OpenWrt дээр бүх LAN-д зориулсан OpenVPN клиент: ажиллах дараалал

Чиглүүлэгчийн бүх LAN-ыг нэг туннелийн ард байрлуулахад дөрвөн бие даасан ажил хэрэгтэй. Туннелийн төхөөрөмжид эзэн, галт ханын бүс, дээд холбоос руу чиглэсэн хөрвүүлэх зорилт, мөн зарим клиент VPN-ээс гадна байх ёстой бол эх сурвалжийн хаягаар чиглүүлэлт хэрэгтэй. Холбогддог ч юу ч дамждаггүй туннельд ихэвчлэн эдгээр дөрвийн нэг нь дутуу байдаг. Хамаарлын дарааллаар ажиллана гэдэг нь төгсгөлд гарсан алдаа яг одоо өөрчилсөн алхамд хамаарна гэсэн үг. Доорх алхам бүр нүдээр харж болох зүйлээр төгсдөг бөгөөд энэ нь дараагийн алхмыг таамаг болгохгүй.

Туннелийг юу хуваалцахыг шийдэх

Wi-Fi болон DHCP тараадаг чиглүүлэгч клиентийг өөрөө ажиллуулж чадна. Энэ нь холбогдсон бүх төхөөрөмжийг тус бүрийн тохиргоогүйгээр туннелийн ард оруулдаг бөгөөд жижиг газруудын ихэнх нь ийм зохион байгуулалтыг хүсдэг. Туннель унасан үед хамгийн өргөн нөлөө мөн энэ зохион байгуулалтад байдаг, учир нь бүх төхөөрөмж нэгэн зэрэг замаа алддаг. LAN дээр гадагш гарах ажилладаг зам үлдэхгүй.

Эхний чиглүүлэгчийн ард өөрийн дэд сүлжээтэйгээр клиентийг ажиллуулж буй хоёр дахь чиглүүлэгч туннелийг зөвхөн өөрийн төхөөрөмжүүдэд хязгаарлана. Үүнийг авахад ч, өвлөн авсан хүнд тайлбарлахад ч хялбар. Үнэ нь зам эсвэл порт дамжуулалтгүйгээр хоёр талын хооронд хүрэх боломж байхгүй гэдэг.

Аль ч аргаар LAN дэд сүлжээнүүдийг ялгаатай байлга. Ижил мужууд нэг талыг шууд холбогдсон мэт харуулдаг бөгөөд үүнээс үүссэн хар нүх VPN-ийн гэмтэл мэт харагдана цагаар.

Туннельд эзэн өг

Туннелийг нэр, төхөөрөмжтэй бөгөөд өөрийн протоколгүй сүлжээний интерфейс хэмээн зарла. Дараа нь сүлжээний систем төхөөрөмжийг үүсгэж удирдана, цаашид бүх зүйл төхөөрөмжөөр биш нэрээр интерфейст хандана. Энэ нь бүсэд түүнийг олох боломж олгодог.

Нэг төхөөрөмжийг хоёр газарт бүү үүсгэ. Зарлагдсан интерфейсийн хажууд гараар хийсэн туннель байвал оршин байгаа ч бүсэд ороогүй төхөөрөмж, эсвэл дахин ачаалахад алга болох төхөөрөмж үүснэ. Хоёулаа клиент бүтэлгүйтсэн мэт харагдах бөгөөд аль нь ч жинхэнэ шалтгааныг нэрлэсэн алдаа өгөхгүй. Зарлалын замыг сонгож, гараар хийснийг устга.

Сүлжээ, галт хана болон VPN тохиргоонд нэрийг ижил байлга. Бүс сүлжээг нэрээр жагсаадаг тул нэг үсгийн алдаа туннелийг бүх бүсээс гадуур үлдээх бөгөөд интерфейс өөрөө эрүүл харагдана. Бодлогогүй эрүүл интерфейсийг илрүүлэх нь хамгийн хэцүү.

Бүс болгоод, дараа нь түүн рүү дамжуул

Галт ханын бүс бол бодлого амьдардаг газар: оролт, гаралт, дамжуулалт болон маскарад. Ямар ч бүсэд ороогүй туннель таны сонгоогүй өгөгдмөлөөр удирдагдах бөгөөд чиглүүлэгчийн клиентэд ийм зүйл ховор хэрэгтэй. Доорх блокүүд интерфейсийг зарлаж, бүсэд байрлуулж, LAN-ийн урсгалыг тухайн бүс рүү нэвтрүүлнэ.

config interface 'vpn'
    option device 'tun0'
    option proto 'none'

config zone
    option name 'vpn'
    list network 'vpn'
    option input 'REJECT'
    option output 'ACCEPT'
    option forward 'REJECT'
    option masq '1'

config forwarding
    option src 'lan'
    option dest 'vpn'

21.02-оос хуучин хувилбаруудад мөнөөх интерфейсийн мөр option ifname гэж бичигддэг тул наахаас өмнө суулгасан firmware аль хэлбэрийг уншиж байгааг шалга. Дамжуулалтын блок нь LAN-ийн урсгалд туннелийг огт ашиглах зөвшөөрөл юм. Үүнгүйгээр төхөөрөмж асаалттай, клиент холбогдсон, гэхдээ ямар ч LAN хост туннельд хүрэхгүй. Чиглүүлэгчийн клиентүүдийн хамгийн түгээмэл гомдол нь холбогдсон боловч интернэт байхгүй.

VPN бүс дээрх маскарад пакет гарахаас өмнө бүх LAN хаягийг чиглүүлэгчийн туннелийн хаяг руу хумина. Энэ нь эсрэг талд таны дэд сүлжээ рүү буцах замын хэрэгцээг арилгана.

Эсрэг тал аль хэдийн таны LAN-ыг чиглүүлж байгаа бол маскарадыг унтраах нь эх сурвалжийн хаягуудыг харагдуулж, клиент тус бүрийн логыг утгатай болгоно. Аль нэгийг сонгож, алийг сонгосноо бичиж үлдээ, учир нь хоёр сонголт дараа нь өөр өөр дэмжлэгийн асуулт үүсгэдэг. Өгөгдмөл LAN-аас WAN руу дамжуулалтыг авах нь өөрийн үр дагавартай тусдаа шийдвэр юм. Үүнийг авбал чиглүүлэгчийн өөрийн интернэт хандалт ч хамт явна.

NAT дотор жинхэнэ дээд холбоосыг нэрлэ

Хөрвүүлэх дүрмийг гараар бичдэг firmware-д гадагш гарах интерфейс нь эвдэрдэг талбар. Дүрэм vlan2 гэж нэрлэсэн ч сесс ppp0 дээр төгсвөл юу ч хийдэггүй. Интерфейс огт байхгүй дүрэм нь нууц хэвээр байх ёстой урсгалыг хүртэл хөрвүүлж чадна. Хоёр алдааны аль нь ч өөрийгөө зарладаггүй, учир нь туннель ажиллаж байна.

iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE

Тухайн дүрэм дэх ppp0 -г ip route эсвэл ажиллаж буй интерфейсүүдийн жагсаалтаас авсан интерфейсээр сольж, дараа нь LAN хост хуудас ачаалах үед тоолуурыг хар. Нэг үйлчилгээ үзүүлэгчтэй чиглүүлэгчид дээд холбоосын нэг маскарадын дүрэм ихэвчлэн хангалттай. Туннелийн интерфейсийн хоёр дахь дүрэм эхнийхийг орлохгүй.

Дараа нь туннельд юу орохыг шийддэг клиентийн параметрүүдийг нэм. redirect-gateway заавар нь клиентийн интернэт урсгалыг VPN-ээр явуулдаг бөгөөд үүнгүйгээр туннель зөвхөн серверийн түлхэж буй замуудыг зөөнө. DNS-д хүрэхээс өмнө үүссэн замын хүснэгтийг шалга.

Хоёр дахь хүснэгтээр Wi-Fi-г хуваа

Нэг чиглүүлэлтийн хүснэгт хоёр өгөгдмөлийг багтааж чадахгүй. Тиймээс туннелийг тойрох ёстой хоёр дахь SSID-д өөрийн дэд сүлжээ болон өөрийн хүснэгт хэрэгтэй. Туннелийн SSID-д өөрийн мужийг өгөөд, хүснэгтийг сонгодог дүрмээр зөвхөн тэр мужийг туннель руу явуул.

OpenWrt дээрх бодлогын чиглүүлэлтийн багцууд яг энэ хослолыг илэрхийлдэг. Гараар ч болно — эх сурвалжийн дүрэм болон өгөгдмөл нь туннелийн төхөөрөмж рүү заасан хүснэгттэйгээр.

Хоёр сүлжээнээс хуваалтыг шалга. Туннелийн SSID дээрх клиент VPN-ийн гарах хаягийг, энгийн SSID дээрх клиент үйлчилгээ үзүүлэгчийн хаягийг харуулах ёстой. Хоёулаа ижил харагдвал дүрэм буруу эх сурвалжтай таарч байна эсвэл хүснэгтийг огт асуухгүй байна. Дахин холбогдсоны дараа ч туршиж үз, учир нь интерфейсийн нэрээс хамаарсан дүрэм төхөөрөмжийн дугаар өөрчлөгдөхөд эвдэрдэг.

Цаг болон төхөөрөмжийн тугыг сэжиглэ

Энэ persist-tun туг туннелийн төхөөрөмжийг дахин ачаалалтын турш байранд нь үлдээдэг. Энэ нь серверт тохирдог ч төлөвийг тэгээс дахин бүтээх ёстой клиентийг төөрөгдүүлдэг. Чиглүүлэгчийн клиентийг оношлох үед үүнийг ав, учир нь бүтэлгүй хэлэлцээрийг даван туулсан төхөөрөмж аль алхам үнэхээр эвдэрснийг нуудаг. Клиент найдвартай холбогдсоны дараа буцааж тавь, түүнээс өмнө биш.

Цаг бол нөгөө чимээгүй бүтэлгүйтэл. Зайтай цаггүй чиглүүлэгч эриний эхнээс эхэлдэг бөгөөд энэ нь NTP гүйцэх хүртэл гэрчилгээний шалгалт бүтэлгүйтнэ гэсэн үг. Гэрчилгээнд хүрэхээс өмнө логын цагийн тэмдгийг бодит цагтай харьцуул, учир нь ачаалснаас хойш нэг минутын дараа холбогддог клиент ихэвчлэн цагийн синхрончлолыг хүлээж байдаг.