🥇Ускоряване на OpenVPN на роутера Openwrt. Алтернативна версия без паялник и хардуерни ексцесии

Здравейте на всички, наскоро прочетох стара статия за това как можете да ускорите OpenVPN на рутера, прехвърляйки криптирането на отделно устройство, което се заварява вътре в самия рутер. Имам аналогичен случай, както автора — TP-Link WDR3500 с 128 мегабайта RAM и слаб процесор, който просто не може да се справи с криптирането на тунелите. Въпреки това, категорично не исках да се бъркам в рутера с пайка. Под катa е моя опит за прехвърляне на OpenVPN на отделно устройство с резервиране на рутера в случай на авария.

Задача

Имаме рутер TP-Link WDR3500 и Orange Pi Zero H2. Искаме, криптирането на тунелите в нормален режим да се извършва от Orange Pi, а ако нещо се случи с него, обработката VPN да се върне обратно на рутера. Всички настройки на защитната стена на рутера трябва да работят както преди. И като цяло добавянето на допълнително устройство трябва да премине прозрачно и незабелязано за всички. OpenVPN работи по TCP, адаптер TAP в режим моста (server-bridge).

Решение

Вместо да се свържа по USB, реших да използвам един порт на рутера и да го включа в Orange Pi чрез всички подсети, в които има VPN мост. Получава се, че устройството физически ще бъде свързано в същите мрежи, в които са VPN сървърите на рутера. След това стартираме точно такива сървъри на Orange Pi, а на рутера настройваме някакъв прокси, за да предава всички входящи връзки на външния сървър, а ако Orange Pi умре или не е достъпен — тогава на вътрешния резервен сървър. Аз избрах HAProxy.

Получава се следното:

Клиентът идва
Ако външният сървър не е достъпен — както преди, връзката отива на вътрешния сървър
Ако е достъпен — клиентът се приема от Orange Pi
VPN на Orange Pi декриптира пакетите и ги връща обратно на рутера
Рутерът маршрутизира тях където трябва

Примерна реализация

И така, да приемем, че имаме на рутера две мрежи — main(1) и guest(2), за всяка от които има OpenVPN сървър за свързване отвън.

Конфигурация на мрежата

Трябва да прокараме и двете мрежи през един порт, затова създаваме 2 VLAN.

На рутера в раздел Network/Switch създаваме VLAN (например 1 и 2) и ги включваме в tagged режим на нужния порт, добавяме новосъздадените eth0.1 и eth0.2 към съответните мрежи (например, добавяме в brigde).

На Orange Pi създаваме два VLAN интерфейса (при мен Archlinux ARM + netctl):

/etc/netctl/vlan-main

Description='Main VLAN on eth0'
Interface=vlan-main
Connection=vlan
BindsToInterfaces=eth0
VLANID=1
IP=no

/etc/netctl/vlan-guest

Description='Guest VLAN on eth0'
Interface=vlan-guest
Connection=vlan
BindsToInterfaces=eth0
VLANID=2
IP=no

И веднага създаваме два моста за тях:

/etc/netctl/br-main

Description="Основна връзка на моста"
Interface=br-main
Connection=bridge
BindsToInterfaces=(vlan-main)
IP=dhcp

/etc/netctl/br-guest

Description="Гостоприемна връзка на моста"
Interface=br-guest
Connection=bridge
BindsToInterfaces=(vlan-guest)
IP=dhcp

Включваме автоматично стартиране на всичките 4 профила (netctl enable). Сега, след рестартиране, Orange Pi ще бъде свързан в две нужни мрежи. Адресите на интерфейсите на Orange Pi се настройват в Static Leases на рутера.

ip addr show

4: vlan-main@eth0:  mtu 1500 qdisc noqueue master br-main state UP group default qlen 1000
    link/ether 02:42:f0:f8:23:c8 brd ff:ff:ff:ff:ff:ff
    inet6 fe80::42:f0ff:fef8:23c8/64 scope link 
       valid_lft forever preferred_lft forever

5: vlan-guest@eth0:  mtu 1500 qdisc noqueue master br-guest state UP group default qlen 1000
    link/ether 02:42:f0:f8:23:c8 brd ff:ff:ff:ff:ff:ff
    inet6 fe80::42:f0ff:fef8:23c8/64 scope link 
       valid_lft forever preferred_lft forever

6: br-main:  mtu 1500 qdisc noqueue state UP group default qlen 1000
    link/ether 52:c7:0f:89:71:6e brd ff:ff:ff:ff:ff:ff
    inet 192.168.1.3/24 brd 192.168.1.255 scope global dynamic noprefixroute br-main
       valid_lft 29379sec preferred_lft 21439sec
    inet6 fe80::50c7:fff:fe89:716e/64 scope link 
       valid_lft forever preferred_lft forever

7: br-guest:  mtu 1500 qdisc noqueue state UP group default qlen 1000
    link/ether ee:ea:19:31:34:32 brd ff:ff:ff:ff:ff:ff
    inet 192.168.2.3/24 brd 192.168.2.255 scope global br-guest
       valid_lft forever preferred_lft forever
    inet6 fe80::ecea:19ff:fe31:3432/64 scope link 
       valid_lft forever preferred_lft forever

Настройка на VPN

След това копираме настройките за OpenVPN и ключовете от рутера. Настройките обикновено могат да бъдат взети от /tmp/etc/openvpn*.conf

По подразбиране openvpn, стартиран в режим TAP и server-bridge, държи своя интерфейс неактивен. За да всичко заработи, трябва да добавим скрипт, който се изпълнява при активиране на връзката.

/etc/openvpn/main.conf

dev vpn-main
dev-type tap

client-to-client
persist-key
persist-tun
ca /etc/openvpn/main/ca.crt
cert /etc/openvpn/main/main.crt
cipher AES-256-CBC
comp-lzo yes
dh /etc/openvpn/main/dh2048.pem
ifconfig-pool-persist /etc/openvpn/ipp_main.txt
keepalive 10 60
key /etc/openvpn/main/main.key
port 443
proto tcp
push "redirect-gateway"
push "dhcp-option DNS 192.168.1.1"
server-bridge 192.168.1.3 255.255.255.0 192.168.1.200 192.168.1.229
status /tmp/openvpn.main.status
verb 3

setenv profile_name main
script-security 2
up /etc/openvpn/vpn-up.sh

/etc/openvpn/vpn-up.sh

#!/bin/sh

ifconfig vpn-${profile_name} up
brctl addif br-${profile_name} vpn-${profile_name}

В резултат на това, веднага щом стане свързването, интерфейсът vpn-main ще бъде добавен в br-main. За мрежата гост — аналогично с точност до името на интерфейса и адреса в server-bridge.

Маршрутизиране на заявки от външната страна и проксиране

На този етап Orange Pi вече може да приема връзки и да пуска клиенти в нужните мрежи. Остава само да настроим проксирането на входящите връзки на рутера.

Преместваме VPN сървърите на рутера на други портове, инсталираме HAProxy на рутера и го настройваме:

/etc/haproxy.cfg

глобален
        maxconn 256
        uid 0
        gid 0
        демон

по подразбиране
        retries 1
        contimeout 1000
        option splice-auto

слушай guest_vpn
        bind :444
        режим tcp
        сървър 0-orange 192.168.2.3:444 проверка
        сървър 1-local  127.0.0.1:4444 проверка резервен

слушай main_vpn
        bind :443
        режим tcp
        сървър 0-orange 192.168.1.3:443 проверка
        сървър 1-local  127.0.0.1:4443 проверка резервен

Наслаждавам се

Ако всичко е минало по план — клиентите ще преминат на Orange Pi и процесорът на рутера няма да прегрява, а скоростта на VPN значително ще се увеличи. При това всички мрежови правила, написани на рутера, ще останат валидни. В случай на авария на Orange Pi, той ще се изключи и HAProxy ще пренасочи клиентите към локалните сървъри.

Благодаря за вниманието, пожелания и корекции са добре дошли.

Източник: habr.com