Üdvözlet mindenkinek, nemrég olvastam arról, hogyan lehet felgyorsítani az OpenVPN-t egy routeren, azáltal, hogy a titkosítást egy külön eszközhöz helyezzük, amely a router belsejébe van forrasztva. Hasonló helyzetem van, mint az íróé — TP-Link WDR3500 128 megabájt RAM-mal és gyenge processzorral, amely teljesen képtelen megbirkózni az alagutak titkosításával. Azonban nem akartam forrasztópákával beavatkozni a routerembe. A cikk alatt bemutatom az OpenVPN átvezetésének tapasztalataimat egy külön eszközre, tartalék megoldással a routeren, ha baj lenne.
Feladat
Van egy TP-Link WDR3500 routerem és egy Orange Pi Zero H2. Azt szeretnénk, hogy a csatornák titkosítását az Orange Pi végezze, ugyanakkor, ha valami baja történik, a feldolgozás VPN vissza fog térni a routerre. Minden tűzfalbeállítás a routeren ugyanúgy kell működjön, mint korábban. Általában a további eszköz hozzáadása átlátható és észrevétlen módon kell, hogy megtörténjen. Az OpenVPN TCP-n működik, TAP adapter híd módban (server-bridge).
Megoldás
USB csatlakoztatás helyett úgy döntöttem, hogy felhasználok egy portot a routerből, és ezen keresztül csatlakoztatom az Orange Pi-t minden olyan alhálózathoz, ahol VPN híd található. Ez azt jelenti, hogy az eszköz fizikailag azokban a hálózatokban fog lógni, amelyekben a VPN szerverek a routeren találhatók. Ezt követően pontosan ugyanolyan szervereket állítunk fel az Orange Pi-n, és a routeren beállítunk egy proxy-t, hogy az átirányítsa az összes bejövő kapcsolatot a külső szerverre, és ha az Orange Pi elromlik vagy elérhetetlenné válik — akkor egy belső tartalék szerverre. Én a HAProxy-t választottam.
Így alakul:
- Megérkezik az ügyfél
- Ha a külső szerver nem elérhető — ahogyan eddig is, a kapcsolat a belső szerverhez kapcsolódik
- Ha elérhető — az ügyfelet az Orange Pi fogadja
- A VPN az Orange Pi-n dekódolja a csomagokat és visszapörgeti őket a routerbe
- A router irányítja őket valahova
Megvalósítás példa.
Tehát legyen a routerünkön két hálózat — main(1) és guest(2), ezekhez mindkettőhöz van OpenVPN szerver a külső kapcsolódáshoz.
Hálózati konfiguráció
Mindkét hálózatot egy porton keresztül kell átvezetni, ezért 2 VLAN-t hozunk létre.
A routeren a Hálózat/Switch részleg alatt létrehozzuk a VLAN-okat (például 1 és 2), és tagged módban aktiváljuk őket a megfelelő porton, hozzáadjuk az újonnan létrehozott eth0.1 és eth0.2-t a megfelelő hálózatokhoz (például hozzáadjuk a hídhoz).
Az Orange Pi-n két VLAN interfészt hozunk létre (nekem Archlinux ARM + netctl van):
/etc/netctl/vlan-main
Description='Fő VLAN az eth0-n'
Interface=vlan-main
Connection=vlan
BindsToInterfaces=eth0
VLANID=1
IP=no
/etc/netctl/vlan-guest
Description='Vendég VLAN az eth0-n'
Interface=vlan-guest
Connection=vlan
BindsToInterfaces=eth0
VLANID=2
IP=no
Azonnal létrehozunk két hidat számukra:
/etc/netctl/br-main
Description="Fő híd kapcsolat"
Interface=br-main
Connection=bridge
BindsToInterfaces=(vlan-main)
IP=dhcp
/etc/netctl/br-guest
Description="Vendég híd kapcsolat"
Interface=br-guest
Connection=bridge
BindsToInterfaces=(vlan-guest)
IP=dhcp
Engedélyezzük az automatikus indítást mind a 4 profilra (netctl enable). Most, újraindítás után az Orange Pi csatlakozni fog a két szükséges hálózathoz. Az Orange Pi interfészeinek címeit a Static Leases alatt állítjuk be a routeren.
ip addr show
4: vlan-main@eth0: mtu 1500 qdisc noqueue master br-main state UP group default qlen 1000
link/ether 02:42:f0:f8:23:c8 brd ff:ff:ff:ff:ff:ff
inet6 fe80::42:f0ff:fef8:23c8/64 scope link
valid_lft forever preferred_lft forever
5: vlan-guest@eth0: mtu 1500 qdisc noqueue master br-guest state UP group default qlen 1000
link/ether 02:42:f0:f8:23:c8 brd ff:ff:ff:ff:ff:ff
inet6 fe80::42:f0ff:fef8:23c8/64 scope link
valid_lft forever preferred_lft forever
6: br-main: mtu 1500 qdisc noqueue state UP group default qlen 1000
link/ether 52:c7:0f:89:71:6e brd ff:ff:ff:ff:ff:ff
inet 192.168.1.3/24 brd 192.168.1.255 scope global dynamic noprefixroute br-main
valid_lft 29379sec preferred_lft 21439sec
inet6 fe80::50c7:fff:fe89:716e/64 scope link
valid_lft forever preferred_lft forever
7: br-guest: mtu 1500 qdisc noqueue state UP group default qlen 1000
link/ether ee:ea:19:31:34:32 brd ff:ff:ff:ff:ff:ff
inet 192.168.2.3/24 brd 192.168.2.255 scope global br-guest
valid_lft forever preferred_lft forever
inet6 fe80::ecea:19ff:fe31:3432/64 scope link
valid_lft forever preferred_lft forever
VPN beállítása
Ezután átmásoljuk az OpenVPN beállításokat és kulcsokat a routerről. A beállításokat általában itt lehet beszerezni: /tmp/etc/openvpn*.conf
Alapértelmezés szerint az openvpn, amely TAP módban és server-bridge üzemmódban fut, inaktív állapotban tartja a saját interfészét. Ahhoz, hogy működjön, hozzá kell adni egy szkriptet, amely a kapcsolat aktiválásakor fut.
/etc/openvpn/main.conf
dev vpn-main
dev-type tap
client-to-client
persist-key
persist-tun
ca /etc/openvpn/main/ca.crt
cert /etc/openvpn/main/main.crt
cipher AES-256-CBC
comp-lzo yes
dh /etc/openvpn/main/dh2048.pem
ifconfig-pool-persist /etc/openvpn/ipp_main.txt
keepalive 10 60
key /etc/openvpn/main/main.key
port 443
proto tcp
push "redirect-gateway"
push "dhcp-option DNS 192.168.1.1"
server-bridge 192.168.1.3 255.255.255.0 192.168.1.200 192.168.1.229
status /tmp/openvpn.main.status
verb 3
setenv profile_name main
script-security 2
up /etc/openvpn/vpn-up.sh
/etc/openvpn/vpn-up.sh
#!/bin/sh
ifconfig vpn-${profile_name} up
brctl addif br-${profile_name} vpn-${profile_name}
Ennek eredményeként, amint bekövetkezik a kapcsolat, a vpn-main interfész hozzáadásra kerül a br-main-hez. A vendég hálózat esetében hasonlóan, az interfész nevének és a server-bridge címének megfelelően.
Kérések irányítása kívülről és proxyzás
Ezen a lépésen az Orange Pi már képes fogadni a kapcsolatokat, és engedni a klienseket a szükséges hálózatokba. Már csak a bejövő kapcsolatok proxyzását kell beállítanunk a routeren.
A router VPN szervereit más portokra helyezzük át, HAProxy-t állítunk be a routerre és konfiguráljuk:
/etc/haproxy.cfg
globális
maxconn 256
uid 0
gid 0
daemon
defaults
retries 1
contimeout 1000
option splice-auto
listen guest_vpn
bind :444
mode tcp
server 0-orange 192.168.2.3:444 check
server 1-local 127.0.0.1:4444 check backup
listen main_vpn
bind :443
mode tcp
server 0-orange 192.168.1.3:443 check
server 1-local 127.0.0.1:4443 check backup
Élvezd
Ha minden a terv szerint halad — az ügyfelek az Orange Pi-ra váltanak, és a router processzora már nem fog felmelegedni, a VPN sebessége pedig jelentősen nőni fog. Eközben életben maradnak az összes hálózati szabály, amely a routeren van megadva. Ha az Orange Pi meghibásodik, akkor kidobja, és a HAProxy az ügyfeleket a helyi szerverekre irányítja.
Köszönjük a figyelmet, javaslatokat és javításokat szívesen fogadunk.
Forrás: habr.com
