Pozdrav svima, nedavno sam procitao
Cilj
Postoji TP-Link WDR3500 ruter i Orange Pi Zero H2. Želimo da Orange Pi šifrira tunele kao i obično, a ako mu se nešto dogodi, VPN obrada će se vratiti nazad u ruter. Sve postavke zaštitnog zida na ruteru trebaju raditi kao i prije. I općenito, dodavanje dodatnog hardvera treba biti transparentno i neprimjetno za sve. OpenVPN radi preko TCP-a, TAP adapter je u bridge modu (server-bridge).
odluka
Umjesto povezivanja preko USB-a, odlučio sam koristiti jedan port rutera i povezati sve podmreže koje imaju VPN most na Orange Pi. Ispostavilo se da će hardver fizički visiti u istim mrežama kao i VPN server na ruteru. Nakon toga instaliramo potpuno iste servere na Orange Pi, a na ruteru postavljamo neku vrstu proxyja tako da sve dolazne veze šalje na vanjski server, a ako je Orange Pi mrtav ili nedostupan, onda na interni rezervni server. Uzeo sam HAProxy.
Ispada ovako:
- Stiže klijent
- Ako je eksterni server nedostupan, kao i ranije, veza ide na interni server
- Ako je dostupno, Orange Pi prihvata klijenta
- VPN na Orange Pi dešifruje pakete i vraća ih nazad u ruter
- Ruter ih negdje usmjerava
Primjer implementacije
Dakle, recimo da imamo dvije mreže na ruteru - glavnu(1) i gostujuću(2), za svaku od njih postoji OpenVPN server za eksterno povezivanje.
Mrežna konfiguracija
Moramo usmjeriti obje mreže kroz jedan port, tako da kreiramo 2 VLAN-a.
Na ruteru, u odjeljku Network/Switch, kreirajte VLAN-ove (na primjer 1 i 2) i omogućite ih u označenom modu na željenom portu, dodajte novokreirane eth0.1 i eth0.2 u odgovarajuće mreže (npr. dodajte ih u brigde).
Na Orange Pi kreiramo dva VLAN interfejsa (imam Archlinux ARM + netctl):
/etc/netctl/vlan-main
Description='Main VLAN on eth0'
Interface=vlan-main
Connection=vlan
BindsToInterfaces=eth0
VLANID=1
IP=no
/etc/netctl/vlan-guest
Description='Guest VLAN on eth0'
Interface=vlan-guest
Connection=vlan
BindsToInterfaces=eth0
VLANID=2
IP=no
I odmah stvaramo dva mosta za njih:
/etc/netctl/br-main
Description="Main Bridge connection"
Interface=br-main
Connection=bridge
BindsToInterfaces=(vlan-main)
IP=dhcp
/etc/netctl/br-guest
Description="Guest Bridge connection"
Interface=br-guest
Connection=bridge
BindsToInterfaces=(vlan-guest)
IP=dhcp
Omogući automatsko pokretanje za sva 4 profila (netctl enable). Sada nakon ponovnog pokretanja, Orange Pi će visjeti na dvije potrebne mreže. Konfigurišemo adrese interfejsa na Orange Pi u statičkim zakupima na ruteru.
ip addr show
4: vlan-main@eth0: <BROADCAST,MULTICAST,PROMISC,UP,LOWER_UP> mtu 1500 qdisc noqueue master br-main state UP group default qlen 1000
link/ether 02:42:f0:f8:23:c8 brd ff:ff:ff:ff:ff:ff
inet6 fe80::42:f0ff:fef8:23c8/64 scope link
valid_lft forever preferred_lft forever
5: vlan-guest@eth0: <BROADCAST,MULTICAST,PROMISC,UP,LOWER_UP> mtu 1500 qdisc noqueue master br-guest state UP group default qlen 1000
link/ether 02:42:f0:f8:23:c8 brd ff:ff:ff:ff:ff:ff
inet6 fe80::42:f0ff:fef8:23c8/64 scope link
valid_lft forever preferred_lft forever
6: br-main: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
link/ether 52:c7:0f:89:71:6e brd ff:ff:ff:ff:ff:ff
inet 192.168.1.3/24 brd 192.168.1.255 scope global dynamic noprefixroute br-main
valid_lft 29379sec preferred_lft 21439sec
inet6 fe80::50c7:fff:fe89:716e/64 scope link
valid_lft forever preferred_lft forever
7: br-guest: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
link/ether ee:ea:19:31:34:32 brd ff:ff:ff:ff:ff:ff
inet 192.168.2.3/24 brd 192.168.2.255 scope global br-guest
valid_lft forever preferred_lft forever
inet6 fe80::ecea:19ff:fe31:3432/64 scope link
valid_lft forever preferred_lft forever
Podešavanje VPN-a
Zatim kopiramo postavke za OpenVPN i ključeve sa rutera. Postavke se obično mogu pronaći u /tmp/etc/openvpn*.conf
Podrazumevano, openvpn radi u TAP modu i server-bridge drži svoj interfejs neaktivnim. Da bi sve funkcionisalo, potrebno je da dodate skriptu koja se pokreće kada je veza aktivirana.
/etc/openvpn/main.conf
dev vpn-main
dev-type tap
client-to-client
persist-key
persist-tun
ca /etc/openvpn/main/ca.crt
cert /etc/openvpn/main/main.crt
cipher AES-256-CBC
comp-lzo yes
dh /etc/openvpn/main/dh2048.pem
ifconfig-pool-persist /etc/openvpn/ipp_main.txt
keepalive 10 60
key /etc/openvpn/main/main.key
port 443
proto tcp
push "redirect-gateway"
push "dhcp-option DNS 192.168.1.1"
server-bridge 192.168.1.3 255.255.255.0 192.168.1.200 192.168.1.229
status /tmp/openvpn.main.status
verb 3
setenv profile_name main
script-security 2
up /etc/openvpn/vpn-up.sh
/etc/openvpn/vpn-up.sh
#!/bin/sh
ifconfig vpn-${profile_name} up
brctl addif br-${profile_name} vpn-${profile_name}
Kao rezultat toga, čim dođe do veze, vpn-main interfejs će biti dodat br-main. Za mrežu gostiju - slično, do imena interfejsa i adrese u server-bridge.
Rutiranje zahtjeva eksterno i proxy
U ovom koraku, Orange Pi već može prihvatiti veze i povezati klijente na potrebne mreže. Ostaje samo da konfigurišete proxy dolazne veze na ruteru.
Prebacujemo VPN servere rutera na druge portove, instaliramo HAProxy na ruter i konfiguriramo:
/etc/haproxy.cfg
global
maxconn 256
uid 0
gid 0
daemon
defaults
retries 1
contimeout 1000
option splice-auto
listen guest_vpn
bind :444
mode tcp
server 0-orange 192.168.2.3:444 check
server 1-local 127.0.0.1:4444 check backup
listen main_vpn
bind :443
mode tcp
server 0-orange 192.168.1.3:443 check
server 1-local 127.0.0.1:4443 check backup
uživaj
Ako sve bude išlo po planu, klijenti će se prebaciti na Orange Pi i procesor rutera se više neće zagrijavati, a brzina VPN-a će se značajno povećati. U isto vrijeme, sva mrežna pravila koja su registrirana na ruteru ostat će relevantna. U slučaju nesreće na Orange Pi, on će otpasti i HAProxy će prebaciti klijente na lokalne servere.
Hvala na pažnji, prijedlozi i ispravci su dobrodošli.
izvor: www.habr.com