🥇VPN kodu lokaali

TL;DR: ma seadistan Wireguard'i VPS-ile, ühendan selle OpenWRT kodus asuva ruuteri kaudu ja pääsen telefoniga koduvõrku ligi.

Kui hoiate kodus isiklikku infrastruktuuri või teil on kodus palju IP kaudu hallatavaid seadmeid, siis soovite tõenäoliselt neile juurde pääseda tööl, bussis, rongis ja metroos. Kõige sagedamini ostetakse sarnaste ülesannete täitmiseks pakkuja juurest IP, pärast mida suunatakse iga teenuse porte väljapoole.

Selle asemel seadistasin VPNi, mis annab ligipääsu kodusele kohalikele võrkudele. Selle lahenduse eelised:

Läbipaistvus: tunnen end igas olukorras nagu kodus.
Lihtsus: seadistasin ja unustasin, ei pea muretsema iga portaali suunamise pärast.
Hind: mul on juba VPS, kaasaegne VPN on selliste ülesannete jaoks peaaegu tasuta.
Turvalisus: mitte midagi ei ole väljas, saan jätta MongoDB ilma paroolita ja keegi ei varasta andmeid.

Nagu ikka, on ka puudused. Esiteks peate iga klienti eraldi seadistama, sealhulgas serveripoolselt. See võib olla ebamugav, kui soovite teenustele ligi pääseda paljusid seadmeid. Teiseks võib tööl olla vastav kohaliku võrgu ulatus — peate selle probleemi lahendama.

Me vajame:

VPS (minu puhul Debian 10 peal).
Ruuter OpenWRT-ga.
Telefon.
Kodu server, millel on mõni veebiteenus kontrollimiseks.
Otse käed.

VPNi tehnoloogiana kasutan Wireguard'i. See lahendus omab ka tugevusi ja nõrkusi, mida ma ei hakka kirjeldama. VPNi jaoks kasutan alvõrku 192.168.99.0/24, ja kodus on mul 192.168.0.0/24.

VPS-i seadistamine

Töödeks sobib isegi kõige odavam VPS, mis maksab kuus 30 rubla, kui teil vedas, et sellise leiate korjata.

Kõiki toiminguid serveris teen root-kasutajana puhtal masinal, vajadusel lisage `sudo` ja kohandage juhiseid.

Wireguard'i pole veel stabiilseks viidud, seega teostan `apt edit-sources` ja lisan backportid kahe realis faili lõppu:

deb http://deb.debian.org/debian/ buster-backports main # deb-src http://deb.debian.org/debian/ buster-backports main

Pakett installitakse tuttaval viisil: apt update && apt install wireguard.

Seejärel genereerime võtmepaari: wg genkey | tee /etc/wireguard/vps.private | wg pubkey | tee /etc/wireguard/vps.public. Korrake seda toimingut veel kaks korda iga seadme osaleja jaoks. Muutke võtmefailide teid teiselt seadmel ja ärge unustage privaatvõtmete turvalisust.

Nüüd valmistame ette konfiguratsiooni. Faili /etc/wireguard/wg0.conf koosneb konfiguratsioon:

[Interface] Aadress = 192.168.99.1/24 Kuulamisport = 57953 Eravõti = 0JxJPUHz879NenyujROVK0YTzfpmzNtbXmFwItRKdHs=

[Peer] # OpenWRT
PublicKey = 36MMksSoKVsPYv9eyWUKPGMkEs3HS+8yIUqMV8F+JGw=
AllowedIPs = 192.168.99.2/32,192.168.0.0/24

[Peer] # Nutitelefon
PublicKey = /vMiDxeUHqs40BbMfusB6fZhd+i5CIPHnfirr5m3TTI=
AllowedIPs = 192.168.99.3/32

Jaotises [Interface] märkida masina enda seaded, ja [Peer] — seaded neile, kes sellele ühenduvad. See AllowedIPs märgitakse koma abil võrgud, mida suunatakse vastava peer'i kaudu. Seetõttu peavad VPN-i kliendi seadmed selle alamvõrgus olema maskiga /32, kõik muu suunatakse serveri kaudu. Kuna koduvõrk suunatakse OpenWRT kaudu, siis AllowedIPs lisame vastava peer'i jaoks koduvõrgu. Siin PrivateKey ja PublicKey paigutage privaatvõti, mis on genereeritud VPS jaoks, ja peer'ide avalikud võtmed vastavalt.

VPS-is peab nüüd ainult käivitama käsu, mis aktiveerib liidese ja lisab selle automaatsesse käivitusse: systemctl enable --now wg-quick@wg0. Praegust ühenduste olekut saab kontrollida käsuga wg.

OpenWRT konfiguratsioon

Kõik, mis selle etapi jaoks vajalik, on luci moodulis (OpenWRT veebiliides). Logige sinna sisse ja menüüs System avage tab Software. OpenWRT ei hoia masinas vahemälu, seega tuleb värskendada saadaval olevate paketide nimekirja, vajutades roheline nupp Update lists. Pärast lõpetamist sisestage filtrisse luci-app-wireguard ja, vaadates kaunist sõltuvuste puud, installige see paket.

Menüüs Networks valige Interfaces ja vajutage roheline nupp Add New Interface olemasolevate loendi all. Pärast nime sisestamist (näiteks wg0 minu puhul) ja WireGuard VPN protokolli valimist avaneb seadistuste vorm nelja vahekaartiga.

Vahekaartide General Settings peate sisestama privaatvõtme ja OpenWRT jaoks ettevalmistatud IP-aadressi koos alamvõrguga.

Vahekaartide Firewall Settings lisage liides kohaliku võrgu. Nii pääsevad VPN-i ühendused vabalt kohalikku võrku.

Vahekaartide Peers vajutage ainule nuppu, pärast mida täitke värskendatud vormis VPS-serveri andmed: avalik võti, Allowed IPs (kõik VPN-alamvõrk tuleb suunata serverisse). Endpoint Host ja Endpoint Port sisestage vastavalt VPS-i IP-aadress ja ports, mis on suunatud varem määratud ListenPort direktiivis. Määrake Route Allowed IPs, et luua marsruudid. Ja kindlasti täitke Persistent Keep Alive, vastasel juhul katkeb tunnel VPS-ist ruuterisse, kui viimane on NAT-i all.

Pärast seda saab seadistused salvestada, ja siis menüüs interface nimekirja lehel vajutage Save and apply. Vajadusel aktiveerige liides nuppu Restart.

Seadistame nutitelefoni

Teil on vajalik Wireguard klient, mis on saadaval F-Droid, Google Play ja App Store'is. Avage rakendus, vajutage plussikest ja sektsioonis Interface sisestage ühenduse nimi, privaatvõti (avalik genereeritakse automaatselt) ja telefoninumber maskiga /32. Sektsioonis Peer määrake VPS'i avalik võti, paar aadress: VPN-serveri port Endpointina ja marsruudid VPN- ja koduvõrku.

Paksu ekraanipilt telefonilt