OpenWrt'da butun LAN uchun OpenVPN mijozi: ishlaydigan tartib

Interfeys egaligi, zona siyosati, masquerade va har bir SSID uchun jadvallar — bu to'rt alohida ish. Ularni tartib bilan bajaring, shunda butun routerni qoplaydigan tunnel siz bilan urushishni to'xtatadi.

Routerning butun LAN tarmog'ini bitta tunnel orqasiga qo'yish uchun to'rt mustaqil ish kerak. Tunnel qurilmasiga egasi, firewall zonasi, yuqori bog'lanish tomon tarjima maqsadi va agar ba'zi mijozlar VPN tashqarisida qolishi kerak bo'lsa, manba manzili bo'yicha marshrutlash kerak. Ulanadi, lekin hech narsa o'tmaydigan tunnelda odatda shu to'rt narsadan biri yetishmaydi. Bog'liqlik tartibida ishlash oxirida yuz bergan xato hozir o'zgartirgan qadamga tegishli degani. Quyidagi har bir qadam ko'rish mumkin bo'lgan narsa bilan tugaydi va bu keyingi qadamni taxmin bo'lishdan saqlaydi.

Tunnel nimani bo'lishishini hal qiling

Wi-Fi va DHCP tarqatuvchi router mijozi o'zi ishga tushirishi mumkin. Bu har bir ulangan qurilmani alohida sozlashsiz tunnel orqasiga qo'yadi va kichik saytlarning ko'pchiligi shu tartibni xohlaydi. Tunnel uzilganda eng katta ta'sir ham shu tartibda bo'ladi, chunki har bir qurilma bir vaqtda o'z yo'lini yo'qotadi. LANda tashqariga chiquvchi ishlaydigan yo'l qolmaydi.

Birinchisining orqasidagi ikkinchi router mijozi o'z subneti bilan ishga tushirib, tunnelni faqat o'z qurilmalari bilan cheklaydi. Uni olib tashlash ham, merosxo'rga tushuntirish ham oson. Narxi — marshrut yoki port yo'naltirishisiz ikki tomon o'rtasida yetib borish yo'q.

Qanday bo'lmasin, LAN subnetlarini har xil qiling. Bir xil diapazonlar bir tomonni to'g'ridan-to'g'ri ulangandek ko'rsatadi va bundan hosil bo'lgan qora tuynuk VPN nosozligidek o'qiladi soatlab.

Tunnelga egasi bering

Tunnelni nomi, qurilmasi bor va o'z protokoli yo'q tarmoq interfeysi sifatida e'lon qiling. Keyin tarmoq tizimi qurilmani yaratadi va boshqaradi, bundan keyingi hamma narsa interfeysga qurilma emas, nom orqali murojaat qiladi. Aynan shu zona unga topish imkonini beradi.

Bir qurilmani ikki joyda yaratmang. E'lon qilingan interfeys yonida qo'lda yasalgan tunnel mavjud, lekin zonada bo'lmagan qurilma yoki qayta yuklashda yo'qoladigan qurilma hosil qiladi. Ikkalasi ham mijoz ishlamay qolgandek ko'rinadi va hech biri haqiqiy sababni aytadigan xato chiqarmaydi. Deklarativ yo'lni tanlang va qo'lda qilinganini o'chiring.

Tarmoq, firewall va VPN konfiguratsiyasida nomni bir xil saqlang. Zona tarmoqlarni nom bo'yicha sanaydi, shuning uchun bitta yozuv xatosi tunnelni har bir zonadan tashqarida qoldiradi, interfeys esa o'zi sog'lom ko'rinadi. Siyosatsiz sog'lom interfeysni payqash eng qiyin holat.

Zonaga kiriting, keyin unga yo'naltiring

Firewall zonasi — siyosat yashaydigan joy: kirish, chiqish, yo'naltirish va masquerade. Hech qaysi zonada bo'lmagan tunnel siz tanlamagan standart qiymatlar bilan boshqariladi va bu router mijoziga kamdan-kam kerak bo'ladi. Quyidagi bloklar interfeysni e'lon qiladi, uni zonaga joylashtiradi va LAN trafigiga o'sha zonaga kirishga ruxsat beradi.

config interface 'vpn'
    option device 'tun0'
    option proto 'none'

config zone
    option name 'vpn'
    list network 'vpn'
    option input 'REJECT'
    option output 'ACCEPT'
    option forward 'REJECT'
    option masq '1'

config forwarding
    option src 'lan'
    option dest 'vpn'

21.02 dan eski versiyalarda o'sha interfeys satri option ifname deb yoziladi, shuning uchun yopishtirishdan oldin o'rnatilgan proshivka qaysi shaklni tushunishini tekshiring. Yo'naltirish bloki — LAN trafigiga tunnelni umuman ishlatishga ruxsat beruvchi ruxsat. Usiz qurilma yoniq, mijoz ulangan va hech bir LAN xosti tunnelga yetib bormaydi. Router mijozlarida eng ko'p uchraydigan shikoyat — ulangan, lekin internet yo'q.

VPN zonasidagi masquerade paket chiqishdan oldin har bir LAN manzilini routerning tunnel manziliga jamlaydi. Bu qarshi tomonda sizning subnetingizga qaytish marshruti zaruratini yo'qotadi.

Agar qarshi tomon allaqachon LAN tarmog'ingizni marshrutlayotgan bo'lsa, masqueradeni o'chirish manba manzillarini ko'rinadigan qilib qoldiradi va har bir mijoz jurnalini mazmunli qiladi. Bittasini tanlang va qaysi birini tanlaganingizni yozib qo'ying, chunki ikki tanlov keyin har xil qo'llab-quvvatlash savollarini keltiradi. Standart LAN-dan-WAN yo'naltirishni olib tashlash o'z oqibati bor alohida qaror. Uni olib tashlasangiz, routerning o'z internet kirishi ham u bilan ketadi.

NATda haqiqiy yuqori bog'lanishni nomlang

Tarjima qoidasi qo'lda yoziladigan proshivkada chiquvchi interfeys buziladigan maydon. Qoida vlan2 deb nomlansa ham sessiya ppp0 da tugasa, hech narsa qilmaydi. Interfeysi umuman yo'q qoida maxfiy qolishi kerak bo'lgan trafikni ham tarjima qilishi mumkin. Ikkala xato ham o'zini e'lon qilmaydi, chunki tunnel ishlashda davom etadi.

iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE

O'sha qoidadagi ppp0 ni ip route yoki ishlab turgan interfeyslar ro'yxatidan olingan interfeys bilan almashtiring, keyin LAN xosti sahifani yuklayotganda hisoblagichni kuzating. Bitta provayderli routerda yuqori bog'lanish uchun bitta masquerade qoidasi odatda yetarli. Tunnel interfeysi uchun ikkinchi qoida birinchisining o'rnini bosmaydi.

Keyin tunnelga nima kirishini hal qiluvchi mijoz parametrlarini qo'shing. redirect-gateway ko'rsatmasi mijozning internet trafigini VPN orqali yuboradi va usiz tunnel faqat server itargan marshrutlarni tashiydi. DNSga tegishdan oldin hosil bo'lgan marshrut jadvalini tekshiring.

Wi-Fi ni ikkinchi jadval bilan bo'ling

Bitta marshrut jadvali ikkita standart marshrutni sig'dira olmaydi. Shuning uchun tunnelni chetlab o'tishi kerak bo'lgan ikkinchi SSID o'z subneti va o'z jadvalini talab qiladi. Tunnel SSID siga o'z diapazonini bering, keyin jadvalni tanlaydigan qoida bilan faqat shu diapazonni tunnelga yuboring.

OpenWrt dagi siyosat marshrutlash paketlari aynan shu birikmani ifodalaydi. Qo'lda ham bo'ladi, manba qoidasi va standarti tunnel qurilmasiga ishora qiluvchi jadval bilan.

Bo'linishni ikki tarmoqdan ham tekshiring. Tunnel SSID dagi mijoz VPN ning chiqish manzilini, oddiy SSID dagi mijoz provayder manzilini ko'rsatishi kerak. Ikkalasi bir xil ko'rinsa, qoida noto'g'ri manbaga mos keladi yoki jadval umuman so'ralmaydi. Qayta ulangandan keyin ham sinab ko'ring, chunki interfeys nomiga bog'liq qoida qurilma yangi raqam olganda buziladi.

Soat va qurilma bayrog'idan shubhalaning

Bu persist-tun bayroq qayta ishga tushishlar orasida tunnel qurilmasini joyida qoldiradi. Bu serverga mos, holati noldan qayta qurilishi kerak bo'lgan mijozni esa chalg'itadi. Router mijozini tuzatish paytida uni olib tashlang, chunki muvaffaqiyatsiz muzokaradan omon qolgan qurilma qaysi qadam haqiqatan buzilganini yashiradi. Mijoz ishonchli ulangandan keyin uni qaytaring, undan oldin emas.

Soat — ikkinchi jim nosozlik. Batareyali soati yo'q router epoxadan boshlanadi, ya'ni NTP yetib kelguncha sertifikat tekshiruvlari muvaffaqiyatsiz bo'ladi. Sertifikatga tegishdan oldin jurnaldagi vaqt belgilarini haqiqiy vaqt bilan solishtiring, chunki yuklanishdan bir daqiqa keyin ulanadigan mijoz odatda vaqt sinxronizatsiyasini kutadi.

O'xshash maqolalar