VPN სახლის LAN-მდე

TL; DR: მე ვაყენებ Wireguard-ს VPS-ზე, ვუკავშირდები მას ჩემი სახლის როუტერიდან OpenWRT-ზე და ვუშვებ ჩემს სახლის ქვექსელს ჩემი ტელეფონიდან.

თუ თქვენ ინახავთ თქვენს პერსონალურ ინფრასტრუქტურას სახლის სერვერზე ან გაქვთ ბევრი IP-მართული მოწყობილობა სახლში, მაშინ ალბათ გსურთ გქონდეთ წვდომა მათზე სამსახურიდან, ავტობუსიდან, მატარებლით და მეტროდან. ყველაზე ხშირად, მსგავსი ამოცანებისთვის, IP შეძენილია პროვაიდერისგან, რის შემდეგაც თითოეული სერვისის პორტები გადაგზავნილია გარედან.

ამის ნაცვლად, მე დავაყენე VPN ჩემი სახლის LAN-ზე წვდომით. ამ გადაწყვეტის უპირატესობები:

• გამჭვირვალობა: ნებისმიერ შემთხვევაში თავს ისე ვგრძნობ, როგორც სახლში.
• განმუხტვის: დააყენეთ და დაივიწყეთ, არ არის საჭირო თითოეული პორტის გადაგზავნაზე ფიქრი.
• ფასი: მე უკვე მაქვს VPS; ასეთი ამოცანებისთვის თანამედროვე VPN რესურსების თვალსაზრისით თითქმის უფასოა.
• უსაფრთხოების: არაფერი გამოსდის, შეგიძლიათ დატოვოთ MongoDB პაროლის გარეშე და არავინ მოგპარავს თქვენს მონაცემებს.

როგორც ყოველთვის, არის უარყოფითი მხარეები. პირველ რიგში, თქვენ მოგიწევთ თითოეული კლიენტის ცალკე კონფიგურაცია, მათ შორის სერვერის მხარეს. ეს შეიძლება იყოს მოუხერხებელი, თუ თქვენ გაქვთ დიდი რაოდენობით მოწყობილობები, საიდანაც გსურთ სერვისებზე წვდომა. მეორეც, თქვენ შეიძლება გქონდეთ სამუშაო LAN იგივე დიაპაზონით - თქვენ მოგიწევთ ამ პრობლემის მოგვარება.

ჩვენ გვჭირდება:

1. VPS (ჩემს შემთხვევაში Debian 10-ზე).
2. OpenWRT როუტერი.
3. ტელეფონის ნომერი.
4. სახლის სერვერი რამდენიმე ვებ სერვისით ტესტირებისთვის.
5. სწორი ხელები.

VPN ტექნოლოგია, რომელსაც გამოვიყენებ არის Wireguard. ამ გადაწყვეტას ასევე აქვს ძლიერი და სუსტი მხარეები, მათ არ აღვწერ. VPN-სთვის მე ვიყენებ ქვექსელს 192.168.99.0/24და ჩემს სახლში 192.168.0.0/24.

VPS კონფიგურაცია

თუნდაც ყველაზე უბედური VPS თვეში 30 მანეთი საკმარისია ბიზნესისთვის, თუ გაგიმართლა გქონდეს ერთი გატაცება.

მე ვასრულებ ყველა ოპერაციას სერვერზე, როგორც root სუფთა მანქანაზე; საჭიროების შემთხვევაში, დავამატე `sudo` და ადაპტირება ინსტრუქციები.

Wireguard-ს არ ჰქონდა დრო სტაბილში შესაყვანად, ამიტომ გავუშვი `apt edit-sources` და დავამატე backports ორ სტრიქონში ფაილის ბოლოს:

deb http://deb.debian.org/debian/ buster-backports main
# deb-src http://deb.debian.org/debian/ buster-backports main


პაკეტი დამონტაჟებულია ჩვეულებრივი გზით: apt update && apt install wireguard.

შემდეგი, ჩვენ ვქმნით გასაღების წყვილს: wg genkey | tee /etc/wireguard/vps.private | wg pubkey | tee /etc/wireguard/vps.public. გაიმეორეთ ეს ოპერაცია კიდევ ორჯერ წრეში მონაწილე თითოეული მოწყობილობისთვის. შეცვალეთ გზა გასაღები ფაილებისკენ სხვა მოწყობილობისთვის და არ დაივიწყოთ პირადი გასაღებების უსაფრთხოება.

ახლა ჩვენ ვამზადებთ კონფიგურაციას. Შეიტანოს /etc/wireguard/wg0.conf კონფიგურაცია მოთავსებულია:

[Interface] Address = 192.168.99.1/24
ListenPort = 57953
PrivateKey = 0JxJPUHz879NenyujROVK0YTzfpmzNtbXmFwItRKdHs=

[Peer] # OpenWRT
PublicKey = 36MMksSoKVsPYv9eyWUKPGMkEs3HS+8yIUqMV8F+JGw=
AllowedIPs = 192.168.99.2/32,192.168.0.0/24

[Peer] # Smartphone
PublicKey = /vMiDxeUHqs40BbMfusB6fZhd+i5CIPHnfirr5m3TTI=
AllowedIPs = 192.168.99.3/32

განყოფილებაში [Interface] მითითებულია თავად აპარატის პარამეტრები და შიგნით [Peer] — პარამეტრები მათთვის, ვინც დაუკავშირდება მას. IN AllowedIPs მძიმეებით გამოყოფილი, მითითებულია ქვექსელები, რომლებიც გადაიგზავნება შესაბამის თანატოლებთან. ამის გამო VPN ქვექსელში „კლიენტის“ მოწყობილობების თანატოლებს უნდა ჰქონდეთ ნიღაბი /32, ყველაფერი დანარჩენი იქნება სერვერის მიერ. ვინაიდან საშინაო ქსელი განხორციელდება OpenWRT-ის მეშვეობით, in AllowedIPs ჩვენ ვამატებთ შესაბამისი თანატოლის მთავარ ქვექსელს. IN PrivateKey и PublicKey დაშალეთ VPS-სთვის გენერირებული პირადი გასაღები და შესაბამისად თანატოლების საჯარო გასაღებები.

VPS-ზე რჩება მხოლოდ ბრძანების გაშვება, რომელიც გამოიტანს ინტერფეისს და დაამატებს მას ავტორუნში: systemctl enable --now wg-quick@wg0. მიმდინარე კავშირის სტატუსის შემოწმება შესაძლებელია ბრძანებით wg.

OpenWRT კონფიგურაცია

ყველაფერი, რაც გჭირდებათ ამ ეტაპისთვის, არის luci მოდულში (OpenWRT ვებ ინტერფეისი). შედით სისტემაში და გახსენით პროგრამული უზრუნველყოფის ჩანართი სისტემის მენიუში. OpenWRT არ ინახავს ქეშს მოწყობილობაზე, ამიტომ საჭიროა განაახლოთ ხელმისაწვდომი პაკეტების სია მწვანე განახლების სიების ღილაკზე დაწკაპუნებით. დასრულების შემდეგ, ჩასვით ფილტრში luci-app-wireguard და, უყურებთ ფანჯარას ლამაზი დამოკიდებულების ხის მქონე, დააინსტალირეთ ეს პაკეტი.

ქსელების მენიუში აირჩიეთ ინტერფეისები და დააწკაპუნეთ მწვანე ღილაკზე „ახალი ინტერფეისის დამატება“ არსებულის სიის ქვეშ. სახელის შეყვანის შემდეგ (ასევე wg0 ჩემს შემთხვევაში) და WireGuard VPN პროტოკოლის არჩევისას, იხსნება პარამეტრების ფორმა ოთხი ჩანართი.

ზოგადი პარამეტრების ჩანართზე, თქვენ უნდა შეიყვანოთ OpenWRT-სთვის მომზადებული პირადი გასაღები და IP მისამართი ქვექსელთან ერთად.

Firewall-ის პარამეტრების ჩანართზე დააკავშირეთ ინტერფეისი ლოკალურ ქსელში. ამ გზით, VPN-დან კავშირები თავისუფლად შევა ადგილობრივ ტერიტორიაზე.

Peers ჩანართზე დააწკაპუნეთ ერთადერთ ღილაკს, რის შემდეგაც ავსებთ VPS სერვერის მონაცემებს განახლებული ფორმით: საჯარო გასაღები, დაშვებული IP-ები (თქვენ უნდა გადაიყვანოთ მთელი VPN ქვექსელი სერვერზე). Endpoint Host-ში და Endpoint Port-ში შეიყვანეთ VPS-ის IP მისამართი პორტით, რომელიც ადრე იყო მითითებული ListenPort დირექტივაში, შესაბამისად. შეამოწმეთ მარშრუტის ნებადართული IP-ები მარშრუტების შესაქმნელად. და აუცილებლად შეავსეთ Persistent Keep Alive, წინააღმდეგ შემთხვევაში გვირაბი VPS-დან როუტერამდე გატყდება, თუ ეს უკანასკნელი NAT-ის უკან დგას.

ამის შემდეგ შეგიძლიათ შეინახოთ პარამეტრები, შემდეგ კი ინტერფეისების სიის გვერდზე დააწკაპუნეთ შენახვა და გამოიყენეთ. საჭიროების შემთხვევაში, პირდაპირ გაუშვით ინტერფეისი გადატვირთვის ღილაკით.

სმარტფონის დაყენება

თქვენ დაგჭირდებათ Wireguard კლიენტი, ის ხელმისაწვდომია F-Droid, Google Play და App Store. აპლიკაციის გახსნის შემდეგ დააჭირეთ პლიუს ნიშანს და ინტერფეისის განყოფილებაში შეიყვანეთ კავშირის სახელი, პირადი გასაღები (საჯარო გასაღები ავტომატურად გენერირებული იქნება) და ტელეფონის მისამართი /32 ნიღბით. Peer განყოფილებაში მიუთითეთ VPS საჯარო გასაღები, მისამართების წყვილი: VPN სერვერის პორტი, როგორც საბოლოო წერტილი, და მარშრუტები VPN და სახლის ქვექსელში.

თამამი ეკრანის ანაბეჭდი ტელეფონიდან

დააწკაპუნეთ ფლოპი დისკზე კუთხეში, ჩართეთ და...

დასრულების

ახლა თქვენ შეგიძლიათ შეხვიდეთ სახლის მონიტორინგზე, შეცვალოთ როუტერის პარამეტრები ან გააკეთოთ რაიმე IP დონეზე.

სკრინშოტები ადგილობრივი ტერიტორიიდან

წყარო: www.habr.com