Mteja wa OpenVPN kwa LAN yote kwenye OpenWrt: mpangilio wa kazi

Kazi nne huru huweka LAN yote ya router nyuma ya handaki moja. Kifaa cha handaki kinahitaji mmiliki, eneo la firewall, lengo la tafsiri kuelekea kiungo cha juu na, ikiwa baadhi ya wateja lazima wabaki nje ya VPN, uelekezaji kwa anwani ya chanzo. Handaki inayounganisha huku hakuna kinachopita kwa kawaida inakosa kimojawapo cha hivyo vinne. Kufanya kazi kwa mpangilio wa utegemezi inamaanisha kushindwa mwishoni ni kwa hatua uliyoibadilisha hivi punde. Kila hatua hapa chini inaishia na kitu unachoweza kuona, na hilo huzuia inayofuata kuwa ubashiri.

Amua ni nini kinashiriki handaki

Router inayogawa Wi-Fi na DHCP inaweza kuendesha mteja yenyewe. Hiyo huweka kila kifaa kilichounganishwa nyuma ya handaki bila usanidi wa kila kifaa, na ni mpangilio ambao tovuti nyingi ndogo huhitaji. Pia ndiyo yenye athari pana zaidi handaki inapoanguka, kwa sababu kila kifaa kinapoteza njia yake kwa wakati mmoja. Hakuna kitu kwenye LAN kinachobakiza njia ya kutoka inayofanya kazi.

Router ya pili nyuma ya ya kwanza, inayoendesha mteja na subnet yake mwenyewe, huweka handaki kwa vifaa vyake tu. Ni rahisi kuiondoa na rahisi kuieleza kwa atakayeirithi. Gharama ni kufikika kati ya pande mbili bila njia au uelekezaji wa bandari.

Vyovyote vile, fanya subnet za LAN ziwe tofauti. Masafa yanayofanana hufanya upande mmoja uonekane umeunganishwa moja kwa moja, na shimo jeusi linalotokana na hilo husomwa kama hitilafu ya VPN kwa masaa.

Ipe handaki mmiliki

Tangaza handaki kama kiolesura cha mtandao chenye jina, kifaa na kisicho na itifaki yake yenyewe. Mfumo wa mtandao kisha huunda na kusimamia kifaa, na kila kitu kinachofuata hurejelea kiolesura kwa jina badala ya kifaa. Hiyo ndiyo inayoruhusu eneo kuipata.

Usiunde kifaa kimoja mahali pawili. Handaki iliyotengenezwa kwa mkono kando ya kiolesura kilichotangazwa huzalisha kifaa kilichopo lakini hakiko kwenye eneo lolote, au kile kinachotoweka kinapopakiwa upya. Vyote viwili huonekana kama mteja alishindwa, na hakuna hata kimoja kinachotoa hitilafu inayotaja sababu halisi. Chagua njia ya kutangaza na ufute ile ya mkono.

Weka jina sawa katika usanidi wa mtandao, firewall na VPN. Eneo huorodhesha mitandao kwa jina, kwa hiyo kosa moja la kuandika huiacha handaki nje ya kila eneo huku kiolesura chenyewe kikionekana kizima. Kiolesura kizima kisicho na sera ni hali ngumu zaidi kutambua.

Weka kwenye eneo, kisha elekeza ndani yake

Eneo la firewall ni mahali sera inapoishi: ingizo, tokeo, uelekezaji na masquerade. Handaki isiyo kwenye eneo lolote husimamiwa na chaguo-msingi usizozichagua, na hiyo mara chache ndiyo inayohitajika na mteja wa router. Vipengele hapa chini hutangaza kiolesura, hukiweka kwenye eneo na kuruhusu trafiki ya LAN kuingia katika eneo hilo.

config interface 'vpn'
    option device 'tun0'
    option proto 'none'

config zone
    option name 'vpn'
    list network 'vpn'
    option input 'REJECT'
    option output 'ACCEPT'
    option forward 'REJECT'
    option masq '1'

config forwarding
    option src 'lan'
    option dest 'vpn'

Kwenye matoleo ya zamani kuliko 21.02 mstari huo wa kiolesura huandikwa kama option ifname, kwa hiyo angalia ni umbo gani firmware iliyosakinishwa inaelewa kabla ya kubandika. Kipengele cha uelekezaji ndicho kibali kinachoruhusu trafiki ya LAN kutumia handaki kabisa. Bila hicho kifaa kiko juu, mteja ameunganishwa, na hakuna mwenyeji wa LAN anayefikia handaki. Hii ni malalamiko ya kawaida zaidi ya imeunganishwa lakini hakuna intaneti kwa wateja wa router.

Masquerade kwenye eneo la VPN hukusanya kila anwani ya LAN kuwa anwani ya handaki ya router kabla pakiti haijatoka. Hiyo huondoa hitaji la njia ya kurudi kwenye subnet yako upande wa pili.

Ikiwa upande wa pili tayari unaelekeza LAN yako, kuzima masquerade huweka anwani za chanzo zikionekana na hufanya kumbukumbu za kila mteja ziwe na maana. Chagua moja na uandike ipi, kwa sababu chaguo mbili huzalisha maswali tofauti ya msaada baadaye. Kuondoa uelekezaji chaguo-msingi kutoka LAN kwenda WAN ni uamuzi tofauti wenye matokeo yake. Ukiondoa huo, ufikiaji wa intaneti wa router yenyewe unaondoka pamoja nao.

Taja kiungo halisi cha juu kwenye NAT

Kwenye firmware ambapo kanuni ya tafsiri imeandikwa kwa mkono, kiolesura kinachotoka ndicho sehemu inayoharibika. Kanuni inayotaja vlan2 haifanyi chochote kikao kinapoishia kwenye ppp0. Kanuni isiyo na kiolesura kabisa inaweza kutafsiri trafiki ambayo ilipaswa kubaki ya faragha. Hakuna kati ya makosa hayo yanayojitangaza, kwa sababu handaki inaendelea kufanya kazi.

iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE

Badilisha ppp0 katika kanuni hiyo kwa kiolesura kutoka ip route au orodha ya violesura vinavyofanya kazi, kisha angalia kihesabu wakati mwenyeji wa LAN anapakia ukurasa. Kwenye router yenye mtoa huduma mmoja, kanuni moja ya masquerade kwa kiungo cha juu kwa kawaida inatosha. Kanuni ya pili kwa kiolesura cha handaki si mbadala wa ya kwanza.

Kisha ongeza chaguo za mteja zinazoamua kinachoingia handakini. Maelekezo ya redirect-gateway hutuma trafiki ya intaneti ya mteja kupitia VPN, na bila hiyo handaki hubeba njia tu ambazo seva inasukuma. Angalia jedwali la njia linalotokana kabla ya kugusa DNS.

Gawanya Wi-Fi kwa jedwali la pili

Jedwali moja la uelekezaji haliwezi kuwa na chaguo-msingi mbili. Kwa hiyo SSID ya pili ambayo lazima ipite handaki inahitaji subnet yake na jedwali lake. Ipe SSID ya handaki masafa yake, kisha elekeza masafa hayo tu ndani ya handaki kwa kanuni inayochagua jedwali.

Vifurushi vya uelekezaji kwa sera kwenye OpenWrt vinaonyesha mchanganyiko huo hasa. Inawezekana pia kwa mkono, kwa kanuni ya chanzo na jedwali ambalo chaguo-msingi lake linaelekeza kwenye kifaa cha handaki.

Angalia mgawanyiko kutoka mitandao yote miwili. Mteja kwenye SSID ya handaki anapaswa kuonyesha anwani ya kutoka ya VPN, na mteja kwenye SSID ya kawaida anapaswa kuonyesha ile ya mtoa huduma. Wote wawili wanapofanana, kanuni inalingana na chanzo kisicho sahihi au jedwali haliulizwi kabisa. Jaribu pia baada ya kuunganisha upya, kwa sababu kanuni inayotegemea jina la kiolesura huvunjika kifaa kinapopewa namba mpya.

Shuku saa na bendera ya kifaa

Bendera persist-tun huacha kifaa cha handaki mahali pake kati ya kuanzishwa upya. Hiyo inafaa seva na huchanganya mteja ambaye hali yake inapaswa kujengwa upya kutoka mwanzo. Iondoe unapotatua mteja wa router, kwa sababu kifaa kinachonusurika mazungumzo yaliyoshindwa huficha hatua ipi iliyovunjika kweli. Kirudishe mteja anapounganisha kwa kuaminika, na si kabla.

Saa ni kushindwa kwingine kwa utulivu. Router isiyo na saa ya betri huanza kutoka enzi, kumaanisha ukaguzi wa cheti hushindwa hadi NTP ifikie. Linganisha mihuri ya muda ya kumbukumbu na muda halisi kabla ya kugusa cheti, kwa sababu mteja anayeunganisha dakika moja baada ya kuwaka kwa kawaida anasubiri ulandanishaji wa muda.