{"id":55823,"date":"2020-01-29T00:00:00","date_gmt":"2020-01-28T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/uskoryaem-openvpn-na-routere-openwrt-alternativnaya-versiya-bez-payalnika-i-hardvarnogo-ekstremizma"},"modified":"2020-02-18T14:03:58","modified_gmt":"2020-02-18T11:03:58","slug":"uskoryaem-openvpn-na-routere-openwrt-alternativnaya-versiya-bez-payalnika-i-hardvarnogo-ekstremizma","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/uskoryaem-openvpn-na-routere-openwrt-alternativnaya-versiya-bez-payalnika-i-hardvarnogo-ekstremizma","title":{"rendered":"Acc\u00e9l\u00e9rer OpenVPN sur un routeur Openwrt. Version alternative sans fer \u00e0 souder et extr\u00e9misme mat\u00e9riel.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Acc\u00e9l\u00e9rer
\n
\nBonjour \u00e0 tous, j'ai r\u00e9cemment lu un ancien article<\/a><\/noindex> sur la fa\u00e7on d'acc\u00e9l\u00e9rer OpenVPN sur un routeur en transf\u00e9rant le chiffrement sur un mat\u00e9riel s\u00e9par\u00e9 qui est soud\u00e9 \u00e0 l'int\u00e9rieur du routeur m\u00eame. J'ai un cas similaire \u00e0 celui de l'auteur \u2014 un TP-Link WDR3500 avec 128 m\u00e9gaoctets de RAM et un processeur peu performant qui ne g\u00e8re pas du tout le chiffrement des tunnels. Cependant, je ne voulais absolument pas ouvrir le routeur avec un fer \u00e0 souder. Ci-dessous, mon exp\u00e9rience de transfert d'OpenVPN sur un mat\u00e9riel s\u00e9par\u00e9 avec une sauvegarde sur le routeur en cas de panne.
\n<\/a><\/noindex><\/p>\n

La t\u00e2che<\/h3>\n

\nJ'ai un routeur TP-Link WDR3500 et un Orange Pi Zero H2. Nous souhaitons que le chiffrement des tunnels soit g\u00e9r\u00e9 par l'Orange Pi, tout en s'assurant que, si quelque chose lui arrive, le traitement VPN<\/a> retourne sur le routeur. Tous les r\u00e9glages du pare-feu sur le routeur doivent fonctionner comme avant. En g\u00e9n\u00e9ral, l'ajout de mat\u00e9riel suppl\u00e9mentaire doit se faire de mani\u00e8re transparente et discr\u00e8te pour tous. OpenVPN fonctionne sur TCP, avec le adaptateur TAP en mode pont (server-bridge).<\/p>\n

Solution<\/h3>\n

\nAu lieu de se connecter par USB, j'ai d\u00e9cid\u00e9 d'utiliser un port du routeur et de le brancher \u00e0 toutes les sous-r\u00e9seaux, o\u00f9 se trouve le pont VPN. Cela signifie que le mat\u00e9riel sera physiquement connect\u00e9 aux m\u00eames r\u00e9seaux que les serveurs VPN sur le routeur. Apr\u00e8s cela, nous configurons exactement les m\u00eames serveurs sur l'Orange Pi, et sur le routeur, nous r\u00e9glons un proxy pour rediriger toutes les connexions entrantes vers le serveur externe ; si l'Orange Pi tombe en panne ou n'est pas disponible, alors vers le serveur de secours interne. J'ai choisi HAProxy.<\/p>\n

Il en ressort ceci :<\/p>\n

    \n
  1. Un client arrive<\/li>\n
  2. Si le serveur externe n'est pas disponible \u2014 tout comme avant, la connexion va vers le serveur interne<\/li>\n
  3. S'il est disponible \u2014 le client est accept\u00e9 par l'Orange Pi<\/li>\n
  4. Le VPN sur l'Orange Pi d\u00e9chiffre les paquets et les renvoie au routeur<\/li>\n
  5. Le routeur les route quelque part<\/li>\n<\/ol>\n

    <\/p>\n

    Exemple de mise en \u0153uvre<\/h3>\n

    \nAinsi, supposez que nous ayons deux r\u00e9seaux sur le routeur \u2014 main(1) et guest(2), pour chacun d'eux, il y a un serveur OpenVPN pour les connexions externes.<\/p>\n

    Configuration du r\u00e9seau<\/h4>\n

    \nNous devons faire passer les deux r\u00e9seaux par un seul port, donc nous cr\u00e9ons 2 VLAN. <\/p>\n

    Sur le routeur, dans la section R\u00e9seau\/Switch, nous cr\u00e9ons des VLAN (par exemple 1 et 2) et les activons en mode tagg\u00e9 sur le port souhait\u00e9, en ajoutant les nouveaux eth0.1 et eth0.2 aux r\u00e9seaux correspondants (par exemple, en ajoutant au pont). <\/p>\n

    Sur l'Orange Pi, nous cr\u00e9ons deux interfaces VLAN (j'ai Archlinux ARM + netctl) :<\/p>\n

    \/etc\/netctl\/vlan-main<\/b><\/p>\n

    Description='VLAN principal sur eth0'\nInterface=vlan-main\nConnection=vlan\nBindsToInterfaces=eth0\nVLANID=1\nIP=no\n<\/code><\/pre>\n
    \n\/etc\/netctl\/vlan-guest<\/b><\/p>\n
    Description='VLAN invit\u00e9 sur eth0'\nInterface=vlan-guest\nConnection=vlan\nBindsToInterfaces=eth0\nVLANID=2\nIP=no\n<\/code><\/pre>\n
    \nEt nous cr\u00e9ons imm\u00e9diatement deux ponts pour eux :<\/p>\n
    \/etc\/netctl\/br-main<\/b><\/p>\n
    Description=\"Connexion principale au pont\"\nInterface=br-main\nConnection=bridge\nBindsToInterfaces=(vlan-main)\nIP=dhcp\n<\/code><\/pre>\n
    \n\/etc\/netctl\/br-guest<\/b><\/p>\n
    Description=\"Connexion au pont invit\u00e9\"\nInterface=br-guest\nConnection=bridge\nBindsToInterfaces=(vlan-guest)\nIP=dhcp\n<\/code><\/pre>\n
    \nNous activons le d\u00e9marrage automatique pour les 4 profils (netctl enable). Maintenant, apr\u00e8s le red\u00e9marrage, l'Orange Pi sera connect\u00e9 aux deux r\u00e9seaux requis. Nous configurons les adresses des interfaces sur l'Orange Pi dans les baux statiques sur le routeur. <\/p>\n
    ip addr show<\/b><\/p>\n
    4: vlan-main@eth0:  mtu 1500 qdisc noqueue master br-main state UP group default qlen 1000\n    link\/ether 02:42:f0:f8:23:c8 brd ff:ff:ff:ff:ff:ff\n    inet6 fe80::42:f0ff:fef8:23c8\/64 scope link \n       valid_lft forever preferred_lft forever\n\n5: vlan-guest@eth0:  mtu 1500 qdisc noqueue master br-guest state UP group default qlen 1000\n    link\/ether 02:42:f0:f8:23:c8 brd ff:ff:ff:ff:ff:ff\n    inet6 fe80::42:f0ff:fef8:23c8\/64 scope link \n       valid_lft forever preferred_lft forever\n\n6: br-main:  mtu 1500 qdisc noqueue state UP group default qlen 1000\n    link\/ether 52:c7:0f:89:71:6e brd ff:ff:ff:ff:ff:ff\n    inet 192.168.1.3\/24 brd 192.168.1.255 scope global dynamic noprefixroute br-main\n       valid_lft 29379sec preferred_lft 21439sec\n    inet6 fe80::50c7:fff:fe89:716e\/64 scope link \n       valid_lft forever preferred_lft forever\n\n7: br-guest:  mtu 1500 qdisc noqueue state UP group default qlen 1000\n    link\/ether ee:ea:19:31:34:32 brd ff:ff:ff:ff:ff:ff\n    inet 192.168.2.3\/24 brd 192.168.2.255 scope global br-guest\n       valid_lft forever preferred_lft forever\n    inet6 fe80::ecea:19ff:fe31:3432\/64 scope link \n       valid_lft forever preferred_lft forever\n<\/code><\/pre>\n
    <\/p>\n
    Configuration VPN<\/h4>\n
    \nEnsuite, nous copions les param\u00e8tres pour OpenVPN et les cl\u00e9s depuis le routeur. Les param\u00e8tres peuvent g\u00e9n\u00e9ralement \u00eatre extraits de \/tmp\/etc\/openvpn*.conf<\/i><\/p>\n
    Par d\u00e9faut, openvpn, lorsqu'il est ex\u00e9cut\u00e9 en mode TAP et server-bridge, garde son interface inactive. Pour que tout fonctionne, il faut ajouter un script qui se lance lors de l'activation de la connexion. <\/p>\n
    \/etc\/openvpn\/main.conf<\/b><\/p>\n
    dev vpn-main\ndev-type tap\n\nclient-to-client\npersist-key\npersist-tun\nca \/etc\/openvpn\/main\/ca.crt\ncert \/etc\/openvpn\/main\/main.crt\ncipher AES-256-CBC\ncomp-lzo yes\ndh \/etc\/openvpn\/main\/dh2048.pem\nifconfig-pool-persist \/etc\/openvpn\/ipp_main.txt\nkeepalive 10 60\nkey \/etc\/openvpn\/main\/main.key\nport 443\nproto tcp\npush \"redirect-gateway\"\npush \"dhcp-option DNS 192.168.1.1\"\nserver-bridge 192.168.1.3 255.255.255.0 192.168.1.200 192.168.1.229\nstatus \/tmp\/openvpn.main.status\nverb 3\n\nsetenv profile_name main\nscript-security 2\nup \/etc\/openvpn\/vpn-up.sh\n<\/code><\/pre>\n
    \n\/etc\/openvpn\/vpn-up.sh<\/b><\/p>\n
    #!\/bin\/sh\n\nifconfig vpn-${profile_name} up\nbrctl addif br-${profile_name} vpn-${profile_name}\n<\/code><\/pre>\n
    \nEn cons\u00e9quence, d\u00e8s qu\u2019une connexion est \u00e9tablie, l'interface vpn-main sera ajout\u00e9e \u00e0 br-main. Pour le r\u00e9seau invit\u00e9, c\u2019est la m\u00eame chose, sauf pour le nom de l\u2019interface et l'adresse dans server-bridge.<\/p>\n
    Routage des requ\u00eates externes et proxying<\/h4>\n
    \n\u00c0 cette \u00e9tape, l'Orange Pi peut d\u00e9j\u00e0 accepter des connexions et laisser entrer les clients dans les bons r\u00e9seaux. Il reste \u00e0 configurer le proxy pour les connexions entrantes sur le routeur. <\/p>\n
    Nous d\u00e9pla\u00e7ons les serveurs VPN du routeur vers d'autres ports, mettons HAProxy sur le routeur et configurons :<\/p>\n
    \/etc\/haproxy.cfg<\/b><\/p>\n
    global\n        maxconn 256\n        uid 0\n        gid 0\n        daemon\n\ndefaults\n        retries 1\n        contimeout 1000\n        option splice-auto\n\nlisten guest_vpn\n        bind :444\n        mode tcp\n        server 0-orange 192.168.2.3:444 check\n        server 1-local  127.0.0.1:4444 check backup\n\nlisten main_vpn\n        bind :443\n        mode tcp\n        server 0-orange 192.168.1.3:443 check\n        server 1-local  127.0.0.1:4443 check backup\n<\/code><\/pre>\n
    <\/p>\n
    Nous nous amusons<\/h4>\n
    \nSi tout se passe comme pr\u00e9vu, les clients passeront sur Orange Pi et le processeur du routeur ne chauffera plus, tandis que la vitesse du VPN augmentera consid\u00e9rablement. Tous les r\u00e8gles r\u00e9seau d\u00e9finies sur le routeur resteront toujours applicables. En cas de panne sur l'Orange Pi, il se d\u00e9connectera et HAProxy redirigera les clients vers les serveurs locaux. <\/p>\n
    Merci de votre attention, vos suggestions et corrections sont les bienvenues.
    \n
    Source : habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
    \u0412\u0441\u0435\u043c \u043f\u0440\u0438\u0432\u0435\u0442, \u043d\u0435\u0434\u0430\u0432\u043d\u043e \u043f\u0440\u043e\u0447\u0438\u0442\u0430\u043b \u0434\u0430\u0432\u043d\u044e\u044e \u0441\u0442\u0430\u0442\u044c\u044e \u043e \u0442\u043e\u043c, \u043a\u0430\u043a \u043c\u043e\u0436\u043d\u043e \u0443\u0441\u043a\u043e\u0440\u0438\u0442\u044c OpenVPN \u043d\u0430 \u0440\u043e\u0443\u0442\u0435\u0440\u0435, \u043f\u0435\u0440\u0435\u043d\u0435\u0441\u044f \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u043d\u0430 \u043e\u0442\u0434\u0435\u043b\u044c\u043d\u0443\u044e \u0436\u0435\u043b\u0435\u0437\u043a\u0443, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u043f\u0440\u0438\u043f\u0430\u0438\u0432\u0430\u0435\u0442\u0441\u044f \u0432\u043d\u0443\u0442\u0440\u0438 \u0441\u0430\u043c\u043e\u0433\u043e \u0440\u043e\u0443\u0442\u0435\u0440\u0430. \u0423 \u043c\u0435\u043d\u044f \u0430\u043d\u0430\u043b\u043e\u0433\u0438\u0447\u043d\u044b\u0439 \u0441 \u0430\u0432\u0442\u043e\u0440\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0439 \u2014 TP-Link WDR3500 \u0441 128 \u043c\u0435\u0433\u0430\u0431\u0430\u0439\u0442\u0430\u043c\u0438 \u043e\u043f\u0435\u0440\u0430\u0442\u0438\u0432\u043a\u0438 \u0438 \u0431\u0435\u0434\u043d\u044b\u043c \u043f\u0440\u043e\u0446\u0435\u0441\u0441\u043e\u0440\u043e\u043c, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043d\u0430\u043f\u0440\u043e\u0447\u044c \u043d\u0435 \u0441\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0441 \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u0435\u043c \u0442\u0443\u043d\u043d\u0435\u043b\u0435\u0439. \u041e\u0434\u043d\u0430\u043a\u043e, \u043b\u0435\u0437\u0442\u044c \u0432 \u0440\u043e\u0443\u0442\u0435\u0440 \u0441 \u043f\u0430\u044f\u043b\u044c\u043d\u0438\u043a\u043e\u043c \u043c\u043d\u0435 \u043a\u0430\u0442\u0435\u0433\u043e\u0440\u0438\u0447\u0435\u0441\u043a\u0438 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":55824,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-55823","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Acc\u00e9l\u00e9rez OpenVPN sur le routeur OpenWrt. Version alternative sans fer \u00e0 souder ni extr\u00eame mat\u00e9riel | ProHoster","description":"","canonical_url":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/uskoryaem-openvpn-na-routere-openwrt-alternativnaya-versiya-bez-payalnika-i-hardvarnogo-ekstremizma","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"fr_FR","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0423\u0441\u043a\u043e\u0440\u044f\u0435\u043c OpenVPN \u043d\u0430 \u0440\u043e\u0443\u0442\u0435\u0440\u0435 Openwrt. \u0410\u043b\u044c\u0442\u0435\u0440\u043d\u0430\u0442\u0438\u0432\u043d\u0430\u044f \u0432\u0435\u0440\u0441\u0438\u044f \u0431\u0435\u0437 \u043f\u0430\u044f\u043b\u044c\u043d\u0438\u043a\u0430 \u0438 \u0445\u0430\u0440\u0434\u0432\u0430\u0440\u043d\u043e\u0433\u043e \u044d\u043a\u0441\u0442\u0440\u0435\u043c\u0438\u0437\u043c\u0430 | ProHoster","og:url":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/uskoryaem-openvpn-na-routere-openwrt-alternativnaya-versiya-bez-payalnika-i-hardvarnogo-ekstremizma","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-01-28T21:00:00+00:00","article:modified_time":"2020-02-18T11:03:58+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"55823","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 19:36:29","updated":"2026-02-04 14:42:02","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/55823","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/comments?post=55823"}],"version-history":[{"count":1,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/55823\/revisions"}],"predecessor-version":[{"id":156721,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/55823\/revisions\/156721"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media\/55824"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media?parent=55823"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/categories?post=55823"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/tags?post=55823"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}