დააჩქარეთ OpenVPN 9.99 დოლარად* ან გააერთიანეთ Orange Pi One თქვენს როუტერში

ზოგიერთი ჩვენგანი არ იყენებს ინტერნეტს VPN-ის გარეშე ამა თუ იმ მიზეზის გამო: ვინმეს სჭირდება გამოყოფილი IP და უფრო ადვილი და იაფია VPS-ის ყიდვა ორი IP-ით, ვიდრე მისამართის ყიდვა პროვაიდერისგან, ვიღაცას სურს ყველა ვებსაიტზე წვდომა. და არა მხოლოდ რუსეთის ფედერაციის ტერიტორიაზე დაშვებულებს, სხვებსაც სჭირდებათ IPv6, მაგრამ პროვაიდერი არ იძლევა...
ყველაზე ხშირად, VPN კავშირი დამყარებულია თავად მოწყობილობაზე, რომელიც გამოიყენება გარკვეულ მომენტში, რაც აზრი აქვს, თუ თქვენ გაქვთ მხოლოდ ერთი კომპიუტერი და ერთი ტელეფონი და იშვიათად იყენებთ მათ ერთდროულად. თუ თქვენს საშინაო ქსელში ბევრი მოწყობილობაა, ან, მაგალითად, არის ისეთი, რომლებზეც VPN კონფიგურაცია შეუძლებელია, უფრო მოსახერხებელი იქნება გვირაბის შექმნა პირდაპირ სახლის როუტერზე, რათა არ იფიქროთ თითოეული მოწყობილობის ცალკე დაყენებაზე. .

თუ ოდესმე დააინსტალირეთ OpenVPN თქვენს როუტერზე, ალბათ უსიამოვნოდ გაგიკვირდათ, რამდენად სწრაფად მუშაობს იგი. თუნდაც იაფი მარშრუტიზატორების SoC-ები უპრობლემოდ გადიან დაახლოებით გიგაბიტიან ტრაფიკს, მარშრუტიზაციის და NAT ფუნქციების ცალკეულ ჩიპზე გადაცემის გამო, რომელიც შექმნილია ექსკლუზიურად ამ ამოცანისთვის, და ასეთი მარშრუტიზატორების ძირითადი პროცესორები საკმაოდ სუსტია, რადგან მათზე პრაქტიკულად არანაირი დატვირთვა არ არის. ეს კომპრომისი საშუალებას გაძლევთ მიაღწიოთ როუტერის მაღალ სიჩქარეს და მნიშვნელოვნად შეამციროთ მზა მოწყობილობის ფასი - მძლავრი პროცესორების მქონე მარშრუტიზატორები რამდენჯერმე ღირს და განლაგებულია არა მხოლოდ ინტერნეტის განაწილების ყუთად, არამედ როგორც NAS, ტორენტი. ჩამომტვირთავი და სახლის მულტიმედიური სისტემა.

ჩემს როუტერს, TP-Link TL-WDR4300, არ შეიძლება ეწოდოს ახალი - მოდელი გამოჩნდა 2012 წლის შუა რიცხვებში და აქვს 560 MHz MIPS32 74Kc არქიტექტურის პროცესორი, რომლის სიმძლავრე საკმარისია მხოლოდ 20-23 Mb/s დაშიფრული ტრაფიკისთვის. OpenVPN-ის საშუალებით, რომელიც სტანდარტებით არის თანამედროვე სახლის ინტერნეტის სიჩქარე საკმაოდ დაბალია.
როგორ გავზარდოთ დაშიფრული გვირაბის სიჩქარე? ჩემი როუტერი საკმაოდ ფუნქციონალურია, მხარს უჭერს 3x3 MIMO-ს და ზოგადად კარგად მუშაობს, არ მინდა მისი შეცვლა.
ვინაიდან უკვე მიღებულია 10 მეგაბაიტიანი ინტერნეტ გვერდების გაკეთება, დესკტოპის აპლიკაციების node.js-ში ჩაწერა და 100 მეგაბაიტიან ფაილში შეფუთვა, ოპტიმიზაციის ნაცვლად გამოთვლითი სიმძლავრის გაზრდა, ჩვენ გავაკეთებთ რაღაც საშინელებას - გადავიტანთ VPN კავშირს პროდუქტიული ერთბორტიანი "კომპიუტერი" Orange Pi One, რომელსაც ჩვენ დავაყენებთ როუტერის კორპუსში არსებული ქსელისა და USB პორტების გარეშე, მხოლოდ $9.99*-ად!
* + მიწოდება, + გადასახადები, + ლუდზე, + MicroSD.

OpenVPN

როუტერის პროცესორს არ შეიძლება ეწოდოს სრულიად სუსტი - მას შეუძლია მონაცემთა დაშიფვრა და ჰეშირება AES-128-CBC-SHA1 ალგორითმის გამოყენებით 50 მბ/წმ სიჩქარით, რაც შესამჩნევად უფრო სწრაფია ვიდრე მუშაობს OpenVPN და თანამედროვე CHACHA20 ნაკადი. შიფრი POLY1305 ჰეშით კი აღწევს 130 მეგაბიტს წამში! რატომ არის VPN გვირაბის სიჩქარე ასე დაბალი? ეს ყველაფერი ეხება მომხმარებლის სივრცესა და ბირთვის სივრცეს შორის კონტექსტის გადართვას: OpenVPN შიფრავს ტრაფიკს და ურთიერთობს გარე სამყაროსთან მომხმარებლის კონტექსტში, ხოლო თავად მარშრუტირება ხდება ბირთვის კონტექსტში. ოპერაციულ სისტემას მუდმივად უწევს გადართვა წინ და უკან ყველა მიღებული ან გადაცემული პაკეტისთვის და ეს ოპერაცია ნელია. ეს პრობლემა თანდაყოლილია ყველა VPN აპლიკაციისთვის, რომელიც მუშაობს TUN/TAP დრაივერის მეშვეობით და არ შეიძლება ითქვას, რომ დაბალი სიჩქარის პრობლემა გამოწვეულია ცუდი OpenVPN ოპტიმიზაციით (თუმცა, რა თქმა უნდა, არის ადგილები, რომლებიც საჭიროებს გადამუშავებას). არც ერთი მომხმარებლის სივრცის VPN კლიენტი არ იძლევა თუნდაც გიგაბიტს ჩემს ლეპტოპზე გათიშული დაშიფვრით, რომ აღარაფერი ვთქვათ სუსტი პროცესორის მქონე სისტემებით.

ნარინჯისფერი პი ერთი

ერთი დაფის Orange Pi One Xunlong-ისგან საუკეთესო შეთავაზებაა შესრულების/ფასის თანაფარდობის თვალსაზრისით ამ მომენტისთვის. $9.99*-ად მიიღებთ მყარი ოთხბირთვიანი ARM Cortex-A7 პროცესორს, რომელიც მუშაობს (სტაბილურად) 1008 MHz სიხშირეზე და აშკარად აჯობებს თავის მეზობლებს Raspberry Pi Zero-სა და Next Thing CHIP-ს. აქ მთავრდება უპირატესობები. კომპანია Xunlong ზუსტად ნულოვან ყურადღებას აქცევს თავისი დაფების პროგრამულ უზრუნველყოფას და იმ დროს, როდესაც One გამოვიდა გასაყიდად, მან არც კი მიაწოდა დაფის კონფიგურაციის ფაილი, რომ აღარაფერი ვთქვათ მზა სურათებზე. Allwinner, SoC მწარმოებელი, ასევე არ არის განსაკუთრებით მგრძნობიარე მისი პროდუქტის მხარდაჭერის მიმართ. მათ აინტერესებთ მხოლოდ მინიმალური შესრულება Android 4.4.4 OS-ში, რაც იმას ნიშნავს, რომ ჩვენ იძულებულნი ვართ გამოვიყენოთ 3.4 ბირთვი Android პაჩებით. საბედნიეროდ, არიან ენთუზიასტები, რომლებიც აწყობენ დისტრიბუციებს, არედაქტირებენ ბირთვს, წერენ კოდს მთავარ ბირთვში დაფების მხარდასაჭერად, ე.ი. ისინი რეალურად ასრულებენ სამუშაოს მწარმოებლისთვის, რაც ამ სისულელეს მისაღების ხდის. ჩემი მიზნებისთვის, მე ავირჩიე Armbian დისტრიბუცია; ის ხშირად და მოხერხებულად განახლდება (ახალი ბირთვები დაინსტალირებულია უშუალოდ პაკეტის მენეჯერის მეშვეობით და არა ფაილების სპეციალურ დანაყოფზე კოპირებით, როგორც ეს ჩვეულებრივ ხდება Allwinner-ში), და ის მხარს უჭერს უმეტესობას. პერიფერიული მოწყობილობები, სხვებისგან განსხვავებით.

Router

იმისათვის, რომ როუტერის სუსტი პროცესორი არ ჩაიტვირთოს დაშიფვრით და დააჩქაროს ჩვენი VPN კავშირი, ჩვენ შეგვიძლია ეს დავალება უფრო მძლავრი Orange Pi პროცესორის მხრებზე გადავიტანოთ, როუტერთან რაიმე გზით მიერთებით. მახსენდება Ethernet-ით ან USB-ით დაკავშირება - ორივე ეს სტანდარტი მხარდაჭერილია ორივე მოწყობილობის მიერ, მაგრამ მე არ მინდოდა არსებული პორტების დაკავება. საბედნიეროდ, გამოსავალი არსებობს.

GL850G USB hub ჩიპი, რომელიც გამოიყენება როუტერში, მხარს უჭერს 4 USB პორტს, რომელთაგან ორი არ არის სადენიანი. გაურკვეველია, რატომ არ გააუქმა ისინი მწარმოებელმა, მე ვფიქრობ, რომ მომხმარებლებმა თავიდან აიცილონ 4 მოწყობილობის დაკავშირება მაღალი დენის მოხმარებით (მაგალითად, მყარი დისკები) ერთდროულად. როუტერის სტანდარტული კვების წყარო არ არის განკუთვნილი ასეთი დატვირთვისთვის. ყოველ შემთხვევაში, ეს ჩვენთვის სასარგებლოა.

იმისათვის, რომ მიიღოთ სხვა USB პორტი, თქვენ უბრალოდ უნდა დაამაგროთ ორი მავთული 8(D-) და 9(D+) ან 11(D-) და 12(D+) ქინძისთავებზე.

თუმცა, საკმარისი არ არის უბრალოდ ორი USB მოწყობილობის შეერთება და იმედი, რომ ყველაფერი თავისთავად იმუშავებს, როგორც Ethernet-ის შემთხვევაში. ჯერ ერთი, ჩვენ უნდა ვამოქმედოთ USB Client რეჟიმში და არა USB Host-ში და მეორეც, უნდა გადავწყვიტოთ, როგორ ამოიცნობენ ერთმანეთს მოწყობილობები. არსებობს მრავალი დრაივერი ეგრეთ წოდებული USB გაჯეტებისთვის (დასახელებული ლინუქსის ბირთვის ქვესისტემის მიხედვით), რომლებიც საშუალებას გაძლევთ მიბაძოთ სხვადასხვა ტიპის USB მოწყობილობები: ქსელის ადაპტერი, აუდიო ბარათი, კლავიატურა და მაუსი, ფლეშ დრაივი, კამერა, კონსოლი სერიული საშუალებით. პორტი. ვინაიდან ჩვენი მოწყობილობა იმუშავებს ქსელთან, ჩვენთვის საუკეთესოა Ethernet ადაპტერის ემულაცია.

არსებობს სამი Ethernet-over-USB სტანდარტი:

• დისტანციური NDIS (RNDIS). Microsoft-ის მოძველებული სტანდარტი, რომელიც ძირითადად გამოიყენება Windows XP-ის დროს.
• Ethernet კონტროლის მოდელი (ECM). მარტივი სტანდარტი, რომელიც აერთიანებს Ethernet ჩარჩოებს USB პაკეტებში. შესანიშნავია სადენიანი მოდემებისთვის USB კავშირით, სადაც მოსახერხებელია ჩარჩოების გადატანა დამუშავების გარეშე, მაგრამ მისი სიმარტივისა და USB ავტობუსის შეზღუდვის გამო, ეს არ არის ძალიან სწრაფი.
• Ethernet ემულაციის მოდელი (EEM). უფრო ჭკვიანი პროტოკოლი, რომელიც ითვალისწინებს USB შეზღუდვებს და ოპტიმალურად აერთიანებს მრავალ ჩარჩოს ერთში, რაც ზრდის გამტარუნარიანობას.
• ქსელის კონტროლის მოდელი (NCM). უახლესი პროტოკოლი. აქვს EEM-ის უპირატესობები და კიდევ უფრო ოპტიმიზებს ავტობუსის გამოცდილებას.

იმისათვის, რომ რომელიმე ამ პროტოკოლმა ჩვენს დაფაზე იმუშაოს, როგორც ყოველთვის, გარკვეული სირთულეები მოგვიწევს. იმის გამო, რომ Allwinner დაინტერესებულია მხოლოდ ბირთვის Android ნაწილებით, მხოლოდ Android Gadget მუშაობს ნორმალურად - კოდი, რომელიც ახორციელებს კომუნიკაციას adb-თან, მოწყობილობის ექსპორტს MTP პროტოკოლით და ფლეშ დრაივის ემულაციას Android მოწყობილობებზე. თავად Android გაჯეტი ასევე მხარს უჭერს RNDIS პროტოკოლს, მაგრამ ის გატეხილია Allwinner ბირთვში. თუ ცდილობთ ბირთვის შედგენას ნებისმიერი სხვა USB გაჯეტით, მოწყობილობა უბრალოდ არ გამოჩნდება სისტემაში, რაც არ უნდა გააკეთოთ.
პრობლემის გადასაჭრელად, მეგობრულად, თქვენ უნდა იპოვოთ ადგილი, სადაც USB კონტროლერი ინიციალიზებულია დეველოპერების მიერ შეცვლილი Android გაჯეტის android.c კოდში, მაგრამ ასევე არსებობს გამოსავალი, რომ მინიმუმ Ethernet ემულაცია მოხდეს. USB მუშაობა:

--- sun8i/drivers/usb/sunxi_usb/udc/sunxi_udc.c 2016-04-16 15:01:40.427088792 +0300
+++ sun8i/drivers/usb/sunxi_usb/udc/sunxi_udc.c 2016-04-16 15:01:45.339088792 +0300
@@ -57,7 +57,7 @@
 static sunxi_udc_io_t g_sunxi_udc_io;
 static u32 usb_connect = 0;
 static u32 is_controller_alive = 0;
-static u8 is_udc_enable = 0;   /* is udc enable by gadget? */
+static u8 is_udc_enable = 1;   /* is udc enable by gadget? */
 
 #ifdef CONFIG_USB_SUNXI_USB0_OTG
 static struct platform_device *g_udc_pdev = NULL;

ეს პაჩი აიძულებს USB კლიენტის რეჟიმს, რაც საშუალებას გაძლევთ გამოიყენოთ ჩვეულებრივი USB გაჯეტები Linux-დან.
ახლა თქვენ უნდა აღადგინოთ ბირთვი ამ პაჩით და საჭირო გაჯეტით. მე ავირჩიე EEM იმიტომ, რომ... ტესტის შედეგების მიხედვით, ის უფრო პროდუქტიული აღმოჩნდა, ვიდრე NCM.
Armbian გუნდი უზრუნველყოფს ძალიან მარტივი და მოსახერხებელი შეკრების სისტემა ყველა მხარდაჭერილი დაფისთვის განაწილებაში. უბრალოდ ჩამოტვირთეთ, განათავსეთ ჩვენი პაჩი userpatches/kernel/sun8i-default/otg.patch, დაარედაქტირე ცოტა compile.sh და აირჩიეთ საჭირო გაჯეტი:

ბირთვი კომპილირებული იქნება deb პაკეტში, რომლის დამონტაჟებაც არ იქნება რთული დაფაზე dpkg.
რჩება მხოლოდ დაფის დაკავშირება USB-ის საშუალებით და ჩვენი ახალი ქსელის ადაპტერის კონფიგურაცია, რათა მივიღოთ მისამართი DHCP-ით. ამისათვის თქვენ უნდა დაამატოთ რაღაც მსგავსი /etc/network/interfaces:

auto usb0
        iface usb0 inet dhcp
        hwaddress ether c2:46:98:49:3e:9d
        pre-up /bin/sh -c 'echo 2 > /sys/bus/platform/devices/sunxi_usb_udc/otg_role'

MAC მისამართის ხელით დაყენება ჯობია, რადგან... ეს იქნება შემთხვევითი ყოველ ჯერზე, როდესაც მოწყობილობა გადაიტვირთება, რაც მოუხერხებელია და პრობლემური.
ჩვენ ვუკავშირდებით MicroUSB კაბელს OTG კონექტორთან, ვაკავშირებთ ენერგიას როუტერიდან (მისი მიწოდება შესაძლებელია სავარცხლის 2 და 3 ქინძისთავებზე და არა მხოლოდ დენის კონექტორზე).

რჩება მხოლოდ როუტერის კონფიგურაცია. საკმარისია დააინსტალიროთ პაკეტი EEM დრაივერით და დაამატოთ ჩვენი ახალი USB ქსელის მოწყობილობა ლოკალური firewall ზონის ხიდზე:

opkg install kmod-usb-net-cdc-eem

VPN გვირაბამდე მთელი ტრაფიკის გადასატანად, თქვენ უნდა დაამატოთ SNAT წესი დაფის IP მისამართს როუტერის მხარეს, ან გაავრცელოთ დაფის მისამართი, როგორც კარიბჭის მისამართი dnsmasq-ის საშუალებით. ეს უკანასკნელი კეთდება შემდეგი ხაზის დამატებით /etc/dnsmasq.conf:

dhcp-option = tag:lan, option:router, 192.168.1.100

სადაც 192.168.1.100 — თქვენი დაფის IP მისამართი. არ დაგავიწყდეთ როუტერის მისამართის შეყვანა ქსელის პარამეტრებში თავად დაფაზე!

მელამინის ღრუბელი გამოიყენებოდა დაფის კონტაქტების იზოლირებისთვის როუტერის კონტაქტებისგან. ასეთი რაღაც გამოვიდა:

დასკვნა

USB-ით ქსელი მუშაობს საოცრად სწრაფად: 100-120 მბ/წმ, ნაკლებს ველოდი. OpenVPN გადის დაახლოებით 70 Mb/s დაშიფრულ ტრაფიკს, რაც ასევე არც თუ ისე ბევრია, მაგრამ საკმარისია ჩემი საჭიროებისთვის. როუტერის სახურავი არ იხურება მჭიდროდ, ტოვებს მცირე უფსკრული. ესთეტებს შეუძლიათ ამოიღონ Ethernet და USB Host კონექტორები დაფიდან, რაც საშუალებას მისცემს სახურავი მთლიანად დაიხუროს და კვლავ დარჩეს გარკვეული ადგილი.
უმჯობესია არ ჩაერთოთ ასეთ პორნოგრაფიაში და იყიდოთ ტურის ომნია.

წყარო: www.habr.com