OpenWrt-ൽ മുഴുവൻ LAN-നും OpenVPN ക്ലയന്റ്: പ്രവർത്തിക്കുന്ന ക്രമം

ഇന്റർഫേസ് ഉടമസ്ഥത, സോൺ നയം, മാസ്കറേഡ്, ഓരോ SSID-യുടെയും പട്ടികകൾ — ഇവ നാല് വ്യത്യസ്ത ജോലികളാണ്. അവ ക്രമത്തിൽ ചെയ്യൂ, എങ്കിൽ റൗട്ടർ മുഴുവൻ ഉൾക്കൊള്ളുന്ന ടണൽ നിങ്ങളോട് പോരാടുന്നത് നിർത്തും.

ഒരു റൗട്ടറിന്റെ മുഴുവൻ LAN-ഉം ഒരു ടണലിന് പിന്നിൽ കൊണ്ടുവരാൻ നാല് സ്വതന്ത്ര ജോലികൾ വേണം. ടണൽ ഉപകരണത്തിന് ഒരു ഉടമ, ഒരു ഫയർവാൾ സോൺ, അപ്ലിങ്കിലേക്കുള്ള ഒരു വിവർത്തന ലക്ഷ്യം, ചില ക്ലയന്റുകൾ VPN-ന് പുറത്ത് നിൽക്കേണ്ടതുണ്ടെങ്കിൽ ഉറവിട വിലാസം അനുസരിച്ചുള്ള റൂട്ടിംഗ് എന്നിവ ആവശ്യമാണ്. കണക്ട് ചെയ്യുന്നുവെങ്കിലും ഒന്നും കടന്നുപോകാത്ത ടണലിൽ സാധാരണ ഈ നാലിൽ ഒന്ന് കാണാതിരിക്കും. ആശ്രിതത്വ ക്രമത്തിൽ ജോലി ചെയ്യുന്നത് എന്നാൽ അവസാനം ഉണ്ടാകുന്ന പരാജയം നിങ്ങൾ ഇപ്പോൾ മാറ്റിയ ഘട്ടത്തിന്റേതാണ് എന്നാണ്. താഴെയുള്ള ഓരോ ഘട്ടവും കണ്ടറിയാവുന്ന ഒന്നിൽ അവസാനിക്കുന്നു, ഇത് അടുത്ത ഘട്ടത്തെ ഊഹമാക്കാതിരിക്കുന്നു.

ടണൽ എന്ത് പങ്കിടുന്നു എന്ന് തീരുമാനിക്കുക

Wi-Fi-ഉം DHCP-ഉം നൽകുന്ന റൗട്ടറിന് ക്ലയന്റ് സ്വയം പ്രവർത്തിപ്പിക്കാം. അത് ഓരോ ഉപകരണത്തിനും പ്രത്യേക ക്രമീകരണമില്ലാതെ എല്ലാ ബന്ധിപ്പിച്ച ഉപകരണങ്ങളെയും ടണലിന് പിന്നിലാക്കുന്നു, ചെറിയ സ്ഥലങ്ങളിൽ കൂടുതലും ഈ ക്രമീകരണമാണ് ആഗ്രഹിക്കുന്നത്. ടണൽ വീഴുമ്പോൾ ഏറ്റവും വലിയ ആഘാതവും ഈ ക്രമീകരണത്തിനാണ്, കാരണം എല്ലാ ഉപകരണങ്ങളും ഒരേസമയം അവയുടെ വഴി നഷ്ടപ്പെടുത്തുന്നു. LAN-ൽ പുറത്തേക്കുള്ള പ്രവർത്തിക്കുന്ന വഴി ഒന്നും അവശേഷിക്കുന്നില്ല.

ആദ്യത്തേതിന് പിന്നിൽ സ്വന്തം സബ്നെറ്റുമായി ക്ലയന്റ് പ്രവർത്തിപ്പിക്കുന്ന രണ്ടാമത്തെ റൗട്ടർ ടണലിനെ അതിന്റെ ഉപകരണങ്ങളിൽ മാത്രം ഒതുക്കുന്നു. അത് നീക്കം ചെയ്യാനും അത് കൈവശം വരുന്നയാൾക്ക് വിശദീകരിക്കാനും എളുപ്പമാണ്. വിലയാണ്, റൂട്ടോ പോർട്ട് ഫോർവേഡോ ഇല്ലാതെ ഇരുവശങ്ങൾക്കിടയിൽ എത്തിച്ചേരൽ ഇല്ല എന്നത്.

ഏതു വഴിയായാലും LAN സബ്നെറ്റുകൾ വ്യത്യസ്തമാക്കുക. ഒരേ ശ്രേണികൾ ഒരു വശത്തെ നേരിട്ട് ബന്ധിപ്പിച്ചതായി തോന്നിക്കുന്നു, കൂടാതെ അതിൽ നിന്നുണ്ടാകുന്ന കറുത്ത ദ്വാരം VPN-ന്റെ തകരാറായി തോന്നുന്നു മണിക്കൂറുകളോളം.

ടണലിന് ഒരു ഉടമ നൽകുക

പേരും ഉപകരണവും ഉള്ളതും സ്വന്തം പ്രോട്ടോക്കോൾ ഇല്ലാത്തതുമായ ഒരു നെറ്റ്വർക്ക് ഇന്റർഫേസായി ടണലിനെ പ്രഖ്യാപിക്കുക. പിന്നീട് നെറ്റ്വർക്ക് സിസ്റ്റം ഉപകരണം സൃഷ്ടിച്ച് കൈകാര്യം ചെയ്യുന്നു, തുടർന്നുള്ളതെല്ലാം ഉപകരണത്തിന് പകരം പേരിലൂടെ ഇന്റർഫേസിനെ സൂചിപ്പിക്കുന്നു. അതാണ് സോണിന് അതിനെ കണ്ടെത്താൻ അനുവദിക്കുന്നത്.

ഒരേ ഉപകരണം രണ്ടിടത്ത് സൃഷ്ടിക്കരുത്. പ്രഖ്യാപിച്ച ഇന്റർഫേസിനൊപ്പം കൈകൊണ്ട് നിർമ്മിച്ച ടണൽ ഉണ്ടെങ്കിൽ, നിലനിൽക്കുന്നുവെങ്കിലും സോണിലില്ലാത്ത ഒരു ഉപകരണം ഉണ്ടാകും, അല്ലെങ്കിൽ റീലോഡിൽ അപ്രത്യക്ഷമാകുന്ന ഒന്ന്. രണ്ടും ക്ലയന്റ് പരാജയപ്പെട്ടതായി തോന്നിക്കുന്നു, യഥാർത്ഥ കാരണം പേരിടുന്ന പിശക് ഒന്നും നൽകുന്നുമില്ല. ഡിക്ലറേറ്റീവ് വഴി തിരഞ്ഞെടുത്ത് കൈകൊണ്ടുള്ളത് ഇല്ലാതാക്കുക.

നെറ്റ്വർക്ക്, ഫയർവാൾ, VPN ക്രമീകരണങ്ങളിൽ പേര് ഒരേപോലെ നിലനിർത്തുക. സോൺ നെറ്റ്വർക്കുകൾ പേര് അനുസരിച്ച് പട്ടികപ്പെടുത്തുന്നു, അതിനാൽ ഒരു ടൈപ്പിംഗ് പിശക് ടണലിനെ എല്ലാ സോണുകൾക്കും പുറത്താക്കുമ്പോൾ ഇന്റർഫേസ് ആരോഗ്യകരമായി കാണപ്പെടുന്നു. നയമില്ലാത്ത ആരോഗ്യകരമായ ഇന്റർഫേസ് കണ്ടെത്താൻ ഏറ്റവും പ്രയാസമാണ്.

സോണാക്കുക, പിന്നെ അതിലേക്ക് ഫോർവേഡ് ചെയ്യുക

ഫയർവാൾ സോൺ എന്നത് നയം വസിക്കുന്ന സ്ഥലമാണ്: ഇൻപുട്ട്, ഔട്ട്പുട്ട്, ഫോർവേഡ്, മാസ്കറേഡ്. ഒരു സോണിലുമില്ലാത്ത ടണൽ നിങ്ങൾ തിരഞ്ഞെടുക്കാത്ത ഡിഫോൾട്ടുകളാൽ നിയന്ത്രിക്കപ്പെടുന്നു, അത് ഒരു റൗട്ടർ ക്ലയന്റിന് അപൂർവമായേ വേണ്ടിവരൂ. താഴെയുള്ള സ്റ്റാൻസകൾ ഇന്റർഫേസ് പ്രഖ്യാപിക്കുന്നു, അതിനെ ഒരു സോണിൽ ഇടുന്നു, LAN ട്രാഫിക്കിനെ ആ സോണിലേക്ക് അനുവദിക്കുന്നു.

config interface 'vpn'
    option device 'tun0'
    option proto 'none'

config zone
    option name 'vpn'
    list network 'vpn'
    option input 'REJECT'
    option output 'ACCEPT'
    option forward 'REJECT'
    option masq '1'

config forwarding
    option src 'lan'
    option dest 'vpn'

21.02-നേക്കാൾ പഴയ റിലീസുകളിൽ അതേ ഇന്റർഫേസ് വരി option ifname എന്നാണ് എഴുതുന്നത്, അതിനാൽ ഒട്ടിക്കുന്നതിന് മുമ്പ് ഇൻസ്റ്റാൾ ചെയ്ത ഫേംവെയർ ഏത് രൂപം വായിക്കുന്നു എന്ന് പരിശോധിക്കുക. ഫോർവേഡിംഗ് സ്റ്റാൻസയാണ് LAN ട്രാഫിക്കിന് ടണൽ ഉപയോഗിക്കാൻ അനുവാദം നൽകുന്നത്. അതില്ലാതെ ഉപകരണം ഓണാണ്, ക്ലയന്റ് ബന്ധിപ്പിച്ചിരിക്കുന്നു, ഒരു LAN ഹോസ്റ്റും ടണലിൽ എത്തുന്നില്ല. റൗട്ടർ ക്ലയന്റുകളിൽ ഏറ്റവും സാധാരണ പരാതി ഇതാണ് — ബന്ധിപ്പിച്ചു, പക്ഷേ ഇന്റർനെറ്റ് ഇല്ല.

VPN സോണിലെ മാസ്കറേഡ് പാക്കറ്റ് പുറത്തുപോകുന്നതിന് മുമ്പ് എല്ലാ LAN വിലാസത്തെയും റൗട്ടറിന്റെ ടണൽ വിലാസത്തിലേക്ക് ചുരുക്കുന്നു. അത് എതിർവശത്ത് നിങ്ങളുടെ സബ്നെറ്റിലേക്കുള്ള തിരിച്ചുവരവ് റൂട്ടിന്റെ ആവശ്യം ഒഴിവാക്കുന്നു.

എതിർവശം ഇതിനകം നിങ്ങളുടെ LAN-ന് റൂട്ട് നൽകുന്നുണ്ടെങ്കിൽ, മാസ്കറേഡ് ഓഫാക്കുന്നത് ഉറവിട വിലാസങ്ങൾ കാണുന്നത് തുടരാനും ഓരോ ക്ലയന്റിന്റെയും ലോഗുകൾ അർത്ഥവത്താക്കാനും സഹായിക്കുന്നു. ഒന്ന് തിരഞ്ഞെടുത്ത് ഏതെന്ന് എഴുതിവയ്ക്കുക, കാരണം രണ്ട് തിരഞ്ഞെടുപ്പുകളും പിന്നീട് വ്യത്യസ്ത സപ്പോർട്ട് ചോദ്യങ്ങൾ ഉണ്ടാക്കുന്നു. ഡിഫോൾട്ട് LAN-മുതൽ-WAN ഫോർവേഡിംഗ് നീക്കം ചെയ്യുന്നത് അതിന്റേതായ പരിണാമമുള്ള വേറിട്ട തീരുമാനമാണ്. അത് നീക്കിയാൽ റൗട്ടറിന്റെ സ്വന്തം ഇന്റർനെറ്റ് ആക്സസും കൂടെ പോകും.

NAT-ൽ യഥാർത്ഥ അപ്ലിങ്ക് പേരിടുക

വിവർത്തന നിയമം കൈകൊണ്ട് എഴുതുന്ന ഫേംവെയറിൽ പുറത്തേക്കുള്ള ഇന്റർഫേസാണ് തകരുന്ന ഫീൽഡ്. നിയമം vlan2 എന്ന് പേരിട്ടാലും സെഷൻ ppp0 ൽ അവസാനിക്കുമ്പോൾ ഒന്നും ചെയ്യുന്നില്ല. ഇന്റർഫേസ് ഒട്ടും ഇല്ലാത്ത നിയമത്തിന് സ്വകാര്യമായി തുടരേണ്ട ട്രാഫിക്ക് പോലും വിവർത്തനം ചെയ്യാനാകും. രണ്ട് പിശകുകളും സ്വയം പ്രഖ്യാപിക്കുന്നില്ല, കാരണം ടണൽ പ്രവർത്തിക്കുന്നത് തുടരുന്നു.

iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE

ആ നിയമത്തിലെ ppp0 എന്നത് ip route അല്ലെങ്കിൽ പ്രവർത്തിക്കുന്ന ഇന്റർഫേസുകളുടെ പട്ടികയിൽ നിന്നുള്ള ഇന്റർഫേസ് ഉപയോഗിച്ച് മാറ്റി, LAN ഹോസ്റ്റ് പേജ് ലോഡ് ചെയ്യുമ്പോൾ കൗണ്ടർ നോക്കുക. ഒരു പ്രൊവൈഡർ ഉള്ള റൗട്ടറിൽ അപ്ലിങ്കിന് ഒരു മാസ്കറേഡ് നിയമം സാധാരണ മതിയാകും. ടണൽ ഇന്റർഫേസിനുള്ള രണ്ടാം നിയമം ആദ്യത്തിന്റെ പകരമല്ല.

പിന്നെ ടണലിൽ എന്ത് പ്രവേശിക്കുന്നു എന്ന് തീരുമാനിക്കുന്ന ക്ലയന്റ് ഓപ്ഷനുകൾ ചേർക്കുക. redirect-gateway നിർദ്ദേശം ക്ലയന്റിന്റെ ഇന്റർനെറ്റ് ട്രാഫിക് VPN വഴി അയയ്ക്കുന്നു, അതില്ലാതെ ടണൽ സെർവർ തള്ളുന്ന റൂട്ടുകൾ മാത്രം വഹിക്കുന്നു. DNS-നെ തൊടുന്നതിന് മുമ്പ് ലഭിച്ച റൂട്ട് പട്ടിക പരിശോധിക്കുക.

രണ്ടാം പട്ടിക ഉപയോഗിച്ച് Wi-Fi വിഭജിക്കുക

ഒരു റൂട്ടിംഗ് പട്ടികയ്ക്ക് രണ്ട് ഡിഫോൾട്ടുകൾ വഹിക്കാനാവില്ല. അതിനാൽ ടണലിനെ ഒഴിവാക്കേണ്ട രണ്ടാം SSID-ന് സ്വന്തം സബ്നെറ്റും സ്വന്തം പട്ടികയും വേണം. ടണലിലെ SSID-ന് സ്വന്തം ശ്രേണി നൽകുക, പിന്നെ പട്ടിക തിരഞ്ഞെടുക്കുന്ന നിയമത്തോടെ ആ ശ്രേണി മാത്രം ടണലിലേക്ക് അയയ്ക്കുക.

OpenWrt-ലെ പോളിസി-റൂട്ടിംഗ് പാക്കേജുകൾ കൃത്യമായി ആ സംയോജനം പ്രകടിപ്പിക്കുന്നു. കൈകൊണ്ടും ചെയ്യാം — ഉറവിട നിയമവും ഡിഫോൾട്ട് ടണൽ ഉപകരണത്തിലേക്ക് ചൂണ്ടുന്ന പട്ടികയും ഉപയോഗിച്ച്.

രണ്ട് നെറ്റ്വർക്കുകളിൽ നിന്നും വിഭജനം പരിശോധിക്കുക. ടണലിലെ SSID-യിലെ ക്ലയന്റ് VPN-ന്റെ പുറത്തേക്കുള്ള വിലാസം കാണിക്കണം, സാധാരണ SSID-യിലെ ക്ലയന്റ് പ്രൊവൈഡറുടേതും. രണ്ടും ഒരേപോലെ തോന്നിയാൽ, നിയമം തെറ്റായ ഉറവിടവുമായി പൊരുത്തപ്പെടുന്നു അല്ലെങ്കിൽ പട്ടിക ഒട്ടും നോക്കുന്നില്ല. വീണ്ടും ബന്ധിപ്പിച്ച ശേഷവും പരീക്ഷിക്കുക, കാരണം ഇന്റർഫേസ് പേരിനെ ആശ്രയിക്കുന്ന നിയമം ഉപകരണത്തിന് പുതിയ നമ്പർ വരുമ്പോൾ തകരുന്നു.

ക്ലോക്കിനെയും ഉപകരണ ഫ്ലാഗിനെയും സംശയിക്കുക

ഈ persist-tun ഫ്ലാഗ് റീസ്റ്റാർട്ടുകൾക്കിടയിൽ ടണൽ ഉപകരണത്തെ സ്ഥാനത്ത് തന്നെ നിലനിർത്തുന്നു. അത് സെർവറിന് ഇണങ്ങുന്നു, എന്നാൽ അവസ്ഥ തുടക്കം മുതൽ പുനർനിർമ്മിക്കേണ്ട ക്ലയന്റിനെ കുഴപ്പത്തിലാക്കുന്നു. റൗട്ടർ ക്ലയന്റ് പരിശോധിക്കുമ്പോൾ അത് നീക്കം ചെയ്യുക, കാരണം പരാജയപ്പെട്ട ചർച്ചയെ അതിജീവിച്ച ഉപകരണം ഏത് ഘട്ടമാണ് യഥാർത്ഥത്തിൽ തകർന്നതെന്ന് മറയ്ക്കുന്നു. ക്ലയന്റ് വിശ്വസനീയമായി ബന്ധിപ്പിച്ച ശേഷം മാത്രം അത് തിരികെ വയ്ക്കുക, അതിന് മുമ്പല്ല.

ക്ലോക്ക് മറ്റൊരു നിശ്ശബ്ദ പരാജയമാണ്. ബാറ്ററി ക്ലോക്ക് ഇല്ലാത്ത റൗട്ടർ യുഗത്തിൽ നിന്ന് തുടങ്ങുന്നു, അതായത് NTP എത്തുന്നതുവരെ സർട്ടിഫിക്കറ്റ് പരിശോധനകൾ പരാജയപ്പെടുന്നു. സർട്ടിഫിക്കറ്റ് തൊടുന്നതിന് മുമ്പ് ലോഗിലെ സമയ അടയാളങ്ങൾ യഥാർത്ഥ സമയവുമായി താരതമ്യം ചെയ്യുക, കാരണം ബൂട്ടിന് ശേഷം ഒരു മിനിറ്റ് കഴിഞ്ഞ് ബന്ധിപ്പിക്കുന്ന ക്ലയന്റ് സാധാരണ സമയ സമന്വയത്തിനായി കാത്തിരിക്കുന്നു.

അനുബന്ധ ലേഖനങ്ങൾ