OpenVPN klients visam LAN uz OpenWrt: secība, kas strādā

Interfeisa piederība, zonas politika, masquerade un tabulas katram SSID ir četri atsevišķi darbi. Veiciet tos secīgi, un visam maršrutētājam domātais tunelis pārstās pretoties.

Četri neatkarīgi darbi novieto visu maršrutētāja LAN aiz viena tuneļa. Tuneļa ierīcei vajag īpašnieku, ugunsmūra zonu, tulkošanas mērķi pret uplink un, ja daļai klientu jāpaliek ārpus VPN, maršrutēšanu pēc avota adreses. Tunelim, kas pieslēdzas, bet caur to nekas neiet, parasti trūkst viena no šiem četriem. Darbs atkarību secībā nozīmē, ka kļūda beigās pieder solim, kuru tikko mainījāt. Katrs solis zemāk beidzas ar kaut ko novērojamu, un tas pasargā nākamo soli no minēšanas.

Izlemiet, kas dala tuneli

Maršrutētājs, kas izplata Wi-Fi un DHCP, pats var palaist klientu. Tas novieto katru pievienoto ierīci aiz tuneļa bez iestatīšanas katrai ierīcei, un tā ir kārtība, ko vēlas lielākā daļa mazo vietu. Tā ir arī kārtība ar vislielāko ietekmi, kad tunelis krīt, jo katra ierīce uzreiz zaudē savu ceļu. Nekas LAN tīklā neuztur strādājošu izeju.

Otrs maršrutētājs aiz pirmā, kas palaiž klientu ar savu apakštīklu, ierobežo tuneli ar savām ierīcēm. To ir vieglāk noņemt un vieglāk izskaidrot tam, kas to pārņem. Cena ir sasniedzamība starp abām pusēm bez maršruta vai porta pāradresācijas.

Lai kā būtu, padariet LAN apakštīklus atšķirīgus. Identiski diapazoni liek vienai pusei izskatīties tieši savienotai, un izrietošais melnais caurums stundām izskatās kā VPN kļūda.

Piešķiriet tunelim īpašnieku

Deklarējiet tuneli kā tīkla interfeisu ar nosaukumu, ierīci un bez sava protokola. Tīkla sistēma tad izveido un pārvalda ierīci, un viss lejāk atsaucas uz interfeisu pēc nosaukuma, nevis pēc ierīces. Tas ir tas, kas ļauj zonai to atrast.

Neveidojiet vienu un to pašu ierīci divās vietās. Ar roku veidots tunelis blakus deklarētam interfeisam rada ierīci, kas eksistē, bet nav zonā, vai tādu, kas pazūd pēc pārlādes. Abi izskatās pēc klienta kļūmes, un neviens nesniedz kļūdu, kas nosauc īsto cēloni. Izvēlieties deklaratīvo ceļu un izdzēsiet manuālo.

Turiet nosaukumu identisku tīkla, ugunsmūra un VPN konfigurācijā. Zona uzskaita tīklus pēc nosaukuma, tāpēc drukas kļūda atstāj tuneli ārpus katras zonas, kamēr pats interfeiss izskatās vesels. Vesels interfeiss bez politikas ir visgrūtāk pamanāmais stāvoklis.

Ielieciet to zonā, tad pāradresējiet uz to

Ugunsmūra zona ir vieta, kur dzīvo politika: ievade, izvade, pāradresācija un masquerade. Tuneli, kas nav nevienā zonā, pārvalda noklusējuma vērtības, kuras neizvēlējāties, un tas reti ir tas, kas vajadzīgs maršrutētāja klientam. Zemāk esošie bloki deklarē interfeisu, ievieto to zonā un atļauj LAN satiksmi tajā zonā.

config interface 'vpn'
    option device 'tun0'
    option proto 'none'

config zone
    option name 'vpn'
    list network 'vpn'
    option input 'REJECT'
    option output 'ACCEPT'
    option forward 'REJECT'
    option masq '1'

config forwarding
    option src 'lan'
    option dest 'vpn'

Laidos, kas vecāki par 21.02, tā pati interfeisa rinda tiek rakstīta kā option ifname, tāpēc pirms ielīmēšanas pārbaudiet, kuru formu saprot instalētā programmaparatūra. Pāradresācijas bloks ir atļauja, kas LAN satiksmei vispār ļauj izmantot tuneli. Bez tā ierīce ir ieslēgta, klients ir savienots, un neviens LAN dators nesasniedz tuneli. Tas ir visbiežāk ziņotais gadījums par savienojumu bez interneta maršrutētāja klientos.

Masquerade VPN zonā pirms paketes aiziešanas visu LAN adresi savelk maršrutētāja tuneļa adresē. Tas novērš nepieciešamību pēc atgriešanās maršruta uz jūsu apakštīklu otrā pusē.

Ja otrā puse jau maršrutē jūsu LAN, masquerade izslēgšana saglabā avota adreses redzamas un padara žurnālus katram klientam jēgpilnus. Izvēlieties vienu un pierakstiet, kuru, jo abas izvēles vēlāk rada atšķirīgus atbalsta jautājumus. Noklusējuma LAN-WAN pāradresācijas noņemšana ir atsevišķs lēmums ar savām sekām. Noņemiet to, un paša maršrutētāja piekļuve internetam aizies līdzi.

Nosauciet īsto uplink NAT

Programmaparatūrā, kur tulkošanas noteikums tiek rakstīts ar roku, izejošais interfeiss ir lauks, kas sabojājas. Noteikums, kas nosauc vlan2, neko nedara, kad sesija beidzas uz ppp0. Noteikums bez jebkāda interfeisa var tulkot satiksmi, kurai vajadzēja palikt privātai. Neviena no šīm kļūdām sevi nepaziņo, jo tunelis turpina strādāt.

iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE

Aizstājiet ppp0 šajā noteikumā ar interfeisu no ip route vai aktīvo interfeisu saraksta, tad vērojiet skaitītāju, kamēr LAN dators ielādē lapu. Maršrutētājā ar vienu pakalpojumu sniedzēju parasti pietiek ar vienu masquerade noteikumu uplink. Otrs noteikums tuneļa interfeisam neaizstāj pirmo.

Tad pievienojiet klienta opcijas, kas izlemj, kas nonāk tunelī. Direktīva redirect-gateway sūta klienta interneta satiksmi caur VPN, un bez tās tunelis nes tikai servera piespiestos maršrutus. Pārbaudiet iegūto maršrutu tabulu pirms DNS aiztikšanas.

Sadaliet Wi-Fi ar otru tabulu

Viena maršrutu tabula nevar saturēt divus noklusējumus. Tāpēc otrajam SSID, kam jāapiet tunelis, vajag savu apakštīklu un savu tabulu. Piešķiriet tuneļotajam SSID savu diapazonu, tad maršrutējiet tikai šo diapazonu tunelī ar noteikumu, kas izvēlas tabulu.

Politikas maršrutēšanas paketes uz OpenWrt izsaka tieši šo kombināciju. Ar roku arī strādā, ar avota noteikumu un tabulu, kuras noklusējums norāda uz tuneļa ierīci.

Pārbaudiet sadalījumu no abiem tīkliem. Klientam tuneļotajā SSID jārāda VPN izejas adrese, bet klientam parastajā SSID – pakalpojumu sniedzēja adrese. Kad abi izskatās vienādi, noteikums atbilst nepareizajam avotam vai tabula netiek nekad konsultēta. Pārbaudiet arī pēc atkārtotas pieslēgšanās, jo noteikums, kas atkarīgs no interfeisa nosaukuma, salūzt, kad ierīci pārnumurē.

Turiet aizdomās pulksteni un ierīces karodziņu

Karodziņš persist-tun atstāj tuneļa ierīci vietā starp pārstartēšanām. Tas der serverim un mulsina klientu, kura stāvoklis jāveido no jauna. Noņemiet to, kamēr risināt maršrutētāja klienta problēmu, jo ierīce, kas pārdzīvo neizdevušās pārrunas, slēpj, kurš solis īsti salūza. Ielieciet to atpakaļ, kad klients pieslēdzas uzticami, un ne agrāk.

Pulkstenis ir otra klusā kļūda. Maršrutētājs bez baterijas barota pulksteņa sāk no laikmeta, kas nozīmē, ka sertifikātu pārbaudes neizdodas, līdz NTP paspēj. Salīdziniet žurnāla laikspiedolus ar reālo laiku pirms sertifikāta aiztikšanas, jo klients, kas pieslēdzas minūti pēc starta, parasti gaida laika sinhronizāciju.

Saistītie raksti