Fi'ди экинчи таблица менен бөлүңүз

Бир маршрут таблицасы эки демейкини кармай албайт. Ошондуктан туннелди айланып өтүшү керек болгон экинчи SSID'ге өз ички тармагы жана өз таблицасы керек. Туннелдик SSID'ге өз диапазонун бериңиз, анан таблицаны тандаган эреже менен ошол диапазонду гана туннелге жөнөтүңүз.

OpenWrt'теги саясий маршруттоо пакеттери так ушундай айкалышты билдирет. Кол менен да болот: булак эрежеси жана демейкиси туннель түзмөгүнө көрсөткөн таблица.

Бөлүнүүнү эки тармактан тең текшериңиз. Туннелдик SSID'деги кардар VPN'дин чыгуу дарегин, ал эми кадимки SSID'деги кардар провайдердикин көрсөтүшү керек. Экөө бирдей көрүнсө, эреже туура эмес булакка дал келет же таблица такыр каралбайт. Кайра туташкандан кийин да сынап көрүңүз, анткени интерфейс аталышына көз каранды эреже түзмөк номуру өзгөргөндө бузулат.

Саатка жана түзмөк желегине шек кылыңыз

Бул persist-tun желек туннель түзмөгүн кайра жүктөөлөрдүн арасында ордунда калтырат. Бул серверге жарашат жана абалы нөлдөн кайра курулушу керек кардарды адаштырат. Маршрутизатор кардарын диагностикалоо учурунда аны алып салыңыз, анткени ийгиликсиз сүйлөшүүдөн аман калган түзмөк кайсы кадам чындап бузулганын жашырат. Кардар ишенимдүү туташкандан кийин аны кайтарыңыз, андан мурун эмес.

Саат — экинчи тынч ийгиликсиздик. Батареялуу сааты жок маршрутизатор доордон башталат, башкача айтканда NTP жетмейинче сертификат текшерүүлөрү ийгиликсиз болот. Сертификатка тийүүдөн мурун журналдын убакыт белгилерин чыныгы убакыт менен салыштырыңыз, анткени жүктөөдөн бир мүнөт кийин туташкан кардар адатта убакыт синхрондоштуруусун күтөт.

Тектеш макалалар