Odjemalec OpenVPN za celoten LAN na OpenWrt: delovni vrstni red

Štiri neodvisne naloge postavijo celoten LAN usmerjevalnika za en tunel. Naprava tunela potrebuje lastnika, cono požarnega zidu, cilj prevajanja proti navzgornji povezavi in, če morajo nekateri odjemalci ostati zunaj VPN, usmerjanje po izvornem naslovu. Tunelu, ki se poveže, a skozenj nič ne gre, običajno manjka ena od teh štirih stvari. Delo v vrstnem redu odvisnosti pomeni, da napaka na koncu pripada koraku, ki ste ga pravkar spremenili. Vsak korak spodaj se konča z nečim, kar lahko vidite, in to prepreči, da bi naslednji postal ugibanje.

Odločite, kaj si deli tunel

Usmerjevalnik, ki deli Wi-Fi in DHCP, lahko odjemalca poganja sam. To postavi vsako priključeno napravo za tunel brez nastavljanja po napravi, in to je razporeditev, ki jo želi večina majhnih lokacij. Je tudi tista z najširšim dosegom ob padcu tunela, ker vsaka naprava izgubi pot hkrati. Na LAN ne ostane delujoča pot ven.

Drugi usmerjevalnik za prvim, ki poganja odjemalca z lastno podomrežjem, omeji tunel na svoje naprave. Lažje ga je odstraniti in lažje razložiti tistemu, ki ga bo podedoval. Cena je dosegljivost med obema stranema brez poti ali posredovanja vrat.

Kakor koli že, naredite podomrežja LAN različna. Enaki razponi naredijo eno stran videti neposredno povezano, in nastala črna luknja se bere kot okvara VPN ure in ure.

Dajte tunelu lastnika

Razglasite tunel za omrežni vmesnik z imenom, napravo in brez lastnega protokola. Omrežni sistem nato napravo ustvari in upravlja, in vse naprej se sklicuje na vmesnik po imenu, ne po napravi. Prav to omogoči coni, da ga najde.

Ne ustvarjajte iste naprave na dveh mestih. Ročno narejen tunel ob razglašenem vmesniku ustvari napravo, ki obstaja, a ni v nobeni coni, ali tako, ki ob ponovnem nalaganju izgine. Oba sta videti kot odpoved odjemalca, in noben ne da napake, ki bi poimenovala resnični vzrok. Izberite deklarativno pot in izbrišite ročno.

Ohranite ime enako v konfiguraciji omrežja, požarnega zidu in VPN. Cona navaja omrežja po imenu, zato tipkarska napaka pusti tunel zunaj vseh con, medtem ko je vmesnik sam videti zdrav. Zdrav vmesnik brez pravilnika je najtežje opazno stanje.

Dajte ga v cono, nato pa vanjo posredujte

Cona požarnega zidu je kraj, kjer živi pravilnik: vhod, izhod, posredovanje in maskiranje. Tunel brez cone upravljajo privzete vrednosti, ki jih niste izbrali, in to je redko tisto, kar odjemalec usmerjevalnika potrebuje. Spodnji bloki razglasijo vmesnik, ga postavijo v cono in dovolijo prometu LAN vstop v to cono.

config interface 'vpn'
    option device 'tun0'
    option proto 'none'

config zone
    option name 'vpn'
    list network 'vpn'
    option input 'REJECT'
    option output 'ACCEPT'
    option forward 'REJECT'
    option masq '1'

config forwarding
    option src 'lan'
    option dest 'vpn'

V izdajah, starejših od 21.02, se ista vrstica vmesnika zapiše kot option ifname, zato pred lepljenjem preverite, katero obliko razume nameščena programska oprema. Blok posredovanja je dovoljenje, ki prometu LAN sploh omogoči uporabo tunela. Brez njega je naprava gor, odjemalec povezan, in noben gostitelj LAN ne doseže tunela. To je najpogostejša prijava povezano, a brez interneta pri odjemalcih usmerjevalnika.

Maskiranje v coni VPN zmeče vsak naslov LAN v naslov tunela usmerjevalnika, preden paket odide. To odpravi potrebo po povratni poti do vašega podomrežja na drugi strani.

Če druga stran že usmerja vaš LAN, izklop maskiranja ohrani izvorne naslove vidne in naredi dnevnike po odjemalcih smiselne. Izberite eno in zapišite katero, ker obe izbiri pozneje prineseta različna vprašanja za podporo. Odstranitev privzetega posredovanja iz LAN v WAN je ločena odločitev z lastno posledico. Če ga vzamete, gre z njim tudi lasten dostop usmerjevalnika do interneta.

Poimenujte pravo navzgornjo povezavo v NAT

V programski opremi, kjer je pravilo prevajanja napisano ročno, je odhodni vmesnik tisto polje, ki se pokvari. Pravilo, ki imenuje vlan2 ne naredi ničesar, ko se seja konča na ppp0. Pravilo brez vmesnika sploh lahko prevede promet, ki bi moral ostati zaseben. Nobena od napak se ne oglasi sama, ker tunel deluje naprej.

iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE

Zamenjajte ppp0 v tem pravilu z vmesnikom iz ip route ali s seznama delujočih vmesnikov, nato opazujte števec, medtem ko gostitelj LAN nalaga stran. Na usmerjevalniku z enim ponudnikom eno pravilo maskiranja za navzgornjo povezavo običajno zadostuje. Drugo pravilo za vmesnik tunela ni nadomestilo za prvo.

Nato dodajte možnosti odjemalca, ki odločajo, kaj vstopi v tunel. Navodilo redirect-gateway pošlje internetni promet odjemalca skozi VPN, in brez njega tunel nosi le poti, ki jih poriva strežnik. Pred posegom v DNS preverite nastalo tabelo poti.

Razdelite Wi-Fi z drugo tabelo

Ena usmerjevalna tabela ne more držati dveh privzetih poti. Drugi SSID, ki mora obiti tunel, zato potrebuje lastno podomrežje in lastno tabelo. Dodelite tunelskemu SSID lasten razpon, nato pa usmerite samo ta razpon v tunel s pravilom, ki izbere tabelo.

Paketi za usmerjanje po pravilniku na OpenWrt izražajo natanko to kombinacijo. Gre tudi ročno, z izvornim pravilom in tabelo, katere privzeta pot kaže na napravo tunela.

Preverite delitev iz obeh omrežij. Odjemalec na tunelskem SSID mora pokazati izhodni naslov VPN, odjemalec na običajnem SSID pa naslov ponudnika. Ko sta oba videti enako, se pravilo ujema z napačnim izvirom ali pa tabela sploh ni uporabljena. Preizkusite tudi po ponovni povezavi, ker se pravilo, odvisno od imena vmesnika, zlomi, ko naprava dobi novo številko.

Sumite na uro in zastavico naprave

Zastavica persist-tun pusti napravo tunela na mestu med ponovnimi zagoni. To ustreza strežniku in zmede odjemalca, katerega stanje je treba zgraditi od začetka. Odstranite jo med odpravljanjem težave z odjemalcem usmerjevalnika, ker naprava, ki preživi neuspešno pogajanje, skriva, kateri korak se je res zlomil. Vrnite jo, ko se odjemalec zanesljivo poveže, in ne prej.

Ura je druga tiha odpoved. Usmerjevalnik brez baterijske ure se začne pri epohi, kar pomeni, da preverjanja potrdil spodletijo, dokler NTP ne dohiti. Primerjajte časovne žige v dnevniku z resničnim časom, preden se dotaknete potrdila, ker odjemalec, ki se poveže minuto po zagonu, običajno čaka na sinhronizacijo časa.