🥇VPN kodu kohaliku võrgu jaoks

TL;DR: ma seadistan Wireguardi VPS-is, ühendun kodurouteri kaudu OpenWRT-ga ja pääsen telefoni kaudu koduvõrku.

Kui hoiate koduserveris isiklikku infrastruktuuri või teil on kodus palju IP-aadresside kaudu juhitavaid seadmeid, soovite tõenäoliselt neile ligipääsu tööl, bussis, rongis või metroos. Sarnaste ülesannete jaoks ostetakse sageli teenusepakkujatelt IP-aadresse, mille järel suunatakse iga teenuse port välja.

Selle asemel seadistasin VPN-i, et pääseda kodusesse lokaalvõrku. Selle lahenduse plussid:

Läbipaistvus: tunnen end iga olukorra juures nagu kodus.
Lihtsus: seadistan ja unustan, ei pea mõtlema iga pordi suunamisele.
Hind: mul on juba VPS, kaasaegne VPN on selliste ülesannete jaoks ressursikasutuse poolest peaaegu tasuta.
Ohutus: ei midagi, mis väljas silma paistab, saab MongoDB jätta paroolita ja keegi ei varastaks andmeid.

Nagu alati, on ka miinuseid. Esiteks, peate seadistama iga kliendi eraldi, sealhulgas serveripoolt. See võib olla ebamugav, kui on palju seadmeid, millelt soovite teenustele juurde pääseda. Teiseks võib teie töökoht jääda samasse vahemikku nagu teie kohalik võrk — see tuleb lahendada.

Me vajame:

VPS (minu juhul Debian 10 peal).
Ruuter OpenWRT-l.
Telefon.
Kodu server, kus on mõni veebiteenus kontrollimiseks.
Otsesed käed.

VPN-tehnoloogiana kasutan Wireguardi. Sellel lahendusel on samuti omad head ja halvad küljed, ma neid ei kirjelda. VPN-i jaoks kasutan alamvõrku 192.168.99.0/24, ja kodus on mul 192.168.0.0/24.

VPS-i konfiguratsioon

Tööl piisab isegi kõige odavamatest VPS-idest, mis maksavad 30 rubla kuus, kui teil on vedanud selline ära osta.

Kõiki serverikäske täidan ma root-konto alt puhtal masinal, vajadusel lisage `sudo` ja kohandage juhiseid.

Wireguardi ei ole veel stabiilsesse versiooni lisatud, seega teen `apt edit-sources` ja lisan bäkportid kahe rea kujul faili lõppu:

deb http://deb.debian.org/debian/ buster-backports main # deb-src http://deb.debian.org/debian/ buster-backports main

Pakett installeeritakse tuttaval viisil: apt update && apt install wireguard.

Edasi genereerime võtmepaari: wg genkey | tee /etc/wireguard/vps.private | wg pubkey | tee /etc/wireguard/vps.public. Korrake seda toimingut veel kaks korda iga seadme jaoks, mis osaleb võrgus. Muutke failide teed teiste seadmete jaoks ja ärge unustage privaatsete võtmete turvalisust.

Nüüd valmistame konfigureerimise. Faili /etc/wireguard/wg0.conf salvestatakse konfiguratsioon:

[Interface] Aadress = 192.168.99.1/24 Kuulamisport = 57953 Privaatvõti = 0JxJPUHz879NenyujROVK0YTzfpmzNtbXmFwItRKdHs=

[Peer] # OpenWRT
PublicKey = 36MMksSoKVsPYv9eyWUKPGMkEs3HS+8yIUqMV8F+JGw=
AllowedIPs = 192.168.99.2/32,192.168.0.0/24

[Peer] # Nutitelefon
PublicKey = /vMiDxeUHqs40BbMfusB6fZhd+i5CIPHnfirr5m3TTI=
AllowedIPs = 192.168.99.3/32

jaotises [Interface] määritakse masina seaded, ja [Peer] — seaded nende jaoks, kes sellele ühenduvad. Sees AllowedIPs loetletakse komaga alavõrgud, mis suunatakse vastavale peerile. Seetõttu peavad seadmed-«kliendid» VPN-i alavõrgus omama maski /32, kõik muu suunatakse serveri kaudu. Kuna koduvõrk suunatakse OpenWRT kaudu, siis AllowedIPs lisame vastavale peerile koduvõrgu. PrivateKey ja PublicKey paigutage privaatne võtme VPS-i jaoks ja peeride avalikud võtmed vastavalt.

VPS-is tuleb vaid käivitada käsk, mis aktiveerib liidese ja lisab selle automaatse käivitamise alla: systemctl enable --now wg-quick@wg0. Ühenduste praegust olekut saab kontrollida käsuga wg.

OpenWRT konfiguratsioon

Kõik, mis selle etapi jaoks vajalik, on moodulis luci (OpenWRT veebiliides). Logige sisse ja menüüs System avage vahekaart Software. OpenWRT ei hoia kohapeal vahemälu, seega tuleb värskendada saadavalolevate pakettide nimekirja, vajutades roheline nupp Update lists. Pärast lõpetamist sisestage filtrisse luci-app-wireguard ja, vaadates ilusat sõltuvuste puud, installige see paket.

Menüüs Networks valige Interfaces ja vajutage roheline nupp Add New Interface olemasolevate loendite all. Pärast nime sisestamist (samuti wg0 minu puhul) ja WireGuard VPN protokolli valimist avatakse seadistuste vorm, kus on neli vahekaarti.

Üldseadete vahekaardil peate sisestama salajase võti ja IP-aadressi, mis on ette valmistatud OpenWRT koos alamvõrguga.

Tule tulemustel Firewalli seadete vahekaardil lugege liides kohaliku võrgu juurde. Nii pääsevad VPN-ilt loodud ühendused vabalt kohalikku võrku.

Vahekaartel Peers klõpsake ainsat nuppu, pärast mida täiendatud vormis täidate VPS-serveri andmed: avalik võti, lubatud IP-d (kõik VPN-alavõrgud tuleb marsruutida serverisse). Endpoint Host ja Endpoint Port sisestage vastavalt VPS-i IP-aadress ja ports, nagu on varem määratud direktiivis ListenPort. Märkige Route Allowed IPs, et marsruudid loomiseks. Ja kindlasti täitke Persistent Keep Alive, vastasel juhul katkeb tunnel VPS-i ja ruuteri vahel, kui viimane on NAT-i all.

Pärast seda saate seaded salvestada ja seejärel klõpsata liideste nimekirja lehelt Save and apply. Vajadusel käivitage liides selgelt nupule Restart vajutades.

Seadistame nutitelefoni

Vajate Wireguard'i klienti, mis on saadaval F-Droid, Google Play ja App Store'is. Avades rakenduse klõpsake plussikujulist nuppu ja sektsioonis Interface sisestage ühenduse nimi, privaatvõti (avalik genereeritakse automaatselt) ja telefoni aadress maskiga \/32. Sektsioonis Peer märgige VPS-i avalik võti, paar aadress: port VPN-serverit Endpointina ja marsruudid VPN- ja kodu alavõrgule.

Rasvane ekraanipilt telefonist