{"id":55823,"date":"2020-01-29T00:00:00","date_gmt":"2020-01-28T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/uskoryaem-openvpn-na-routere-openwrt-alternativnaya-versiya-bez-payalnika-i-hardvarnogo-ekstremizma"},"modified":"2020-02-18T14:03:58","modified_gmt":"2020-02-18T11:03:58","slug":"uskoryaem-openvpn-na-routere-openwrt-alternativnaya-versiya-bez-payalnika-i-hardvarnogo-ekstremizma","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/uskoryaem-openvpn-na-routere-openwrt-alternativnaya-versiya-bez-payalnika-i-hardvarnogo-ekstremizma","title":{"rendered":"Wir beschleunigen OpenVPN auf dem Router OpenWrt. Alternativversion ohne L\u00f6tkolben und Hardware-Extremismus","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Wir
\n
\nHallo zusammen, ich habe neulich einen alten Artikel<\/a><\/noindex> dar\u00fcber gelesen, wie man OpenVPN auf einem Router beschleunigen kann, indem man die Verschl\u00fcsselung auf eine separate Hardware verlagert, die im Inneren des Routers verl\u00f6tet wird. Ich habe einen \u00e4hnlichen Fall wie der Autor \u2014 TP-Link WDR3500 mit 128 Megabyte RAM und einem schwachen Prozessor, der die Tunnelverschl\u00fcsselung einfach nicht hinbekommt. Allerdings wollte ich auf keinen Fall mit einem L\u00f6tkolben am Router arbeiten. Unter dem Cut finden Sie meine Erfahrungen bei der Auslagerung von OpenVPN auf eine separate Hardware mit einem Backup im Router f\u00fcr den Notfall.
\n<\/a><\/noindex><\/p>\n

Aufgabe<\/h3>\n

\nWir haben einen TP-Link WDR3500 Router und einen Orange Pi Zero H2. Wir m\u00f6chten, dass der Orange Pi die Tunnelverschl\u00fcsselung im normalen Betrieb \u00fcbernimmt, w\u00e4hrend im Falle eines Problems die Verarbeitung VPN<\/a> zur\u00fcck zum Router wechselt. Alle Firewall-Einstellungen am Router sollten wie gewohnt funktionieren. Insgesamt sollte die Hinzuf\u00fcgung der zus\u00e4tzlichen Hardware f\u00fcr alle transparent und unauff\u00e4llig verlaufen. OpenVPN funktioniert \u00fcber TCP, der TAP-Adapter im Bridge-Modus (server-bridge).<\/p>\n

L\u00f6sung<\/h3>\n

\nAnstelle einer USB-Verbindung habe ich mich entschieden, einen Port des Routers zu nutzen und alle Subnetze, in denen sich der VPN-Bridge befindet, \u00fcber diesen auf den Orange Pi zu f\u00fchren. Das bedeutet, dass die Hardware physisch in den gleichen Netzwerken h\u00e4ngt wie die VPN-Server am Router. Danach richten wir genau die gleichen Server auf dem Orange Pi ein, und am Router konfigurieren wir einen Proxy, der alle eingehenden Verbindungen an den externen Server weiterleitet, und falls der Orange Pi ausf\u00e4llt oder nicht verf\u00fcgbar ist, dann an den internen Fallback-Server. Ich habe HAProxy genommen.<\/p>\n

Es ergibt sich Folgendes:<\/p>\n

    \n
  1. Ein Client trifft ein<\/li>\n
  2. Wenn der externe Server nicht verf\u00fcgbar ist \u2014 wie zuvor, geht die Verbindung an den internen Server<\/li>\n
  3. Wenn verf\u00fcgbar \u2014 akzeptiert der Orange Pi den Client<\/li>\n
  4. Der VPN auf dem Orange Pi entschl\u00fcsselt die Pakete und gibt sie zur\u00fcck an den Router<\/li>\n
  5. Der Router leitet sie irgendwohin<\/li>\n<\/ol>\n

    <\/p>\n

    Beispielimplementation<\/h3>\n

    \nAngenommen, wir haben zwei Netzwerke am Router \u2014 main(1) und guest(2), f\u00fcr jedes von ihnen gibt es einen OpenVPN-Server f\u00fcr externe Verbindungen.<\/p>\n

    Netzwerkkonfiguration<\/h4>\n

    \nWir m\u00fcssen beide Netzwerke \u00fcber einen Port leiten, daher erstellen wir 2 VLANs. <\/p>\n

    Im Router im Bereich Network\/Switch erstellen wir die VLANs (zum Beispiel 1 und 2) und aktivieren sie im getaggten Modus am gew\u00fcnschten Port. Wir f\u00fcgen die neu erstellten eth0.1 und eth0.2 den entsprechenden Netzwerken hinzu (zum Beispiel f\u00fcgen wir sie zur Bridge hinzu). <\/p>\n

    Am Orange Pi erstellen wir zwei VLAN-Schnittstellen (ich habe Archlinux ARM + netctl):<\/p>\n

    \/etc\/netctl\/vlan-main<\/b><\/p>\n

    Description='Main VLAN auf eth0'\nInterface=vlan-main\nConnection=vlan\nBindsToInterfaces=eth0\nVLANID=1\nIP=no\n<\/code><\/pre>\n
    \n\/etc\/netctl\/vlan-guest<\/b><\/p>\n
    Description='Guest VLAN auf eth0'\nInterface=vlan-guest\nConnection=vlan\nBindsToInterfaces=eth0\nVLANID=2\nIP=no\n<\/code><\/pre>\n
    \nUnd sofort erstellen wir zwei Br\u00fccken f\u00fcr sie:<\/p>\n
    \/etc\/netctl\/br-main<\/b><\/p>\n
    Description=\"Haupt Bridge-Verbindung\"\nInterface=br-main\nConnection=bridge\nBindsToInterfaces=(vlan-main)\nIP=dhcp\n<\/code><\/pre>\n
    \n\/etc\/netctl\/br-guest<\/b><\/p>\n
    Description=\"Gast Bridge-Verbindung\"\nInterface=br-guest\nConnection=bridge\nBindsToInterfaces=(vlan-guest)\nIP=dhcp\n<\/code><\/pre>\n
    \nWir aktivieren den Autostart f\u00fcr alle 4 Profile (netctl enable). Nach einem Neustart wird das Orange Pi in zwei erforderlichen Netzwerken eingerichtet sein. Die Adressen der Interfaces auf dem Orange Pi konfigurieren wir in den statischen Leases im Router. <\/p>\n
    ip addr show<\/b><\/p>\n
    4: vlan-main@eth0:  mtu 1500 qdisc noqueue master br-main state UP group default qlen 1000\n    link\/ether 02:42:f0:f8:23:c8 brd ff:ff:ff:ff:ff:ff\n    inet6 fe80::42:f0ff:fef8:23c8\/64 scope link \n       valid_lft forever preferred_lft forever\n\n5: vlan-guest@eth0:  mtu 1500 qdisc noqueue master br-guest state UP group default qlen 1000\n    link\/ether 02:42:f0:f8:23:c8 brd ff:ff:ff:ff:ff:ff\n    inet6 fe80::42:f0ff:fef8:23c8\/64 scope link \n       valid_lft forever preferred_lft forever\n\n6: br-main:  mtu 1500 qdisc noqueue state UP group default qlen 1000\n    link\/ether 52:c7:0f:89:71:6e brd ff:ff:ff:ff:ff:ff\n    inet 192.168.1.3\/24 brd 192.168.1.255 scope global dynamic noprefixroute br-main\n       valid_lft 29379sec preferred_lft 21439sec\n    inet6 fe80::50c7:fff:fe89:716e\/64 scope link \n       valid_lft forever preferred_lft forever\n\n7: br-guest:  mtu 1500 qdisc noqueue state UP group default qlen 1000\n    link\/ether ee:ea:19:31:34:32 brd ff:ff:ff:ff:ff:ff\n    inet 192.168.2.3\/24 brd 192.168.2.255 scope global br-guest\n       valid_lft forever preferred_lft forever\n    inet6 fe80::ecea:19ff:fe31:3432\/64 scope link \n       valid_lft forever preferred_lft forever\n<\/code><\/pre>\n
    <\/p>\n
    VPN-Konfiguration<\/h4>\n
    \nAls n\u00e4chstes kopieren wir die Einstellungen f\u00fcr OpenVPN und die Keys vom Router. Die Einstellungen k\u00f6nnen in der Regel in \/tmp\/etc\/openvpn*.conf<\/i><\/p>\n
    Standardm\u00e4\u00dfig h\u00e4lt openvpn, das im TAP-Modus und server-bridge l\u00e4uft, sein Interface inaktiv. Damit alles funktioniert, muss ein Skript hinzugef\u00fcgt werden, das beim Aktivieren der Verbindung ausgef\u00fchrt wird. <\/p>\n
    \/etc\/openvpn\/main.conf<\/b><\/p>\n
    dev vpn-main\ndev-type tap\n\nclient-to-client\npersist-key\npersist-tun\nca \/etc\/openvpn\/main\/ca.crt\ncert \/etc\/openvpn\/main\/main.crt\ncipher AES-256-CBC\ncomp-lzo yes\ndh \/etc\/openvpn\/main\/dh2048.pem\nifconfig-pool-persist \/etc\/openvpn\/ipp_main.txt\nkeepalive 10 60\nkey \/etc\/openvpn\/main\/main.key\nport 443\nproto tcp\npush \"redirect-gateway\"\npush \"dhcp-option DNS 192.168.1.1\"\nserver-bridge 192.168.1.3 255.255.255.0 192.168.1.200 192.168.1.229\nstatus \/tmp\/openvpn.main.status\nverb 3\n\nsetenv profile_name main\nscript-security 2\nup \/etc\/openvpn\/vpn-up.sh\n<\/code><\/pre>\n
    \n\/etc\/openvpn\/vpn-up.sh<\/b><\/p>\n
    #!\/bin\/sh\n\nifconfig vpn-${profile_name} up\nbrctl addif br-${profile_name} vpn-${profile_name}\n<\/code><\/pre>\n
    \nInfolgedessen wird, sobald eine Verbindung hergestellt wird, das Interface vpn-main zu br-main hinzugef\u00fcgt. F\u00fcr das Gastnetzwerk erfolgt dies analog bis auf den Namen des Interfaces und die Adresse in server-bridge.<\/p>\n
    Routing von Anfragen von au\u00dfen und Proxying<\/h4>\n
    \nIn diesem Schritt kann das Orange Pi bereits Verbindungen annehmen und Clients in die ben\u00f6tigten Netzwerke leiten. Es bleibt nur noch, das Proxying eingehender Verbindungen am Router zu konfigurieren. <\/p>\n
    Wir verschieben die VPN-Server des Routers auf andere Ports, installieren HAProxy auf dem Router und konfigurieren:<\/p>\n
    \/etc\/haproxy.cfg<\/b><\/p>\n
    global\n        maxconn 256\n        uid 0\n        gid 0\n        daemon\n\ndefaults\n        retries 1\n        contimeout 1000\n        option splice-auto\n\nlisten guest_vpn\n        bind :444\n        mode tcp\n        server 0-orange 192.168.2.3:444 check\n        server 1-local  127.0.0.1:4444 check backup\n\nlisten main_vpn\n        bind :443\n        mode tcp\n        server 0-orange 192.168.1.3:443 check\n        server 1-local  127.0.0.1:4443 check backup\n<\/code><\/pre>\n
    <\/p>\n
    Genie\u00dfen<\/h4>\n
    \nWenn alles nach Plan l\u00e4uft, werden die Kunden auf Orange Pi umsteigen und der Prozessor des Routers wird nicht mehr \u00fcberhitzen, w\u00e4hrend die VPN-Geschwindigkeit sp\u00fcrbar steigt. Dabei bleiben alle Netzwerkrichtlinien, die im Router festgelegt sind, g\u00fcltig. Im Falle eines Ausfalls des Orange Pi wird er ausfallen und HAProxy wird die Kunden auf lokale Server umleiten. <\/p>\n
    Vielen Dank f\u00fcr Ihre Aufmerksamkeit, W\u00fcnsche und Korrekturen sind willkommen.
    \n
    Quelle: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
    \u0412\u0441\u0435\u043c \u043f\u0440\u0438\u0432\u0435\u0442, \u043d\u0435\u0434\u0430\u0432\u043d\u043e \u043f\u0440\u043e\u0447\u0438\u0442\u0430\u043b \u0434\u0430\u0432\u043d\u044e\u044e \u0441\u0442\u0430\u0442\u044c\u044e \u043e \u0442\u043e\u043c, \u043a\u0430\u043a \u043c\u043e\u0436\u043d\u043e \u0443\u0441\u043a\u043e\u0440\u0438\u0442\u044c OpenVPN \u043d\u0430 \u0440\u043e\u0443\u0442\u0435\u0440\u0435, \u043f\u0435\u0440\u0435\u043d\u0435\u0441\u044f \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u043d\u0430 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u0443\u044e \u0436\u0435\u043b\u0435\u0437\u043a\u0443, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u043f\u0440\u0438\u043f\u0430\u0438\u0432\u0430\u0435\u0442\u0441\u044f \u0432\u043d\u0443\u0442\u0440\u0438 \u0441\u0430\u043c\u043e\u0433\u043e \u0440\u043e\u0443\u0442\u0435\u0440\u0430. \u0423 \u043c\u0435\u043d\u044f \u0430\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u043d\u044b\u0439 \u0441 \u0430\u0432\u0442\u043e\u0440\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0439 \u2014 TP-Link WDR3500 \u0441 128 \u043c\u0435\u0433\u0430\u0431\u0430\u0439\u0442\u0430\u043c\u0438 \u043e\u043f\u0435\u0440\u0430\u0442\u0438\u0432\u043a\u0438 \u0438 \u0431\u0435\u0434\u043d\u044b\u043c \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u0440\u043e\u043c, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043d\u0430\u043f\u0440\u043e\u0447\u044c \u043d\u0435 \u0441\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0441 \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u0435\u043c \u0442\u0443\u043d\u043d\u0435\u043b\u0435\u0439. \u041e\u0434\u043d\u0430\u043a\u043e, \u043b\u0435\u0437\u0442\u044c \u0432 \u0440\u043e\u0443\u0442\u0435\u0440 \u0441 \u043f\u0430\u044f\u043b\u044c\u043d\u0438\u043a\u043e\u043c \u043c\u043d\u0435 \u043a\u0430\u0442\u0435\u0433\u043e\u0440\u0438\u0447\u0435\u0441\u043a\u0438 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":55824,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-55823","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Wir beschleunigen OpenVPN auf dem OpenWrt-Router. Alternative Version ohne L\u00f6tkolben und Hardware-Extremismus | ProHoster","description":"","canonical_url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/uskoryaem-openvpn-na-routere-openwrt-alternativnaya-versiya-bez-payalnika-i-hardvarnogo-ekstremizma","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0423\u0441\u043a\u043e\u0440\u044f\u0435\u043c OpenVPN \u043d\u0430 \u0440\u043e\u0443\u0442\u0435\u0440\u0435 Openwrt. \u0410\u043b\u044c\u0442\u0435\u0440\u043d\u0430\u0442\u0438\u0432\u043d\u0430\u044f \u0432\u0435\u0440\u0441\u0438\u044f \u0431\u0435\u0437 \u043f\u0430\u044f\u043b\u044c\u043d\u0438\u043a\u0430 \u0438 \u0445\u0430\u0440\u0434\u0432\u0430\u0440\u043d\u043e\u0433\u043e \u044d\u043a\u0441\u0442\u0440\u0435\u043c\u0438\u0437\u043c\u0430 | ProHoster","og:url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/uskoryaem-openvpn-na-routere-openwrt-alternativnaya-versiya-bez-payalnika-i-hardvarnogo-ekstremizma","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-01-28T21:00:00+00:00","article:modified_time":"2020-02-18T11:03:58+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"55823","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 19:36:29","updated":"2026-02-04 14:42:02","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/55823","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=55823"}],"version-history":[{"count":1,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/55823\/revisions"}],"predecessor-version":[{"id":156721,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/55823\/revisions\/156721"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media\/55824"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=55823"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=55823"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=55823"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}