Klijent OpenVPN għall-LAN kollha fuq OpenWrt: ordni li taħdem

Is-sjieda tal-interface, il-politika taż-żona, il-masquerade u t-tabelli għal kull SSID huma erba’ xogħlijiet separati. Agħmilhom fl-ordni u tunnel għar-router kollu jieqaf jiġġieled miegħek.

Erba’ xogħlijiet indipendenti jqiegħdu l-LAN kollha ta’ router wara tunnel wieħed. It-tagħmir tat-tunnel jeħtieġ sid, żona tal-firewall, destinazzjoni tat-traduzzjoni lejn l-uplink u, jekk xi klijenti għandhom jibqgħu barra mill-VPN, routing skont l-indirizz tas-sors. Tunnel li jikkonnettja waqt li ma jgħaddi xejn ħafna drabi jkun nieqes wieħed minn dawn l-erbgħa. Xogħol fl-ordni tad-dipendenzi jfisser li ħsara fl-aħħar tappartjeni lill-pass li għadek kemm biddilt. Kull pass hawn taħt jispiċċa b’xi ħaġa li tista’ tosserva, u dan iżomm il-pass li jmiss ’il bogħod mill-istima.

Iddeċiedi x’jaqsam it-tunnel

Ir-router li jqassam il-Wi-Fi u d-DHCP jista’ jmexxi l-klijent innifsu. Dan iqiegħed kull apparat imqabbad wara t-tunnel mingħajr konfigurazzjoni għal kull apparat, u din hija l-arranġament li trid il-maġġoranza tas-siti żgħar. Hija wkoll dik bl-akbar firxa ta’ impatt meta t-tunnel jaqa’, għax kull apparat jitlef it-triq tiegħu f’daqqa. Xejn fuq il-LAN ma jżomm ħruġ li jaħdem.

Tieni router wara l-ewwel wieħed, li jmexxi l-klijent bis-subnet tiegħu stess, jillimita t-tunnel għall-apparati tiegħu stess. Huwa eħfef biex jitneħħa u eħfef biex jiġi spjegat lil min jirtieh. L-ispiża hija l-aċċessibbiltà bejn iż-żewġ naħat mingħajr rotta jew port forwarding.

B’kull mod, agħmel is-subnets tal-LAN distinti. Firxiet identiċi jagħmlu naħa waħda tidher konnessa direttament, u it-toqba sewda li tirriżulta taqra bħal ħsara tal-VPN għal sigħat.

Agħti sid lit-tunnel

Iddikjara t-tunnel bħala interface tan-netwerk b’isem, bi tagħmir u mingħajr protokoll tiegħu stess. Is-sistema tan-netwerk imbagħad toħloq u tmexxi t-tagħmir, u kull ma hu ’l isfel jirreferi għall-interface bl-isem, mhux bit-tagħmir. Dan huwa li jippermetti liż-żona ssibu.

Togħloqx l-istess tagħmir f’żewġ postijiet. Tunnel magħmul bl-idejn ħdejn interface ddikjarata jipproduċi tagħmir li jeżisti iżda mhuwiex f’żona, jew wieħed li jisparixxi meta jerġa’ jitgħabba. It-tnejn jidhru bħallikieku l-klijent falla, u lanqas wieħed minnhom ma jagħti żball li jsemmi l-kawża vera. Agħżel it-triq dikjarattiva u ħassar dik manwali.

Żomm l-isem identiku fil-konfigurazzjoni tan-netwerk, tal-firewall u tal-VPN. Iż-żona telenka n-netwerks bl-isem, għalhekk żball fl-ittajpjar iħalli t-tunnel barra minn kull żona waqt li l-interface stess tidher f’saħħitha. Interface f’saħħitha mingħajr politika hija l-istat l-aktar diffiċli biex tintgħaraf.

Poġġih f’żona, imbagħad dawwar lejha

Żona tal-firewall hija fejn tgħix il-politika: input, output, forward u masquerade. Tunnel li mhuwiex f’xi żona jiġi rregolat minn valuri awtomatiċi li ma għażiltx, u dan rari huwa dak li jeħtieġ klijent fuq router. Il-blokki hawn taħt jiddikjaraw l-interface, iqiegħduha f’żona u jippermettu traffiku tal-LAN f’dik iż-żona.

config interface 'vpn'
    option device 'tun0'
    option proto 'none'

config zone
    option name 'vpn'
    list network 'vpn'
    option input 'REJECT'
    option output 'ACCEPT'
    option forward 'REJECT'
    option masq '1'

config forwarding
    option src 'lan'
    option dest 'vpn'

Fuq rilaxxi eqdem minn 21.02 l-istess linja tal-interface tinkiteb bħala option ifname, għalhekk iċċekkja liema forma tifhem il-firmware installat qabel ma tippejstja. Il-blokk tal-forward huwa l-permess li jippermetti lit-traffiku tal-LAN juża t-tunnel xejn inqas. Mingħajr dan it-tagħmir ikun mixgħul, il-klijent ikun konness, u l-ebda host tal-LAN ma jilħaq it-tunnel. Din hija l-aktar rapport komuni ta’ konness iżda mingħajr internet fuq klijenti tar-router.

Il-masquerade fuq iż-żona VPN iġib kull indirizz tal-LAN fl-indirizz tat-tunnel tar-router qabel ma l-pakkett joħroġ. Dan ineħħi l-ħtieġa ta’ rotta lura lejn is-subnet tiegħek fuq in-naħa l-oħra.

Jekk in-naħa l-oħra diġà tirrotta l-LAN tiegħek, it-tifi tal-masquerade iżomm l-indirizzi tas-sors viżibbli u jagħmel il-logs għal kull klijent sinifikanti. Agħżel waħda u ikteb liema, għax iż-żewġ għażliet jipproduċu mistoqsijiet ta’ sostenn differenti aktar tard. It-tneħħija tal-forward awtomatiku mil-LAN għall-WAN hija deċiżjoni separata bil-konsegwenza tagħha. Ħa jintrema u l-aċċess għall-internet tar-router stess imur miegħu.

Semmi l-uplink veru fin-NAT

Fuq firmware fejn ir-regola tat-traduzzjoni tinkiteb bl-idejn, l-interface tal-ħruġ hija l-qasam li jmur ħażin. Regola li ssemmi vlan2 ma tagħmel xejn meta s-sessjoni tintemm fuq ppp0. Regola mingħajr ebda interface tista’ tittraduċi traffiku li kellu jibqa’ privat. Lanqas żball minnhom ma jħabbar lilu nnifsu, għax it-tunnel ikompli jaħdem.

iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE

Ibdel ppp0 f’dik ir-regola bl-interface mill-ip route jew mil-lista tal-interfaces attivi, imbagħad osserva l-counter waqt li host tal-LAN jgħabbi paġna. Fuq router b’fornitur wieħed, regola waħda ta’ masquerade għall-uplink normalment biżżejjed. It-tieni regola għall-interface tat-tunnel mhijiex sostitut għall-ewwel waħda.

Imbagħad żid l-għażliet tal-klijent li jiddeċiedu x’jidħol fit-tunnel. Direttiva redirect-gateway tibgħat it-traffiku tal-internet tal-klijent mill-VPN, u mingħajrha t-tunnel iġorr biss ir-rotot li jimbutta s-server. Iċċekkja t-tabella tar-rotot li tirriżulta qabel ma tmiss id-DNS.

Aqsam il-Wi-Fi b’tieni tabella

Tabella waħda ta’ routing ma tistax iżżomm żewġ defaults. Għalhekk it-tieni SSID li għandu jaqbeż it-tunnel jeħtieġ is-subnet tiegħu u t-tabella tiegħu. Assenja lill-SSID tunnellizzat firxa tiegħu, imbagħad irrotta biss dik il-firxa fit-tunnel b’regola li tagħżel it-tabella.

Il-pakketti tal-policy routing fuq OpenWrt jesprimu eżattament dik il-kombinazzjoni. Jaħdem bl-idejn ukoll, b’regola tas-sors u tabella li d-default tagħha tipponta lejn it-tagħmir tat-tunnel.

Iċċekkja l-qsim miż-żewġ netwerks. Klijent fuq l-SSID tunnellizzat għandu jippreżenta l-indirizz tal-ħruġ tal-VPN, u klijent fuq l-SSID ordinarju għandu jippreżenta dak tal-fornitur. Meta t-tnejn jidhru l-istess, ir-regola taqbel mas-sors ħażin jew it-tabella qatt ma tiġi kkonsultata. Ipprova wkoll wara rikonnessjoni, għax regola li tiddependi fuq l-isem tal-interface tinkiser meta t-tagħmir jiġi nnumerat mill-ġdid.

Iddenb fuq l-arloġġ u l-flag tat-tagħmir

Il-flag persist-tun iħalli t-tagħmir tat-tunnel f’postu matul ir-restarts. Dan jaqbel ma’ server u jħawwad lil klijent li l-istat tiegħu għandu jinbena mill-ġdid minn xejn. Neħħih waqt li tkun qed issolvi klijent tar-router, għax tagħmir li jgħaddi minn negozjazzjoni falluta jaħbi liema pass tkisser tassew. Erġa’ poġġih ladarba l-klijent jikkonnettja b’mod affidabbli, u mhux qabel.

L-arloġġ huwa l-ħsara siekta l-oħra. Router mingħajr arloġġ bl-batterija jibda mill-epoka, li jfisser li l-kontrolli taċ-ċertifikati jfallu sakemm l-NTP jilħaq. Qabbel it-timbri tal-ħin tal-log mal-ħin reali qabel ma tmiss ċertifikat, għax klijent li jikkonnettja minuta wara l-boot normalment ikun qed jistenna s-sinkronizzazzjoni tal-ħin.

Artikli relatati