Wir beschleunigen OpenVPN für 9.99 $* oder integrieren Sie den Orange Pi One in einen Router

Einige von uns nutzen das Internet aus dem einen oder anderen Grund nicht ohne VPN: Jemand braucht eine dedizierte IP, und es ist einfacher und billiger, einen VPS mit zwei IPs zu kaufen, als eine Adresse von einem Anbieter zu kaufen, jemand möchte auf alle Websites zugreifen , und nicht nur diejenigen, die auf dem Territorium der Russischen Föderation erlaubt sind, auch andere benötigen IPv6, aber der Anbieter stellt es nicht zur Verfügung...
Am häufigsten wird eine VPN-Verbindung auf dem Gerät selbst hergestellt, das gerade verwendet wird. Dies ist sinnvoll, wenn Sie nur einen Computer und ein Telefon haben und diese selten gleichzeitig verwenden. Befinden sich viele Geräte in Ihrem Heimnetzwerk oder gibt es beispielsweise einige, auf denen VPN nicht konfiguriert werden kann, wäre es bequemer, einen Tunnel direkt auf dem Heimrouter zu erstellen, um nicht daran zu denken, jedes Gerät einzeln einzurichten .

Falls Sie jemals installiert haben OpenVPN Als Sie einen Router installierten, waren Sie wahrscheinlich von dessen Geschwindigkeit unangenehm überrascht. Selbst die SoCs günstiger Router bewältigen dank der Auslagerung der Routing- und NAT-Funktionen auf einen separaten Chip problemlos Datenverkehr im Gigabit-Bereich. Die Hauptprozessoren dieser Router sind recht leistungsschwach, da sie praktisch nicht ausgelastet sind. Dieser Kompromiss ermöglicht hohe Routergeschwindigkeiten und eine deutliche Preissenkung des Endgeräts – Router mit leistungsstarken Prozessoren sind um ein Vielfaches teurer und werden heute nicht nur als Internet-Sharing-Boxen, sondern auch als NAS, Torrent-Downloader und Heim-Multimedia-Systeme eingesetzt.

Mein Router, TP-Link TL-WDR4300, ist nicht mehr neu – das Modell kam Mitte 2012 auf den Markt und verfügt über einen 560-MHz-Prozessor mit MIPS32-74Kc-Architektur, dessen Leistung nur für 20–23 Mbit/s verschlüsselten Datenverkehr ausreicht. OpenVPNDas ist im Vergleich zu heutigen Internetgeschwindigkeiten für Privathaushalte sehr wenig.
Wie können wir die Geschwindigkeit eines verschlüsselten Tunnels erhöhen? Mein Router ist recht funktionsfähig, unterstützt 3x3 MIMO und funktioniert im Allgemeinen gut, ich würde ihn nicht ändern wollen.
Da es mittlerweile üblich ist, 10-Megabyte-Internetseiten zu erstellen, Desktop-Anwendungen in node.js zu schreiben und sie in eine 100-Megabyte-Datei zu packen, die Rechenleistung zu erhöhen statt zu optimieren, werden wir etwas Schreckliches tun – wir werden die VPN-Verbindung dorthin übertragen ein produktiver Einplatinen-„Computer“ Orange Pi One, den wir für nur 9.99 $* in das Routergehäuse einbauen, ohne vorhandene Netzwerk- und USB-Anschlüsse zu beanspruchen!
* + Lieferung, + Steuern, + für Bier, + MicroSD.

OpenVPN

Der Prozessor des Routers kann nicht als völlig schwach bezeichnet werden – er kann Daten mit dem AES-128-CBC-SHA1-Algorithmus mit einer Geschwindigkeit von 50 Mbit/s verschlüsseln und hashen, was merklich schneller ist als die übliche Funktionsweise. OpenVPNUnd der moderne CHACHA20-Stromchiffre mit dem POLY1305-Hash erreicht 130 Megabit pro Sekunde! Warum ist der VPN-Tunnel also so langsam? Das liegt an den Kontextwechseln zwischen Benutzermodus und Kernelmodus: OpenVPN Der Datenverkehr wird verschlüsselt und die Kommunikation mit der Außenwelt erfolgt im Kontext des Benutzers, während das eigentliche Routing im Kernel-Kontext stattfindet. Das Betriebssystem muss für jedes empfangene oder gesendete Paket ständig zwischen diesen beiden Kontexten wechseln, was zu Verzögerungen führt. Dieses Problem ist allen VPN-Anwendungen, die über den TUN/TAP-Treiber laufen, inhärent und nicht auf mangelhafte Optimierung zurückzuführen. OpenVPN (Natürlich gibt es aber Bereiche, in denen noch Verbesserungspotenzial besteht.) Kein einziger VPN-Client im Benutzermodus erreicht auf meinem Laptop auch nur ein Gigabit an Geschwindigkeit, wenn die Verschlüsselung deaktiviert ist, geschweige denn auf Systemen mit einem schwachen Prozessor.

Orange PiOne

Der Orange Pi One von Xunlong bietet aktuell das beste Preis-Leistungs-Verhältnis. Für 9.99 US-Dollar* erhält man einen leistungsstarken Quad-Core ARM Cortex-A7-Prozessor mit stabilen 1008 MHz, der seine Konkurrenten in dieser Preisklasse, den Raspberry Pi Zero und den Next Thing CHIP, deutlich übertrifft. Doch damit enden die Vorteile auch schon. Xunlong kümmert sich überhaupt nicht um die Software seiner Boards und stellte zum Verkaufsstart des One nicht einmal eine Konfigurationsdatei, geschweige denn fertige Images, zur Verfügung. Auch der SoC-Hersteller Allwinner engagiert sich nicht sonderlich für den Support seines Produkts. Ihm wird lediglich eine minimale Betriebssystemfunktionalität geboten. Android 4.4.4, was bedeutet, dass wir gezwungen sind, Kernelversion 3.4 zu verwenden. AndroidPatches. Zum Glück gibt es Enthusiasten, die Distributionen erstellen, den Kernel modifizieren und Code schreiben, um Boards im Mainline-Kernel zu unterstützen – mit anderen Worten, sie erledigen im Grunde die Arbeit des Herstellers und sorgen dafür, dass dieser Mist einigermaßen funktioniert. Für meine Zwecke habe ich mich für die Armbian-Distribution entschieden; sie wird häufig und einfach aktualisiert (neue Kernel werden direkt über den Paketmanager installiert, anstatt Dateien auf eine spezielle Partition zu kopieren, wie es bei Allwinner üblicherweise der Fall ist), und sie unterstützt im Gegensatz zu anderen die meisten Peripheriegeräte.

Router

Um den schwachen Prozessor des Routers nicht mit der Verschlüsselung zu belasten und unsere VPN-Verbindung zu beschleunigen, können wir diese Aufgabe auf die Schultern eines leistungsstärkeren Orange Pi-Prozessors verlagern, indem wir ihn auf irgendeine Weise mit dem Router verbinden. Da fällt mir die Verbindung entweder über Ethernet oder USB ein – beide Standards werden von beiden Geräten unterstützt, ich wollte aber keine vorhandenen Anschlüsse beanspruchen. Zum Glück gibt es einen Ausweg.

Der GL850G USB-Hub-Chip, der im Router verwendet wird, unterstützt 4 USB-Anschlüsse, von denen zwei nicht verkabelt sind. Es ist unklar, warum der Hersteller sie nicht abgelötet hat, um zu verhindern, dass Nutzer gleichzeitig 4 Geräte mit hohem Stromverbrauch (z. B. Festplatten) anschließen. Das Standard-Netzteil des Routers ist für eine solche Belastung nicht ausgelegt. Das ist auf jeden Fall zu unserem Vorteil.

Um einen weiteren USB-Anschluss zu erhalten, müssen Sie lediglich zwei Drähte an die Pins 8 (D-) und 9 (D+) oder 11 (D-) und 12 (D+) anlöten.

Es reicht jedoch nicht aus, einfach zwei USB-Geräte anzuschließen und darauf zu hoffen, dass alles automatisch funktioniert, wie es bei Ethernet der Fall wäre. Zunächst muss eines der Geräte im USB-Client-Modus und nicht im USB-Host-Modus betrieben werden. Anschließend muss festgelegt werden, wie die Geräte einander erkennen. Für sogenannte USB-Gadgets (benannt nach dem zugehörigen Subsystem) gibt es zahlreiche Treiber. LinuxKernel), die die Emulation verschiedener USB-Geräte ermöglichen: Netzwerkadapter, Soundkarten, Tastaturen und Mäuse, USB-Sticks, Kameras und serielle Konsolen. Da unser Gerät netzwerkfähig sein wird, ist die Emulation eines Ethernet-Adapters am besten geeignet.

Es gibt drei Ethernet-over-USB-Standards:

• Remote-NDIS (RNDIS)Ein veralteter Standard von Microsoft, der hauptsächlich während der Windows XP.
• Ethernet-Steuerungsmodell (ECM). Ein einfacher Standard, der Ethernet-Frames in USB-Paketen kapselt. Ideal für kabelgebundene Modems mit USB-Anschluss, bei denen es praktisch ist, Frames ohne Verarbeitung zu übertragen, aber aufgrund der Einfachheit und der Einschränkungen des USB-Busses nicht sehr schnell ist.
• Ethernet-Emulationsmodell (EEM). Ein intelligenteres Protokoll, das USB-Einschränkungen berücksichtigt und mehrere Frames optimal zu einem zusammenfasst und so den Durchsatz erhöht.
• Netzwerksteuerungsmodell (NCM). Das neueste Protokoll. Verfügt über die Vorteile von EEM und optimiert das Buserlebnis weiter.

Die Implementierung dieser Protokolle auf unserem Board wird, wie immer, einige Herausforderungen mit sich bringen. Denn Allwinner ist nur an Folgendem interessiert: Android-Teile des Kernels, funktioniert nur normal Android Gadget ist der Code, der die Kommunikation mit adb, den Geräteexport über das MTP-Protokoll und die Flash-Laufwerksemulation implementiert. Android-Geräte. Er selbst Android Das Gerät unterstützt zwar das RNDIS-Protokoll, dieses funktioniert jedoch im Allwinner-Kernel nicht. Versucht man, den Kernel mit einem anderen USB-Gerät zu kompilieren, wird dieses im System nicht erkannt, egal was man unternimmt.
Um das Problem zu lösen, ist es idealerweise notwendig, die Stelle im von den Entwicklern geänderten Code zu finden, an der der USB-Controller initialisiert wird. Android-android.c-Gadget, aber es gibt auch einen Workaround, um zumindest die Ethernet-Emulation über USB zum Laufen zu bringen:

--- sun8i/drivers/usb/sunxi_usb/udc/sunxi_udc.c 2016-04-16 15:01:40.427088792 +0300
+++ sun8i/drivers/usb/sunxi_usb/udc/sunxi_udc.c 2016-04-16 15:01:45.339088792 +0300
@@ -57,7 +57,7 @@
 static sunxi_udc_io_t g_sunxi_udc_io;
 static u32 usb_connect = 0;
 static u32 is_controller_alive = 0;
-static u8 is_udc_enable = 0;   /* is udc enable by gadget? */
+static u8 is_udc_enable = 1;   /* is udc enable by gadget? */
 
 #ifdef CONFIG_USB_SUNXI_USB0_OTG
 static struct platform_device *g_udc_pdev = NULL;

Dieser Patch erzwingt den USB-Client-Modus, sodass Sie reguläre USB-Gadgets verwenden können. Linux.
Jetzt sollten Sie den Kernel mit diesem Patch und dem nötigen Gadget neu erstellen. Ich habe mich für EEM entschieden, weil... Den Testergebnissen zufolge erwies es sich als produktiver als NCM.
Das Armbian-Team sorgt dafür sehr einfaches und praktisches Montagesystem für alle unterstützten Boards in der Distribution. Laden Sie es einfach herunter und installieren Sie unseren Patch userpatches/kernel/sun8i-default/otg.patch, ein wenig bearbeiten compile.sh und wählen Sie das gewünschte Gadget aus:

Der Kernel wird in ein Deb-Paket kompiliert, dessen Installation auf dem Board nicht schwierig sein wird dpkg.
Jetzt müssen Sie nur noch das Board über USB anschließen und unseren neuen Netzwerkadapter so konfigurieren, dass er eine Adresse über DHCP erhält. Dazu müssen Sie etwas wie das Folgende hinzufügen /etc/network/interfaces:

auto usb0
        iface usb0 inet dhcp
        hwaddress ether c2:46:98:49:3e:9d
        pre-up /bin/sh -c 'echo 2 > /sys/bus/platform/devices/sunxi_usb_udc/otg_role'

Es ist besser, die MAC-Adresse manuell einzustellen, weil... Es wird bei jedem Neustart des Geräts zufällig erfolgen, was unpraktisch und problematisch ist.
Wir schließen das MicroUSB-Kabel an den OTG-Anschluss an und schließen den Strom vom Router an (er kann an die Pins 2 und 3 des Kamms und nicht nur an den Stromanschluss geliefert werden).

Es bleibt nur noch die Konfiguration des Routers. Es reicht aus, das Paket mit dem EEM-Treiber zu installieren und unser neues USB-Netzwerkgerät zur Bridge der lokalen Firewall-Zone hinzuzufügen:

opkg install kmod-usb-net-cdc-eem

Um den gesamten Datenverkehr zum VPN-Tunnel zu leiten, müssen Sie entweder auf der Routerseite eine SNAT-Regel zur IP-Adresse des Boards hinzufügen oder die Adresse des Boards als Gateway-Adresse über dnsmasq verteilen. Letzteres geschieht durch das Hinzufügen der folgenden Zeile zu /etc/dnsmasq.conf:

dhcp-option = tag:lan, option:router, 192.168.1.100

wo 192.168.1.100 — IP-Adresse Ihres Boards. Vergessen Sie nicht, die Router-Adresse in den Netzwerkeinstellungen auf dem Board selbst einzugeben!

Um die Platinenkontakte von den Routerkontakten zu isolieren, wurde ein Melaminschwamm verwendet. Es stellte sich ungefähr so ​​heraus:

Fazit

Das Netzwerk funktioniert über USB überraschend schnell: 100-120 Mbit/s, ich hatte weniger erwartet. OpenVPN Es verarbeitet etwa 70 Mbit/s verschlüsselten Datenverkehr, was nicht viel ist, aber für meine Zwecke ausreicht. Die Routerabdeckung schließt nicht ganz dicht, es bleibt ein kleiner Spalt. Wer Wert auf Ästhetik legt, kann die Ethernet- und USB-Host-Anschlüsse von der Platine ablöten, sodass die Abdeckung vollständig schließt und trotzdem noch etwas Platz bleibt.
Es ist besser, sich nicht auf solche Pornografie einzulassen und sie zu kaufen Turris Omnia.

Source: habr.com