OpenVPN клиент за целиот LAN на OpenWrt: работен редослед

Сопственоста на интерфејсот, зонската политика, маскарадата и табелите по SSID се четири одделни работи. Направете ги по ред и тунелот што го покрива целиот рутер ќе престане да се бори со вас.

Четири независни работи го ставаат целиот LAN на рутерот зад еден тунел. Уредот на тунелот бара сопственик, зона на заштитен ѕид, цел за превод кон горната врска и, ако некои клиенти треба да останат надвор од VPN, рутирање според изворната адреса. Тунел што се поврзува, а ништо не поминува, обично има една од тие четири работи отсутна. Работењето по ред на зависност значи дека неуспехот на крајот и припаѓа на чекора што штотуку го сменивте. Секој чекор подолу завршува со нешто што може да се види, што го спречува следниот да биде погодување.

Одлучете што го дели тунелот

Рутерот што дели Wi-Fi и DHCP може сам да го води клиентот. Тоа го става секој поврзан уред зад тунелот без поставување по уред, и тоа е распоредот што го сакаат повеќето мали локации. Тој е и со најширок опсег на удар кога тунелот паѓа, бидејќи секој уред одеднаш ја губи својата патека. Ништо на LAN не задржува работна излезна патека.

Втор рутер зад првиот, кој го води клиентот со сопствена подмрежа, го ограничува тунелот на своите уреди. Полесно се отстранува и полесно се објаснува на оној што ќе го наследи. Цената е достапноста меѓу двете страни без рута или пренасочување на порта.

Како и да е, направете подмрежите на LAN да бидат различни. Истите опсези ја прават едната страна да изгледа директно поврзана, и настанатата црна дупка изгледа како дефект на VPN со часови.

Дајте му сопственик на тунелот

Прогласете го тунелот за мрежен интерфејс со име, уред и без сопствен протокол. Потоа мрежниот систем го создава и управува со уредот, и сето понатаму се однесува на интерфејсот по име, а не по уред. Тоа е она што и овозможува на зоната да го најде.

Не создавајте истиот уред на две места. Рачно направениот тунел покрај прогласен интерфејс создава уред што постои, но не е во зона, или таков што исчезнува при повторно вчитување. И двете изгледаат како клиентот да потфрлил, и ниту едно не дава грешка што го именува вистинскиот причинител. Изберете го декларативниот пат и избришете го рачниот.

Задржете го името идентично во мрежната конфигурација, конфигурацијата на заштитниот ѕид и на VPN. Зоната ги наведува мрежите по име, па една печатна грешка го остава тунелот надвор од секоја зона, додека интерфејсот самиот изгледа здрав. Здрав интерфејс без политика е најтешката состојба за забележување.

Ставете го во зона, па пренасочете во неа

Зоната на заштитниот ѕид е местото каде живее политиката: влез, излез, пренасочување и маскарада. Тунел што не е во ниту една зона е управуван од стандардни вредности што не сте ги избрале, а тоа ретко е она што му треба на клиент на рутер. Блоковите подолу го прогласуваат интерфејсот, го ставаат во зона и дозволуваат LAN сообраќајот да влезе во таа зона.

config interface 'vpn'
    option device 'tun0'
    option proto 'none'

config zone
    option name 'vpn'
    list network 'vpn'
    option input 'REJECT'
    option output 'ACCEPT'
    option forward 'REJECT'
    option masq '1'

config forwarding
    option src 'lan'
    option dest 'vpn'

На изданија постари од 21.02 истата линија на интерфејсот се пишува option ifname, затоа проверете кој облик го разбира инсталираниот фирмвер пред да залепите. Блокот за пренасочување е дозволата што му овозможува на LAN сообраќајот воопшто да го користи тунелот. Без него уредот е вклучен, клиентот е поврзан, и ниту еден LAN домаќин не стигнува до тунелот. Најчестата пријава кај клиентите на рутер е поврзан, но без интернет.

Маскарадата на VPN зоната ја собира секоја LAN адреса во адресата на тунелот на рутерот пред пакетот да излезе. Тоа ја отстранува потребата од повратна рута до вашата подмрежа на далечната страна.

Ако далечната страна веќе го рутира вашиот LAN, исклучувањето на маскарадата ги остава изворните адреси видливи и ги прави дневниците по клиент значајни. Изберете една и запишете која, зашто двете можности подоцна создаваат различни прашања за поддршка. Отстранувањето на стандардното пренасочување од LAN кон WAN е одделна одлука со сопствена последица. Отстранете го и интернет пристапот на самиот рутер оди со него.

Именувајте ја вистинската горна врска во NAT

Во фирмверот каде правилото за превод е напишано рачно, излезниот интерфејс е полето што се расипува. Правило што именува vlan2 не прави ништо кога сесијата завршува на ppp0. Правило без интерфејс воопшто може да го преведе сообраќајот што требало да остане приватен. Ниту една од грешките не се најавува сама, бидејќи тунелот продолжува да работи.

iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE

Заменете го ppp0 во тоа правило со интерфејсот од ip route или од списокот на активни интерфејси, потоа гледајте го бројачот додека LAN домаќин вчитува страница. На рутер со еден провајдер, едно правило за маскарада за горната врска обично е доволно. Второ правило за интерфејсот на тунелот не е замена за првото.

Потоа додајте ги опциите на клиентот што одлучуваат што влегува во тунелот. Насоката redirect-gateway го праќа интернет сообраќајот на клиентот преку VPN, и без неа тунелот ги носи само рутите што ги турка серверот. Проверете ја добиената табела на рути пред да го допрете DNS.

Поделете го Wi-Fi со втора табела

Една табела за рутирање не може да држи две стандардни рути. Затоа вториот SSID што треба да го заобиколи тунелот бара сопствена подмрежа и сопствена табела. Доделете му на тунелскиот SSID сопствен опсег, потоа пратете го само тој опсег во тунелот со правило што ја избира табелата.

Пакувањата за политичко рутирање на OpenWrt ја изразуваат точно таа комбинација. Може и рачно, со изворно правило и табела чија стандардна рута покажува кон уредот на тунелот.

Проверете ја поделбата од двете мрежи. Клиент на тунелскиот SSID треба да ја прикаже излезната адреса на VPN, а клиент на обичниот SSID адресата на провајдерот. Кога двете изгледаат исто, правилото се совпаѓа со погрешен извор или табелата воопшто не се чита. Тестирајте и по повторно поврзување, бидејќи правило што зависи од името на интерфејсот се крши кога уредот добива нов број.

Посомневајте се во часовникот и знаменцето на уредот

Ова persist-tun знаменце го остава уредот на тунелот на место низ рестартирања. Тоа му одговара на сервер и го збунува клиентот чија состојба треба да се изгради од нула. Отстранете го додека решавате проблем со клиент на рутер, бидејќи уред што преживува неуспешно преговарање крие кој чекор навистина се скршил. Вратете го откако клиентот ќе се поврзе сигурно, а не порано.

Часовникот е другиот тивок неуспех. Рутер без батериски часовник почнува од епохата, што значи дека проверките на сертификатот паѓаат додека NTP не го достигне. Споредете ги временските ознаки во дневникот со вистинското време пред да го допрете сертификатот, бидејќи клиент што се поврзува една минута по подигнувањето обично чека синхронизација на времето.

Поврзани статии