Klient OpenVPN për të gjithë LAN-in në OpenWrt: një rend pune

Katër punë të pavarura e vënë të gjithë LAN-in e një routeri pas një tuneli. Pajisja e tunelit ka nevojë për një pronar, një zonë firewall, një objektiv përkthimi drejt uplink-ut dhe, nëse disa klientë duhet të mbeten jashtë VPN-së, routing sipas adresës së burimit. Një tunel që lidhet ndërsa asgjë nuk kalon zakonisht ka një nga këto katër që mungon. Puna në rend varësie do të thotë që një dështim në fund i përket hapit që sapo ndryshuat. Çdo hap më poshtë përfundon me diçka që mund ta shihni, dhe kjo e mban hapin tjetër nga të qenit hamendje.

Vendosni çfarë e ndan tunelin

Routeri që shpërndan Wi-Fi dhe DHCP mund ta drejtojë vetë klientin. Kjo e vë çdo pajisje të lidhur pas tunelit pa konfigurim për pajisje, dhe është rregullimi që duan shumica e site-ve të vogla. Është gjithashtu ai me rrezen më të gjerë të ndikimit kur tuneli bie, sepse çdo pajisje e humb rrugën e saj njëherësh. Asgjë në LAN nuk mban një rrugëdalje funksionale.

Një router i dytë pas të parit, që e drejton klientin me nënrrjetin e vet, e kufizon tunelin te pajisjet e tij. Është më i lehtë për t'u hequr dhe më i lehtë për t'ia shpjeguar atij që do ta trashëgojë. Kostoja është arritshmëria midis dy anëve pa një rrugë ose një përcjellje porti.

Në një mënyrë ose në tjetrën, bëjini nënrrjetet e LAN-it të ndryshme. Gama identike e bëjnë njërën anë të duket e lidhur drejtpërdrejt, dhe vrima e zezë që rezulton lexohet si defekt VPN me orë të tëra.

Jepini tunelit një pronar

Shpallni tunelin si një ndërfaqe rrjeti me një emër, një pajisje dhe pa protokoll të vetin. Sistemi i rrjetit pastaj e krijon dhe e administron pajisjen, dhe gjithçka më poshtë i referohet ndërfaqes me emër, jo me pajisje. Kjo është ajo që lejon zonën ta gjejë atë.

Mos e krijoni të njëjtën pajisje në dy vende. Një tunel i bërë me dorë pranë një ndërfaqeje të shpallur prodhon një pajisje që ekziston por nuk është në asnjë zonë, ose një që zhduket në rimbushje. Të dyja duken si dështim i klientit, dhe asnjëra nuk prodhon një gabim që emërton shkakun e vërtetë. Zgjidhni rrugën deklarative dhe fshini atë manuale.

Mbajeni emrin identik në konfigurimin e rrjetit, të firewall-it dhe të VPN-së. Zona i liston rrjetet me emër, kështu që një gabim shtypi e lë tunelin jashtë çdo zone ndërsa vetë ndërfaqja duket e shëndoshë. Një ndërfaqe e shëndoshë pa politikë është gjendja më e vështirë për t'u vënë re.

Vendoseni në zonë, pastaj përcillni në të

Zona e firewall-it është vendi ku jeton politika: hyrje, dalje, përcjellje dhe masquerade. Një tunel pa zonë drejtohet nga parazgjedhje që nuk i zgjodhët ju, dhe kjo rrallë është ajo që i duhet një klienti routeri. Blloqet më poshtë shpallin ndërfaqen, e vendosin në një zonë dhe lejojnë trafikun e LAN-it të hyjë në atë zonë.

config interface 'vpn'
    option device 'tun0'
    option proto 'none'

config zone
    option name 'vpn'
    list network 'vpn'
    option input 'REJECT'
    option output 'ACCEPT'
    option forward 'REJECT'
    option masq '1'

config forwarding
    option src 'lan'
    option dest 'vpn'

Në versionet më të vjetra se 21.02 e njëjta rresht ndërfaqeje shkruhet si option ifname, prandaj kontrolloni cilën formë kupton firmware-i i instaluar përpara se të ngjitni. Blloku i përcjelljes është leja që i mundëson trafikut të LAN-it të përdorë tunelin fare. Pa të pajisja është lart, klienti është i lidhur, dhe asnjë host i LAN-it nuk e arrin tunelin. Është ankesa më e zakonshme e lidhur por pa internet te klientët e router-it.

Masquerade në zonën VPN i shemb të gjitha adresat e LAN-it në adresën e tunelit të routerit përpara se pakoja të dalë. Kjo heq nevojën për një rrugë kthimi drejt nënrrjetit tuaj në anën tjetër.

Nëse ana tjetër tashmë e rrugëton LAN-in tuaj, fikja e masquerade-it i mban adresat e burimit të dukshme dhe i bën regjistrat për klient kuptimplotë. Zgjidhni njërën dhe shkruani cilën, sepse dy zgjedhjet prodhojnë pyetje të ndryshme mbështetjeje më vonë. Heqja e përcjelljes së parazgjedhur nga LAN në WAN është një vendim i veçantë me pasojën e vet. Hiqeni dhe aksesi në internet i vetë routerit shkon bashkë me të.

Emërtoni uplink-un e vërtetë në NAT

Në firmware ku rregulli i përkthimit shkruhet me dorë, ndërfaqja e daljes është fusha që prishet. Një rregull që emërton vlan2 nuk bën asgjë kur sesioni përfundon në ppp0. Një rregull pa asnjë ndërfaqe mund të përkthejë trafik që duhej të kishte mbetur privat. Asnjëri prej gabimeve nuk e shpall veten, sepse tuneli vazhdon të punojë.

iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE

Zëvendësoni ppp0 në atë rregull me ndërfaqen nga ip route ose nga lista e ndërfaqeve aktive, pastaj shikoni numëruesin ndërsa një host i LAN-it ngarkon një faqe. Në një router me një ofrues, një rregull masquerade për uplink-un zakonisht mjafton. Një rregull i dytë për ndërfaqen e tunelit nuk është zëvendësim për të parin.

Pastaj shtoni opsionet e klientit që vendosin çfarë hyn në tunel. Një direktivë redirect-gateway e dërgon trafikun e internetit të klientit përmes VPN-së, dhe pa të tuneli mban vetëm rrugët që shtyn serveri. Kontrolloni tabelën e rrugëve që rezulton përpara se të prekni DNS.

Ndajeni Wi-Fi-n me një tabelë të dytë

Një tabelë rrugëtimi nuk mund të mbajë dy parazgjedhje. Një SSID i dytë që duhet ta anashkalojë tunelin kërkon pra nënrrjetin e vet dhe tabelën e vet. Jepini SSID-së së tunelit gamën e vet, pastaj rrugëtoni vetëm atë gamë në tunel me një rregull që zgjedh tabelën.

Paketat e routing-ut sipas politikës në OpenWrt shprehin pikërisht atë kombinim. Bëhet edhe me dorë, me një rregull burimi dhe një tabelë parazgjedhja e së cilës tregon pajisjen e tunelit.

Kontrolloni ndarjen nga të dy rrjetet. Një klient në SSID-në e tunelit duhet të paraqesë adresën e daljes së VPN-së, dhe një klient në SSID-në e zakonshme atë të ofruesit. Kur të dyja duken njësoj, rregulli përputhet me burimin e gabuar ose tabela nuk konsultohet fare. Testoni edhe pas një rilidhjeje, sepse një rregull që varet nga emri i ndërfaqes prishet kur pajisja merr numër të ri.

Dyshoni tek ora dhe flamuri i pajisjes

Flamuri persist-tun e lë pajisjen e tunelit në vend ndërmjet rindezjeve. Kjo i shkon një serveri dhe e huton një klient gjendja e të cilit duhet rindërtuar nga e para. Hiqeni ndërsa zgjidhni probleme me një klient routeri, sepse një pajisje që i mbijeton një negocimi të dështuar fsheh cili hap u thye vërtet. Kthejeni pasi klienti të lidhet me besueshmëri, dhe jo më parë.

Ora është dështimi tjetër i qetë. Një router pa orë me bateri nis nga epoka, që do të thotë se kontrollet e certifikatës dështojnë derisa NTP ta arrijë. Krahasoni vulat kohore të regjistrit me kohën reale përpara se të prekni një certifikatë, sepse një klient që lidhet një minutë pas nisjes zakonisht pret sinkronizimin e kohës.