האיץ את OpenVPN עבור $9.99* או שלב את Orange Pi One בנתב שלך

חלקנו לא משתמשים באינטרנט ללא VPN מסיבה כזו או אחרת: מישהו צריך IP ייעודי, וקל וזול יותר לקנות VPS עם שני IPs מאשר לקנות כתובת מספק, מישהו רוצה לגשת לכל האתרים , ולא רק אלה המותרים בשטח הפדרציה הרוסית, אחרים צריכים IPv6, אבל הספק לא מספק את זה...
לרוב, נוצר חיבור VPN במכשיר עצמו שנמצא בשימוש ברגע מסוים, וזה הגיוני אם יש לך רק מחשב אחד וטלפון אחד ולעתים רחוקות אתה משתמש בהם בו זמנית. אם ישנם מכשירים רבים ברשת הביתית שלך, או, למשל, ישנם כמה בהם לא ניתן להגדיר VPN, יהיה נוח יותר ליצור מנהרה ישירות על הנתב הביתי כדי לא לחשוב על הגדרה של כל מכשיר בנפרד .

אם אי פעם התקנת את OpenVPN על הנתב שלך, כנראה שהופתעת בצורה לא נעימה מכמה מהר זה עובד. ה-SoCs של אפילו נתבים זולים עוברים בערך תעבורת ג'יגה-ביט ללא בעיות, עקב העברת פונקציות הניתוב וה-NAT לשבב נפרד המיועד אך ורק למשימה זו, והמעבדים העיקריים של נתבים כאלה חלשים למדי, מכיוון אין כמעט עומס עליהם. פשרה זו מאפשרת להשיג מהירות גבוהה של הנתב ולהוזיל משמעותית את מחיר המכשיר המוגמר - נתבים עם מעבדים חזקים עולים פי כמה, וממוקמים לא רק כקופסה להפצת האינטרנט, אלא גם כ-NAS, טורנט. הורדה ומערכת מולטימדיה ביתית.

הנתב שלי, TP-Link TL-WDR4300, לא יכול להיקרא חדש - הדגם הופיע באמצע 2012, ויש לו מעבד ארכיטקטורת MIPS560 32Kc 74 מגה-הרץ, שעוצמתו מספיקה רק ל-20-23 מגה-ביט לשנייה של תעבורה מוצפנת דרך OpenVPN, שזה לפי סטנדרטים המהירות של האינטרנט הביתי המודרני היא נמוכה למדי.
כיצד נוכל להגביר את המהירות של מנהרה מוצפנת? הנתב שלי די פונקציונלי, תומך ב-3x3 MIMO, ובאופן כללי עובד טוב, לא הייתי רוצה לשנות אותו.
מכיוון שכיום נהוג לעשות דפי אינטרנט של 10 מגה, לכתוב אפליקציות שולחן עבודה ב-node.js ולארוז אותם לקובץ של 100 מגה, להגביר את כוח המחשוב במקום אופטימיזציה, נעשה משהו נורא - נעביר את חיבור ה-VPN ל- "מחשב" בעל לוח יחיד פרודוקטיבי Orange Pi One, אותו נתקין במארז הנתב מבלי לתפוס יציאות רשת ו-USB קיימות, תמורת 9.99$ בלבד*!
* + משלוח, + מסים, + עבור בירה, + MicroSD.

OpenVPN

לא ניתן לכנות את המעבד של הנתב חלש לחלוטין - הוא מסוגל להצפין ולהגביר נתונים באמצעות האלגוריתם AES-128-CBC-SHA1 במהירות של 50 Mb/s, שהיא מהירה משמעותית מאופן הפעולה של OpenVPN, והזרם המודרני CHACHA20 צופן עם גיבוב POLY1305 מגיע אפילו ל-130 מגה-ביט לשנייה! מדוע המהירות של מנהרת ה-VPN כל כך נמוכה? הכל עוסק במעבר ההקשר בין מרחב המשתמש למרחב הקרנל: OpenVPN מצפין תעבורה ומתקשר עם העולם החיצון בהקשר המשתמש, והניתוב עצמו מתרחש בהקשר הליבה. מערכת ההפעלה צריכה לעבור כל הזמן קדימה ואחורה עבור כל חבילה שמתקבלת או משודרת, והפעולה הזו איטית. בעיה זו טבועה בכל אפליקציות ה-VPN הפועלות דרך מנהל התקן TUN/TAP, ואי אפשר לומר שהבעיה של מהירות נמוכה נגרמת מאופטימיזציה לקויה של OpenVPN (אם כי, כמובן, יש מקומות שצריך לעבד אותם מחדש). אף לקוח VPN של מרחב משתמש לא מספק אפילו גיגה-ביט כשההצפנה מושבתת במחשב הנייד שלי, שלא לדבר על מערכות עם מעבד חלש.

כתום פי וואן

ה-Orange Pi One בלוח יחיד מבית Xunlong הוא ההצעה הטובה ביותר מבחינת יחס ביצועים/מחיר כרגע. תמורת 9.99$* אתה מקבל מעבד ARM Cortex-A7 מוצק עם ארבע ליבות הפועל (יציב) במהירות של 1008 מגה-הרץ, ועולה בבירור על שכניו במחיר ה-Raspberry Pi Zero וה-Next Thing CHIP. כאן מסתיימים היתרונות. חברת Xunlong שמה לב לאפס בדיוק לתוכנת הלוחות שלה, ובזמן שה-One הושק למכירה, היא אפילו לא סיפקה קובץ תצורת לוח, שלא לדבר על תמונות מוכנות. Allwinner, יצרנית SoC, גם אינה רגישה במיוחד לתמיכה במוצר שלה. הם מעוניינים רק בביצועים מינימליים במערכת ההפעלה אנדרואיד 4.4.4, מה שאומר שאנו נאלצים להשתמש בקרנל 3.4 עם תיקוני אנדרואיד. למרבה המזל, יש חובבים שמרכיבים הפצות, עורכים את הקרנל, כותבים קוד ללוחות תמיכה בקרנל הראשי, כלומר. הם למעשה עושים את העבודה עבור היצרן, מה שגורם לשטויות האלה לעבוד בצורה מקובלת. למטרותיי בחרתי בהפצת ארמביאן; היא מתעדכנת לעתים קרובות ובנוחות (גרעינים חדשים מותקנים ישירות דרך מנהל החבילות, ולא על ידי העתקת קבצים למחיצה מיוחדת, כפי שקורה בדרך כלל עם Allwinner), והיא תומכת ברוב ציוד היקפי, בניגוד לאחרים.

נתב

כדי לא להעמיס את המעבד החלש של הנתב בהצפנה ולהאיץ את חיבור ה-VPN שלנו, נוכל להעביר את המשימה הזו לכתפיו של מעבד Orange Pi חזק יותר על ידי חיבורו לנתב בדרך כלשהי. חיבור או באמצעות Ethernet או USB עולה בראש - שני התקנים הללו נתמכים על ידי שני המכשירים, אבל לא רציתי לנצל יציאות קיימות. למרבה המזל, יש מוצא.

שבב הרכזת USB GL850G, המשמש בנתב, תומך ב-4 יציאות USB, שתיים מהן אינן חוטיות. לא ברור מדוע היצרן לא פתח אותם, אני מניח, כדי למנוע ממשתמשים לחבר 4 מכשירים בעלי צריכת זרם גבוהה (למשל כוננים קשיחים) בבת אחת. ספק הכוח הסטנדרטי של הנתב אינו מיועד לעומס כזה. בכל מקרה זה לטובתנו.

כדי לקבל יציאת USB נוספת, אתה רק צריך להלחים שני חוטים לפינים 8(D-) ו-9(D+) או 11(D-) ו-12(D+).

עם זאת, זה לא מספיק פשוט לחבר שני התקני USB ולקוות שהכל יעבוד לבד, כמו עם Ethernet. ראשית, עלינו לגרום לאחד מהם לעבוד במצב USB Client, ולא ב-USB Host, ושנית, עלינו להחליט כיצד המכשירים יאתרו זה את זה. ישנם מנהלי התקנים רבים עבור מה שנקרא USB Gadgets (על שם תת-מערכת ליבת לינוקס), המאפשרים לך לחקות סוגים שונים של התקני USB: מתאם רשת, כרטיס שמע, מקלדת ועכבר, כונן הבזק, מצלמה, קונסולה באמצעות סידורי נמל. מכיוון שהמכשיר שלנו יעבוד עם הרשת, חיקוי מתאם Ethernet הוא הטוב ביותר עבורנו.

ישנם שלושה תקני Ethernet-על-USB:

• NDIS מרוחק (RNDIS). תקן מיושן מבית מיקרוסופט, בשימוש בעיקר במהלך Windows XP.
• דגם בקרת אתרנט (ECM). תקן פשוט שמכיל מסגרות Ethernet בתוך מנות USB. מעולה למודמים קוויים עם חיבור USB, שבהם נוח להעביר מסגרות ללא עיבוד, אבל בגלל הפשטות והמגבלות של אפיק ה-USB, זה לא מהיר במיוחד.
• מודל אמולציית Ethernet (EEM). פרוטוקול חכם יותר שלוקח בחשבון מגבלות USB ומאגד בצורה אופטימלית מספר פריימים לאחד, ובכך מגדיל את התפוקה.
• מודל בקרת רשת (NCM). הפרוטוקול החדש ביותר. בעל היתרונות של EEM ומייעל עוד יותר את חווית האוטובוס.

כדי לגרום לכל אחד מהפרוטוקולים הללו לעבוד בלוח שלנו, כמו תמיד, נצטרך להיתקל בקשיים מסוימים. בשל העובדה ש-Allwinner מתעניינת רק בחלקי האנדרואיד של הקרנל, רק Android Gadget עובד כרגיל - הקוד שמיישם תקשורת עם adb, ייצוא המכשיר באמצעות פרוטוקול MTP וחיקוי כונן הבזק במכשירי אנדרואיד. אנדרואיד גאדג'ט עצמו תומך גם בפרוטוקול RNDIS, אבל הוא מקולקל בליבת Allwinner. אם תנסה להרכיב את הליבה עם כל גאדג'ט USB אחר, המכשיר פשוט לא יופיע במערכת, לא משנה מה תעשה.
כדי לפתור את הבעיה, בדרך ידידותית, אתה צריך למצוא את המקום שבו אתחול בקר ה-USB בקוד של הגאדג'ט אנדרואיד android.c ששונה על ידי המפתחים, אבל יש גם פתרון לביצוע לפחות אמולציית Ethernet על עבודת USB:

--- sun8i/drivers/usb/sunxi_usb/udc/sunxi_udc.c 2016-04-16 15:01:40.427088792 +0300
+++ sun8i/drivers/usb/sunxi_usb/udc/sunxi_udc.c 2016-04-16 15:01:45.339088792 +0300
@@ -57,7 +57,7 @@
 static sunxi_udc_io_t g_sunxi_udc_io;
 static u32 usb_connect = 0;
 static u32 is_controller_alive = 0;
-static u8 is_udc_enable = 0;   /* is udc enable by gadget? */
+static u8 is_udc_enable = 1;   /* is udc enable by gadget? */
 
 #ifdef CONFIG_USB_SUNXI_USB0_OTG
 static struct platform_device *g_udc_pdev = NULL;

תיקון זה מאלץ מצב לקוח USB, המאפשר לך להשתמש בגאדג'טים USB רגילים מ-Linux.
כעת עליך לבנות מחדש את הליבה עם התיקון הזה והגאדג'ט הדרוש. בחרתי ב-EEM כי... על פי תוצאות הבדיקה, התברר שהוא פרודוקטיבי יותר מ-NCM.
הצוות הארמביאני מספק מערכת הרכבה פשוטה ונוחה מאוד עבור כל הלוחות הנתמכים בהפצה. פשוט הורד אותו, הכנס את התיקון שלנו userpatches/kernel/sun8i-default/otg.patch, ערוך קצת compile.sh ובחר את הגאדג'ט הנדרש:

הקרנל יורכב לתוך חבילת deb, אשר לא תהיה קשה להתקין אותה על הלוח באמצעות dpkg.
כל מה שנותר הוא לחבר את הלוח באמצעות USB ולהגדיר את מתאם הרשת החדש שלנו כדי לקבל כתובת באמצעות DHCP. כדי לעשות זאת אתה צריך להוסיף משהו כמו הבא /etc/network/interfaces:

auto usb0
        iface usb0 inet dhcp
        hwaddress ether c2:46:98:49:3e:9d
        pre-up /bin/sh -c 'echo 2 > /sys/bus/platform/devices/sunxi_usb_udc/otg_role'

עדיף להגדיר את כתובת ה-MAC באופן ידני, כי... זה יהיה אקראי בכל פעם שהמכשיר יופעל מחדש, וזה לא נוח ומציק.
אנו מחברים את כבל ה-MicroUSB למחבר ה-OTG, מחברים חשמל מהנתב (ניתן לספק אותו לפינים 2 ו-3 של המסרק, ולא רק למחבר החשמל).

כל מה שנותר הוא להגדיר את הנתב. זה מספיק כדי להתקין את החבילה עם מנהל ההתקן של EEM ולהוסיף את התקן רשת ה-USB החדש שלנו לגשר של אזור חומת האש המקומית:

opkg install kmod-usb-net-cdc-eem

כדי לנתב את כל התעבורה למנהרת ה-VPN, עליך להוסיף כלל SNAT לכתובת ה-IP של הלוח בצד הנתב, או להפיץ את כתובת הלוח ככתובת שער דרך dnsmasq. זה האחרון נעשה על ידי הוספת השורה הבאה ל /etc/dnsmasq.conf:

dhcp-option = tag:lan, option:router, 192.168.1.100

איפה 192.168.1.100 - כתובת ה-IP של הלוח שלך. אל תשכחו להזין את כתובת הנתב בהגדרות הרשת בלוח עצמו!

נעשה שימוש בספוג מלמין כדי לבודד את מגעי הלוח ממגעי הנתב. יצא משהו כזה:

מסקנה

הרשת דרך USB עובדת במהירות מפתיעה: 100-120 Mb/s, ציפיתי פחות. OpenVPN עובר כ-70 Mb/s של תעבורה מוצפנת, וזה גם לא הרבה, אבל מספיק לצרכים שלי. מכסה הנתב אינו נסגר היטב, ומשאיר פער קטן. אסתטים יכולים להסיר את מחברי ה-Ethernet ו-USB Host מהלוח, מה שיאפשר למכסה להיסגר לחלוטין ועדיין ישאר קצת מקום.
עדיף לא לעסוק בפורנוגרפיה כזו ולקנות טוריס אומניה.

מקור: www.habr.com