OpenWrt'te tüm LAN için OpenVPN istemcisi: işleyen bir sıra

Bir yönlendiricinin tüm LAN'ını tek bir tünelin arkasına almak dört bağımsız iş gerektirir. Tünel aygıtının bir sahibi, bir güvenlik duvarı bölgesi, yukarı bağlantıya doğru bir çeviri hedefi ve bazı istemciler VPN dışında kalacaksa kaynak adrese göre yönlendirme gerekir. Bağlanan ama içinden hiçbir şey geçmeyen bir tünelde genellikle bu dördünden biri eksiktir. Bağımlılık sırasıyla çalışmak, sondaki hatanın az önce değiştirdiğiniz adıma ait olduğu anlamına gelir. Aşağıdaki her adım gözlemleyebileceğiniz bir şeyle biter, bu da sonrakini tahmin olmaktan korur.

Tüneli neyin paylaştığına karar verin

Wi-Fi ve DHCP dağıtan yönlendirici istemciyi kendisi çalıştırabilir. Bu, her bağlı aygıtı aygıt başına kurulum olmadan tünelin arkasına alır ve küçük sitelerin çoğunun istediği düzen budur. Tünel düştüğünde en geniş etki alanı da bu düzendedir, çünkü her aygıt yolunu aynı anda kaybeder. LAN'da dışarı çıkan çalışan bir yol kalmaz.

Birincinin arkasındaki ikinci yönlendirici, istemciyi kendi alt ağıyla çalıştırarak tüneli yalnızca kendi aygıtlarıyla sınırlar. Kaldırması da, devralan kişiye anlatması da daha kolaydır. Bedeli, yol veya bağlantı noktası yönlendirmesi olmadan iki taraf arasında erişilebilirlik olmamasıdır.

Her iki durumda da LAN alt ağlarını farklı yapın. Aynı aralıklar bir tarafı doğrudan bağlı gösterir ve bundan doğan kara delik bir VPN arızası gibi okunur saatlerce.

Tünele bir sahip verin

Tüneli bir ad, bir aygıt ve kendi protokolü olmayan bir ağ arayüzü olarak tanımlayın. Ardından ağ sistemi aygıtı oluşturur ve yönetir, sonraki her şey arayüze aygıt yerine adıyla başvurur. Bölgenin onu bulmasını sağlayan şey budur.

Aynı aygıtı iki yerde oluşturmayın. Tanımlı bir arayüzün yanında elle yapılmış bir tünel, var olan ama hiçbir bölgede yer almayan bir aygıt ya da yeniden yüklemede kaybolan bir aygıt üretir. İkisi de istemci başarısız gibi görünür ve hiçbiri gerçek nedeni adlandıran bir hata vermez. Bildirimsel yolu seçin ve elle yapılmış olanı silin.

Adı ağ, güvenlik duvarı ve VPN yapılandırmasında aynı tutun. Bölge ağları adla listeler, bu yüzden bir yazım hatası tüneli her bölgenin dışında bırakırken arayüzün kendisi sağlıklı görünür. Politikası olmayan sağlıklı bir arayüz, fark edilmesi en zor durumdur.

Bölgeye alın, sonra içine yönlendirin

Güvenlik duvarı bölgesi politikanın yaşadığı yerdir: giriş, çıkış, yönlendirme ve maskeleme. Hiçbir bölgede olmayan tünel, seçmediğiniz varsayılanlarla yönetilir ve bu bir yönlendirici istemcisinin nadiren ihtiyacı olan şeydir. Aşağıdaki bloklar arayüzü tanımlar, bir bölgeye koyar ve LAN trafiğinin o bölgeye girmesine izin verir.

config interface 'vpn'
    option device 'tun0'
    option proto 'none'

config zone
    option name 'vpn'
    list network 'vpn'
    option input 'REJECT'
    option output 'ACCEPT'
    option forward 'REJECT'
    option masq '1'

config forwarding
    option src 'lan'
    option dest 'vpn'

21.02'den eski sürümlerde aynı arayüz satırı option ifname olarak yazılır, bu yüzden yapıştırmadan önce kurulu yazılımın hangi biçimi anladığını kontrol edin. Yönlendirme bloğu, LAN trafiğinin tüneli kullanmasına izin veren izindir. O olmadan aygıt açıktır, istemci bağlıdır ve hiçbir LAN makinesi tünele ulaşmaz. Yönlendirici istemcilerinde en yaygın bağlı ama internetsiz bildirimi budur.

VPN bölgesindeki maskeleme, paket çıkmadan önce her LAN adresini yönlendiricinin tünel adresine sıkıştırır. Bu, karşı tarafta alt ağınıza dönüş yolu ihtiyacını ortadan kaldırır.

Karşı taraf LAN'ınızı zaten yönlendiriyorsa, maskelemeyi kapatmak kaynak adresleri görünür tutar ve istemci başına günlükleri anlamlı kılar. Birini seçin ve hangisini seçtiğinizi yazın, çünkü iki seçenek sonra farklı destek soruları üretir. Varsayılan LAN'dan WAN'a yönlendirmeyi kaldırmak, kendi sonucu olan ayrı bir karardır. Onu kaldırırsanız yönlendiricinin kendi internet erişimi de onunla gider.

NAT'ta gerçek yukarı bağlantıyı adlandırın

Çeviri kuralının elle yazıldığı yazılımda, giden arayüz bozulan alandır. Kuralda vlan2 yazsa bile oturum ppp0 üzerinde bittiğinde hiçbir şey yapmaz. Arayüzü hiç olmayan bir kural, özel kalması gereken trafiği bile çevirebilir. İki hatanın hiçbiri kendini duyurmaz, çünkü tünel çalışmaya devam eder.

iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE

O kuraldaki ppp0 yerine ip route veya çalışan arayüz listesinden gelen arayüzü koyun, sonra bir LAN makinesi sayfa yüklerken sayacı izleyin. Tek sağlayıcılı bir yönlendiricide yukarı bağlantı için bir maskeleme kuralı genellikle yeterlidir. Tünel arayüzü için ikinci bir kural birincinin yerine geçmez.

Sonra tünele neyin gireceğine karar veren istemci seçeneklerini ekleyin. redirect-gateway yönergesi istemcinin internet trafiğini VPN üzerinden gönderir ve o olmadan tünel yalnızca sunucunun ittiği yolları taşır. DNS'e dokunmadan önce ortaya çıkan yol tablosunu kontrol edin.

Wi-Fi'yi ikinci bir tabloyla bölün

Bir yönlendirme tablosu iki varsayılan taşıyamaz. Bu yüzden tüneli atlaması gereken ikinci SSID kendi alt ağına ve kendi tablosuna ihtiyaç duyar. Tünelli SSID'ye kendi aralığını verin, sonra tabloyu seçen bir kuralla yalnızca o aralığı tünele yönlendirin.

OpenWrt'teki ilke yönlendirme paketleri tam olarak bu birleşimi ifade eder. Elle de olur, bir kaynak kuralı ve varsayılanı tünel aygıtına işaret eden bir tabloyla.

Bölünmeyi iki ağdan da kontrol edin. Tünelli SSID'deki istemci VPN'nin çıkış adresini, normal SSID'deki istemci sağlayıcının adresini göstermelidir. İkisi aynı görünüyorsa kural yanlış kaynakla eşleşiyor ya da tabloya hiç başvurulmuyor demektir. Yeniden bağlandıktan sonra da test edin, çünkü arayüz adına bağlı bir kural aygıta yeni numara verildiğinde bozulur.

Saatten ve aygıt bayrağından şüphelenin

Şu persist-tun bayrağı yeniden başlatmalar arasında tünel aygıtını yerinde bırakır. Bu bir sunucuya uyar ve durumu sıfırdan yeniden kurulması gereken bir istemciyi şaşırtır. Bir yönlendirici istemcisinde sorun ararken onu kaldırın, çünkü başarısız bir görüşmeyi atlatan aygıt hangi adımın gerçekten bozulduğunu gizler. İstemci güvenilir biçimde bağlandıktan sonra geri koyun, daha önce değil.

Saat diğer sessiz arızadır. Pilli saati olmayan yönlendirici çağdan başlar, yani NTP yetişene kadar sertifika denetimleri başarısız olur. Bir sertifikaya dokunmadan önce günlükteki zaman damgalarını gerçek zamanla karşılaştırın, çünkü açılıştan bir dakika sonra bağlanan istemci genellikle saat eşitlemesini bekliyordur.