Macmiil OpenVPN oo LAN dhan ku yaal OpenWrt: nidaam shaqo

Lahaanshaha interface-ka, siyaasadda aagga, masquerade iyo shaxda SSID kasta waa afar shaqo oo gooni ah. U samee si nidaam ah, tunnel-ka dhan router-ka daboolayaana wuu kaa joojinayaa la dagaallanka.

Afar shaqo oo madax bannaan ayaa LAN-ka oo dhan ee router-ka ka dhigaya hal tunnel gadaashiis. Qalabka tunnel-ku wuxuu u baahan yahay milkiile, aag firewall, bartilmaameed tarjumaad xagga xiriirka sare, iyo haddii qaar macmiil ah ay tahay inay VPN-ka ka baxaan, dariiqa cinwaanka isha. Tunnel isku xira laakiin waxba ka gudbin, badanaa mid ka mid ah afartaas ayaa maqan. Ka shaqaynta nidaamka ku tiirsanaanta macneheedu waa guuldarrada ugu dambeysa waxay leedahay tallaabada aad hadda beddeshay. Tallaabo kastaa hoose waxay ku dhammaataa wax aad arki karto, taasina waxay ka hortagtaa tan xigta inay noqoto qiyaas.

Go'aanso waxa tunnel-ka wadaaga

Router-ka qaybiya Wi-Fi iyo DHCP ayaa iskiis u shaqayn kara macmiilka. Taasi waxay qalab kasta oo ku xiran ka dhigtaa tunnel-ka gadaashiis iyada oo aan qalab kasta gooni loo habayn, waana nidaamka ay rabaan inta badan goobaha yaryar. Waa sidoo kale tan ugu baaxadda weyn marka tunnel-ku dhaco, sababtoo ah qalab kastaa hal mar ayuu lumiyaa dariiqiisa. LAN-ka waxba kuma sii hayo dariiqa bixitaanka ee shaqeeya.

Router labaad oo ka dambeeya kan koowaad, oo macmiilka ku shaqeeya isku-duubkiisa u gaar ah, ayaa tunnel-ka ku xaddida qalabkiisa oo keliya. Way fududahay in la saaro oo fududahay in loo sharraxo kan dhaxla. Qiimaha ayaa ah gaaritaanka labada dhinac iyada oo aan dariiq ama deked gudbin ahayn.

Si kasta ha ahaatee, isku-duubka LAN-ka ka dhig mid kala duwan. Xadka isku midka ah ayaa dhinac ka mid ah u muujiya mid toos ku xiran, iyo godka madow ee ka yimaada waxaa loo akhriyaa sida cilad VPN saacado.

Tunnel-ka sii milkiile

Ku dhawaaq tunnel-ka inuu yahay interface shabakadeed oo leh magac, qalab, oo aan lahayn borotokool u gaar ah. Kadib nidaamka shabakaddu wuu abuuraa oo maamulaa qalabka, wax kasta oo ka dambeeyaana wuxuu interface-ka uga hadlaa magac halkii qalab. Taasi waa waxa u oggolaanaya aagga inuu helo.

Ha abuurin isla qalabka laba meelood. Tunnel gacan lagu sameeyay oo ag taal interface la dhawaaqay wuxuu abuuraa qalab jira laakiin aan aag ku jirin, ama mid ku libdhaya marka dib loo raro. Labaduba waxay u muuqdaan sida macmiilku guuldarraystay, mana jiro mid soo saara khalad sheegaya sababta dhabta ah. Dooro dariiqa dhawaaqa oo tirtir kan gacan lagu sameeyay.

Magaca isku mid ka dhig habaynta shabakadda, firewall-ka iyo VPN-ka. Aaggu wuxuu shabakadaha ku taxaa magac, sidaas darteed khalad qoraal ah ayaa tunnel-ka ka reebaya aag kasta halka interface-ku iskiis u muuqdo mid caafimaad qaba. Interface caafimaad qaba oo aan siyaasad lahayn waa xaaladda ugu adag in la garto.

Aag ka dhig, kadibna u gudbi gudaheeda

Aagga firewall-ku waa meesha siyaasaddu ku nooshahay: gelitaan, bixitaan, gudbin iyo masquerade. Tunnel aan aag ku jirin waxaa maamula waxyaalo caadi ah oo aadan dooran, taasna marar badan ma aha waxa macmiilka router-ku u baahan yahay. Qaybaha hoose waxay dhawaaqaan interface-ka, waxay ku dhigaan aag, waxayna u oggolaadaan taraafikada LAN inay gasho aaggaas.

config interface 'vpn'
    option device 'tun0'
    option proto 'none'

config zone
    option name 'vpn'
    list network 'vpn'
    option input 'REJECT'
    option output 'ACCEPT'
    option forward 'REJECT'
    option masq '1'

config forwarding
    option src 'lan'
    option dest 'vpn'

Noocyada ka duqsan 21.02 isla xariiqda interface-ka waxaa loo qoraa option ifname ahaan, markaa ka hor intaadan dhejin hubi nooca firmware-ka rakiban uu fahmo. Qaybta gudbintu waa oggolaanshaha u oggolaanaya taraafikada LAN inay isticmaasho tunnel-ka. Iyada la'aan qalabku wuu shidan yahay, macmiilku wuu xiran yahay, mana jiro host LAN gaara tunnel-ka. Waa cabashada ugu badan ee xiran laakiin internet ma leh ee macmiiliinta router-ka.

Masquerade-ka aagga VPN wuxuu cinwaan kasta oo LAN ah ku ururiyaa cinwaanka tunnel-ka router-ka ka hor inta uusan baakaddu bixin. Taasi waxay meesha ka saartaa baahida dariiqa soo-noqodka isku-duubkaaga dhinaca kale.

Haddii dhinaca kale horey u dariiqa LAN-kaaga, daminta masquerade-ka waxay cinwaannada isha u dhigtaa kuwo muuqda waxayna macne u yeelataa diiwaannada macmiil kasta. Dooro mid oo qor midka, sababtoo ah labada doorasho waxay hadhow keenaan su'aalo taageero oo kala duwan. Ka saarista gudbinta caadiga ah ee LAN-ilaa-WAN waa go'aan gooni ah oo leh cawaaqibkiisa. Ka saar waxaana la socda gelitaanka internet-ka ee router-ka laftiisa.

NAT-ka ku magacow xiriirka sare ee dhabta ah

Firmware-ka xeerka tarjumaadda gacan lagu qoro, interface-ka baxa waa goobta qaldanta. Xeerka magaca vlan2 waxba ma sameeyo marka fadhiga ku dhammaado ppp0. Xeer aan interface waxba lahayn wuxuu tarjumi karaa taraafik ay ahayd inuu gaar ahaado. Labada khalad midkoodna isma sheego, sababtoo ah tunnel-ku wuu shaqaynayaa.

iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE

Ku beddel ppp0 xeerkaas interface-ka ip route ama liiska interface-yada shaqaynaya, kadib fiiri tirakoobka inta host LAN uu bogga rarayo. Router hal bixiye leh, hal xeer masquerade oo xiriirka sare ah badanaa wuu ku filan yahay. Xeer labaad oo interface-ka tunnel-ka ah ma beddelo kan koowaad.

Kadib ku dar doorashooyinka macmiilka ee go'aamiya waxa tunnel-ka galaya. Tilmaanta redirect-gateway waxay taraafikada internet-ka macmiilka ku diraa VPN, iyada la'aanteedna tunnel-ku wuxuu qaadaa oo keliya dariiqyada server-ku riixayo. Hubi shaxda dariiqa ka soo baxday ka hor intaadan taaban DNS.

Wi-Fi ku qaybi shax labaad

Hal shax dariiqa ma qaadi karto laba caadi. Sidaas darteed SSID labaad oo ay tahay inuu tunnel-ka dhaafo wuxuu u baahan yahay isku-duubkiisa iyo shaxdiisa. SSID-ga tunnel-ka sii xadkiisa, kadibna xeerka shaxda dooranaya ku dir kaliya xadkaas tunnel-ka.

Xirmooyinka dariiqa siyaasadeed ee OpenWrt waxay muujiyaan isku-dhafkaas. Gacan ayaa sidoo kale loo samayn karaa, xeer isha iyo shax caadigiisu tilmaamayo qalabka tunnel-ka.

Ka hubi qaybinta labada shabakadood. Macmiil ku jira SSID-ga tunnel-ka waa inuu muujiyaa cinwaanka bixitaanka VPN, macmiilna ku jira SSID-ga caadiga ah kan bixiyaha. Marka labaduba isku mid u muuqdaan, xeerku wuxuu la mid noqdaa isha khaldan ama shaxda lama tashado. Ku tijaabi sidoo kale ka dib dib-u-xirid, sababtoo ah xeer ku tiirsan magaca interface-ka wuu jabaa marka qalabka lambar cusub helo.

Ka shakiyo saacadda iyo calanka qalabka

Calanka persist-tun wuxuu qalabka tunnel-ka ku reebaa meeshiisa inta dib-u-bilaabiddu socoto. Taasi server-ka way ku habboon tahay, macmiilka ay xumeysaana xaaladdiisu tahay in laga bilaabo. Ka saar inta aad cilad-baadhayso macmiilka router-ka, sababtoo ah qalab ka badbaaday wada-hadal guuldarraystay wuxuu qariyaa tallaabada dhab ahaan jabtay. Dib u celi marka macmiilku si lagu kalsoonaan karo u xirmo, mana aha ka hor.

Saacaddu waa guuldarradii aamusan ee kale. Router aan lahayn saacad batteri ah wuxuu ka bilaabmaa xilligii bilowga, taasoo macneheedu yahay in hubinta shahaadada ay guuldarraysto ilaa NTP soo gaaro. Isbarbar dhig calaamadaha waqtiga diiwaanka waqtiga dhabta ah ka hor intaadan taaban shahaadada, sababtoo ah macmiil xirma daqiiqad ka dib kicinta badanaa wuxuu sugayaa isku-dhafka waqtiga.

Maqaallo la xiriira