ເລັ່ງ OpenVPN ໃນເຣົາເຕີ Openwrt. ສະ​ບັບ​ທາງ​ເລືອກ​ໂດຍ​ບໍ່​ມີ​ການ soldering ເຫຼັກ​ກ້າ​ແລະ hardware extremism​

ສະບາຍດີທຸກຄົນ, ຂ້າພະເຈົ້າໄດ້ອ່ານບໍ່ດົນມານີ້ ບົດຄວາມເກົ່າ ກ່ຽວກັບວິທີທີ່ທ່ານສາມາດເລັ່ງ OpenVPN ໃນ router ໂດຍການໂອນການເຂົ້າລະຫັດໄປຫາຮາດແວທີ່ແຍກຕ່າງຫາກ, ເຊິ່ງຖືກ soldered ພາຍໃນ router ຕົວມັນເອງ. ຂ້ອຍມີກໍລະນີທີ່ຄ້າຍຄືກັນກັບຜູ້ຂຽນ - TP-Link WDR3500 ກັບ 128 megabytes ຂອງ RAM ແລະໂປເຊດເຊີທີ່ບໍ່ດີທີ່ບໍ່ສາມາດຮັບມືກັບການເຂົ້າລະຫັດ tunnel ໄດ້ຢ່າງສົມບູນ. ຢ່າງໃດກໍຕາມ, ຂ້າພະເຈົ້າບໍ່ຕ້ອງການທີ່ຈະເຂົ້າໄປໃນ router ທີ່ມີທາດເຫຼັກ soldering ໄດ້. ຂ້າງລຸ່ມນີ້ແມ່ນປະສົບການຂອງຂ້ອຍໃນການເຄື່ອນຍ້າຍ OpenVPN ໄປຫາຊິ້ນສ່ວນຂອງຮາດແວແຍກຕ່າງຫາກທີ່ມີການສໍາຮອງຢູ່ໃນ router ໃນກໍລະນີຂອງອຸປະຕິເຫດ.

ຈຸດປະສົງ

ມີເຣົາເຕີ TP-Link WDR3500 ແລະ Orange Pi Zero H2. ພວກເຮົາຕ້ອງການ Orange Pi ເຂົ້າລະຫັດອຸໂມງຕາມປົກກະຕິ, ແລະຖ້າມີບາງສິ່ງບາງຢ່າງເກີດຂຶ້ນກັບມັນ, ການປະມວນຜົນ VPN ຈະກັບຄືນໄປຫາ router. ການຕັ້ງຄ່າ Firewall ທັງໝົດໃນ router ຄວນເຮັດວຽກຄືເກົ່າ. ແລະໂດຍທົ່ວໄປ, ການເພີ່ມຮາດແວເພີ່ມເຕີມຄວນຈະມີຄວາມໂປ່ງໃສແລະບໍ່ສາມາດສັງເກດເຫັນໄດ້ກັບທຸກຄົນ. OpenVPN ເຮັດວຽກຜ່ານ TCP, ອະແດັບເຕີ TAP ຢູ່ໃນໂໝດຂົວ (ເຊີບເວີ-ຂົວ).

ການຕັດສິນໃຈ

ແທນທີ່ຈະເຊື່ອມຕໍ່ຜ່ານ USB, ຂ້າພະເຈົ້າໄດ້ຕັດສິນໃຈໃຊ້ພອດຫນຶ່ງຂອງ router ແລະເຊື່ອມຕໍ່ subnets ທັງຫມົດທີ່ມີຂົວ VPN ກັບ Orange Pi. ມັນປະກົດວ່າຮາດແວຈະວາງສາຍຢູ່ໃນເຄືອຂ່າຍດຽວກັນກັບເຊີບເວີ VPN ໃນເຣົາເຕີ. ຫຼັງຈາກນັ້ນ, ພວກເຮົາຕິດຕັ້ງເຄື່ອງແມ່ຂ່າຍດຽວກັນກັບ Orange Pi, ແລະໃນ router ພວກເຮົາຕັ້ງບາງປະເພດຂອງ proxy ເພື່ອໃຫ້ມັນສົ່ງການເຊື່ອມຕໍ່ຂາເຂົ້າທັງຫມົດໄປຫາເຄື່ອງແມ່ຂ່າຍພາຍນອກ, ແລະຖ້າ Orange Pi ຕາຍຫຼືບໍ່ສາມາດໃຊ້ໄດ້, ຫຼັງຈາກນັ້ນໄປທີ່. ເຊີບເວີ fallback ພາຍໃນ. ຂ້ອຍເອົາ HAProxy.

ມັນ​ຫັນ​ອອກ​ເປັນ​ດັ່ງ​ນີ້​:

1. ລູກຄ້າມາຮອດ
2. ຖ້າເຄື່ອງແມ່ຂ່າຍພາຍນອກບໍ່ສາມາດໃຊ້ໄດ້, ດັ່ງທີ່ຜ່ານມາ, ການເຊື່ອມຕໍ່ໄປຫາເຄື່ອງແມ່ຂ່າຍພາຍໃນ
3. ຖ້າມີ, ລູກຄ້າໄດ້ຮັບການຍອມຮັບໂດຍ Orange Pi
4. VPN ຢູ່ໃນ Orange Pi ຖອດລະຫັດແພັກເກັດ ແລະຖົ່ມພວກມັນກັບຄືນໃສ່ເຣົາເຕີ
5. ເຣົາເຕີຈະນຳທາງພວກມັນໄປບ່ອນໃດບ່ອນໜຶ່ງ

ຕົວຢ່າງການຈັດຕັ້ງປະຕິບັດ

ດັ່ງນັ້ນ, ໃຫ້ເວົ້າວ່າພວກເຮົາມີສອງເຄືອຂ່າຍໃນ router - main(1) ແລະ guest(2), ສໍາລັບແຕ່ລະຄົນມີເຄື່ອງແມ່ຂ່າຍ OpenVPN ສໍາລັບການເຊື່ອມຕໍ່ພາຍນອກ.

ການຕັ້ງຄ່າເຄືອຂ່າຍ

ພວກເຮົາຕ້ອງການເສັ້ນທາງທັງສອງເຄືອຂ່າຍໂດຍຜ່ານພອດດຽວ, ດັ່ງນັ້ນພວກເຮົາສ້າງ 2 VLANs.

ໃນເຣົາເຕີ, ໃນພາກ Network/Switch, ສ້າງ VLANs (ຕົວຢ່າງ 1 ແລະ 2) ແລະເປີດໃຊ້ພວກມັນໃນຮູບແບບ tagged ໃນພອດທີ່ຕ້ອງການ, ເພີ່ມ eth0.1 ແລະ eth0.2 ທີ່ສ້າງໃຫມ່ໃສ່ເຄືອຂ່າຍທີ່ສອດຄ້ອງກັນ (ຕົວຢ່າງ: ເພີ່ມພວກມັນໃສ່ brigde).

ໃນ Orange Pi ພວກເຮົາສ້າງສອງ VLAN interfaces (ຂ້ອຍມີ Archlinux ARM + netctl):

/etc/netctl/vlan-main

Description='Main VLAN on eth0'
Interface=vlan-main
Connection=vlan
BindsToInterfaces=eth0
VLANID=1
IP=no

/etc/netctl/vlan-guest

Description='Guest VLAN on eth0'
Interface=vlan-guest
Connection=vlan
BindsToInterfaces=eth0
VLANID=2
IP=no

ແລະພວກເຮົາສ້າງຂົວສອງແຫ່ງໃຫ້ພວກມັນທັນທີ:

/etc/netctl/br-main

Description="Main Bridge connection"
Interface=br-main
Connection=bridge
BindsToInterfaces=(vlan-main)
IP=dhcp

/etc/netctl/br-guest

Description="Guest Bridge connection"
Interface=br-guest
Connection=bridge
BindsToInterfaces=(vlan-guest)
IP=dhcp

ເປີດໃຊ້ autostart ສໍາລັບທັງຫມົດ 4 ໂປຣໄຟລ໌ (netctl ເປີດ). ໃນປັດຈຸບັນຫຼັງຈາກການປິດເປີດໃຫມ່, Orange Pi ຈະວາງສາຍຢູ່ໃນສອງເຄືອຂ່າຍທີ່ຕ້ອງການ. ພວກເຮົາກຳນົດຄ່າທີ່ຢູ່ສ່ວນຕິດຕໍ່ໃນ Orange Pi ໃນ Static Leases ໃນ router.

ip addr ສະແດງ

4: vlan-main@eth0: <BROADCAST,MULTICAST,PROMISC,UP,LOWER_UP> mtu 1500 qdisc noqueue master br-main state UP group default qlen 1000
    link/ether 02:42:f0:f8:23:c8 brd ff:ff:ff:ff:ff:ff
    inet6 fe80::42:f0ff:fef8:23c8/64 scope link 
       valid_lft forever preferred_lft forever

5: vlan-guest@eth0: <BROADCAST,MULTICAST,PROMISC,UP,LOWER_UP> mtu 1500 qdisc noqueue master br-guest state UP group default qlen 1000
    link/ether 02:42:f0:f8:23:c8 brd ff:ff:ff:ff:ff:ff
    inet6 fe80::42:f0ff:fef8:23c8/64 scope link 
       valid_lft forever preferred_lft forever

6: br-main: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
    link/ether 52:c7:0f:89:71:6e brd ff:ff:ff:ff:ff:ff
    inet 192.168.1.3/24 brd 192.168.1.255 scope global dynamic noprefixroute br-main
       valid_lft 29379sec preferred_lft 21439sec
    inet6 fe80::50c7:fff:fe89:716e/64 scope link 
       valid_lft forever preferred_lft forever

7: br-guest: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000
    link/ether ee:ea:19:31:34:32 brd ff:ff:ff:ff:ff:ff
    inet 192.168.2.3/24 brd 192.168.2.255 scope global br-guest
       valid_lft forever preferred_lft forever
    inet6 fe80::ecea:19ff:fe31:3432/64 scope link 
       valid_lft forever preferred_lft forever

ຕັ້ງຄ່າ VPN

ຕໍ່ໄປ, ພວກເຮົາຄັດລອກການຕັ້ງຄ່າສໍາລັບ OpenVPN ແລະຄີຈາກ router. ປົກກະຕິແລ້ວສາມາດພົບການຕັ້ງຄ່າໃນ /tmp/etc/openvpn*.conf

ໂດຍຄ່າເລີ່ມຕົ້ນ, openvpn ແລ່ນຢູ່ໃນໂຫມດ TAP ແລະ server-bridge ຮັກສາການໂຕ້ຕອບຂອງມັນບໍ່ເຄື່ອນໄຫວ. ເພື່ອໃຫ້ທຸກສິ່ງທຸກຢ່າງເຮັດວຽກ, ທ່ານຈໍາເປັນຕ້ອງເພີ່ມສະຄິບທີ່ດໍາເນີນການເມື່ອການເຊື່ອມຕໍ່ຖືກເປີດໃຊ້.

/etc/openvpn/main.conf

dev vpn-main
dev-type tap

client-to-client
persist-key
persist-tun
ca /etc/openvpn/main/ca.crt
cert /etc/openvpn/main/main.crt
cipher AES-256-CBC
comp-lzo yes
dh /etc/openvpn/main/dh2048.pem
ifconfig-pool-persist /etc/openvpn/ipp_main.txt
keepalive 10 60
key /etc/openvpn/main/main.key
port 443
proto tcp
push "redirect-gateway"
push "dhcp-option DNS 192.168.1.1"
server-bridge 192.168.1.3 255.255.255.0 192.168.1.200 192.168.1.229
status /tmp/openvpn.main.status
verb 3

setenv profile_name main
script-security 2
up /etc/openvpn/vpn-up.sh

/etc/openvpn/vpn-up.sh

#!/bin/sh

ifconfig vpn-${profile_name} up
brctl addif br-${profile_name} vpn-${profile_name}

ດັ່ງນັ້ນ, ທັນທີທີ່ການເຊື່ອມຕໍ່ເກີດຂຶ້ນ, vpn-main interface ຈະຖືກເພີ່ມເຂົ້າໃນ br-main. ສໍາລັບຕາຂ່າຍໄຟຟ້າຂອງແຂກ - ເຊັ່ນດຽວກັນ, ເຖິງຊື່ການໂຕ້ຕອບແລະທີ່ຢູ່ໃນ server-bridge.

ກຳນົດເສັ້ນທາງການຮ້ອງຂໍຈາກພາຍນອກ ແລະ ຕົວແທນ

ໃນຂັ້ນຕອນນີ້, Orange Pi ສາມາດຍອມຮັບການເຊື່ອມຕໍ່ແລະເຊື່ອມຕໍ່ລູກຄ້າກັບເຄືອຂ່າຍທີ່ຕ້ອງການ. ສິ່ງທີ່ຍັງເຫຼືອແມ່ນການຕັ້ງຄ່າຕົວແທນຂອງການເຊື່ອມຕໍ່ຂາເຂົ້າຢູ່ໃນ router.

ພວກເຮົາໂອນເຊີບເວີ VPN ຂອງ router ໄປຫາພອດອື່ນ, ຕິດຕັ້ງ HAProxy ໃນ router ແລະ configure:

/etc/haproxy.cfg

global
        maxconn 256
        uid 0
        gid 0
        daemon

defaults
        retries 1
        contimeout 1000
        option splice-auto

listen guest_vpn
        bind :444
        mode tcp
        server 0-orange 192.168.2.3:444 check
        server 1-local  127.0.0.1:4444 check backup

listen main_vpn
        bind :443
        mode tcp
        server 0-orange 192.168.1.3:443 check
        server 1-local  127.0.0.1:4443 check backup

ມ່ວນ

ຖ້າທຸກຢ່າງເປັນໄປຕາມແຜນການ, ລູກຄ້າຈະປ່ຽນໄປໃຊ້ Orange Pi ແລະໂປເຊດເຊີຂອງເຣົາເຕີຈະບໍ່ຮ້ອນອີກຕໍ່ໄປ, ແລະຄວາມໄວ VPN ຈະເພີ່ມຂຶ້ນຢ່າງຫຼວງຫຼາຍ. ໃນເວລາດຽວກັນ, ກົດລະບຽບເຄືອຂ່າຍທັງຫມົດທີ່ລົງທະບຽນຢູ່ໃນ router ຈະຍັງຄົງກ່ຽວຂ້ອງ. ໃນກໍລະນີທີ່ເກີດອຸປະຕິເຫດໃນ Orange Pi, ມັນຈະລົ້ມລົງແລະ HAProxy ຈະໂອນລູກຄ້າໄປຫາເຄື່ອງແມ່ຂ່າຍທ້ອງຖິ່ນ.

ຂໍ​ຂອບ​ໃຈ​ທ່ານ​ສໍາ​ລັບ​ຄວາມ​ສົນ​ໃຈ​, ຄໍາ​ແນະ​ນໍາ​ແລະ​ການ​ແກ້​ໄຂ​ແມ່ນ​ຍິນ​ດີ​ຕ້ອນ​ຮັບ​.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com