ແລ່ນເຊີບເວີ VPN ຢູ່ເບື້ອງຫຼັງ NAT ຂອງຜູ້ໃຫ້ບໍລິການ

ບົດຄວາມກ່ຽວກັບວິທີທີ່ຂ້ອຍຈັດການກັບເຄື່ອງແມ່ຂ່າຍ VPN ທີ່ຢູ່ເບື້ອງຫຼັງ NAT ຂອງຜູ້ໃຫ້ບໍລິການບ້ານຂອງຂ້ອຍ (ໂດຍບໍ່ມີທີ່ຢູ່ IP ສີຂາວ). ໃຫ້ຂ້ອຍຈອງທັນທີ: ວ່າ ປະສິດທິພາບຂອງການປະຕິບັດນີ້ໂດຍກົງແມ່ນຂຶ້ນກັບປະເພດຂອງ NAT ທີ່ໃຊ້ໂດຍຜູ້ໃຫ້ບໍລິການຂອງທ່ານ, ເຊັ່ນດຽວກັນກັບ router.
ດັ່ງນັ້ນ, ຂ້າພະເຈົ້າຈໍາເປັນຕ້ອງເຊື່ອມຕໍ່ຈາກໂທລະສັບສະຫຼາດ Android ຂອງຂ້າພະເຈົ້າກັບຄອມພິວເຕີເຮືອນຂອງຂ້າພະເຈົ້າ, ອຸປະກອນທັງສອງແມ່ນເຊື່ອມຕໍ່ກັບອິນເຕີເນັດໂດຍຜ່ານ NATs ຜູ້ໃຫ້ບໍລິການ, ບວກກັບຄອມພິວເຕີແມ່ນເຊື່ອມຕໍ່ໂດຍຜ່ານ router ເຮືອນ, ເຊິ່ງຍັງເຊື່ອມຕໍ່ NATs.
ໂຄງການຄລາສສິກທີ່ໃຊ້ VPS / VDS ທີ່ເຊົ່າທີ່ມີທີ່ຢູ່ IP ສີຂາວ, ເຊັ່ນດຽວກັນກັບການເຊົ່າທີ່ຢູ່ IP ສີຂາວຈາກຜູ້ໃຫ້ບໍລິການ, ບໍ່ໄດ້ຖືກພິຈາລະນາສໍາລັບເຫດຜົນຫຼາຍຢ່າງ.
ຄໍານຶງເຖິງ ປະສົບການຈາກບົດຄວາມທີ່ຜ່ານມາ, ໄດ້ດໍາເນີນການທົດລອງຫຼາຍໆຄັ້ງກັບ STUNs ແລະ NATs ຂອງຜູ້ໃຫ້ບໍລິການ. ຂ້າພະເຈົ້າໄດ້ຕັດສິນໃຈເຮັດການທົດລອງເລັກນ້ອຍໂດຍການແລ່ນຄໍາສັ່ງໃນ router ເຮືອນທີ່ໃຊ້ OpenWRT firmware:

$ stun stun.sipnet.ru

ໄດ້​ຮັບ​ຜົນ​:

ລູກຄ້າ STUN ລຸ້ນ 0.97
ປະຖົມ: ແຜນທີ່ເອກະລາດ, ການກັ່ນຕອງເອກະລາດ, ພອດສຸ່ມ, ຈະ hairpin
ມູນຄ່າກັບຄືນແມ່ນ 0x000002

ການແປຕົວຫນັງສື:
ແຜນທີ່ເອກະລາດ - ແຜນທີ່ເອກະລາດ
Independent Filter - ການກັ່ນຕອງເອກະລາດ
port random - ພອດສຸ່ມ
will hairpin - ຈະ​ມີ hairpin ໄດ້​
ແລ່ນຄໍາສັ່ງທີ່ຄ້າຍຄືກັນຢູ່ໃນ PC ຂອງຂ້ອຍ, ຂ້ອຍໄດ້ຮັບ:

ລູກຄ້າ STUN ລຸ້ນ 0.97
ປະຖົມ: ແຜນທີ່ເອກະລາດ, Port Dependent Filter, ພອດສຸ່ມ, ຈະ hairpin
ມູນຄ່າກັບຄືນແມ່ນ 0x000006

Port dependent Filter - ຕົວກອງທີ່ຂຶ້ນກັບພອດ
ຄວາມແຕກຕ່າງຂອງຜົນໄດ້ຮັບຂອງຄໍາສັ່ງໄດ້ຊີ້ໃຫ້ເຫັນວ່າ router ເຮືອນກໍາລັງເຮັດໃຫ້ "ການປະກອບສ່ວນ" ຂອງຕົນໃນຂະບວນການສົ່ງແພັກເກັດຈາກອິນເຕີເນັດ; ນີ້ແມ່ນສະແດງອອກໃນຄວາມຈິງທີ່ວ່າໃນເວລາທີ່ປະຕິບັດຄໍາສັ່ງໃນຄອມພິວເຕີ:

stun stun.sipnet.ru -p 11111 -v

ຂ້ອຍໄດ້ຮັບຜົນໄດ້ຮັບ:

...
MappedAddress = XX.1XX.1X4.2XX:4398
...

ໃນເວລານີ້, ກອງປະຊຸມ UDP ໄດ້ເປີດສໍາລັບບາງເວລາ, ຖ້າໃນເວລານີ້ທ່ານສົ່ງຄໍາຮ້ອງຂໍ UDP (ຕົວຢ່າງ: netcat XX.1XX.1X4.2XX 4398 -u), ຫຼັງຈາກນັ້ນຄໍາຮ້ອງຂໍມາຮອດ router ເຮືອນ, ເຊິ່ງແມ່ນ. ຢືນຢັນໂດຍ TCPDump ແລ່ນຢູ່ເທິງມັນ, ແຕ່ຄໍາຮ້ອງຂໍບໍ່ມາຮອດຄອມພິວເຕີ - IPtables, ໃນຖານະນັກແປ NAT ໃນ router, ຫຼຸດລົງມັນ.

ແຕ່ຄວາມຈິງທີ່ວ່າຄໍາຮ້ອງຂໍ UDP ໄດ້ຜ່ານ NAT ຂອງຜູ້ໃຫ້ບໍລິການໄດ້ໃຫ້ຄວາມຫວັງສໍາລັບຄວາມສໍາເລັດ. ເນື່ອງຈາກ router ແມ່ນຢູ່ໃນເຂດອໍານາດຂອງຂ້ອຍ, ຂ້າພະເຈົ້າໄດ້ແກ້ໄຂບັນຫາໂດຍການປ່ຽນເສັ້ນທາງ UDP / 11111 port ກັບຄອມພິວເຕີ:

iptables -t nat -A PREROUTING -i eth1 -p udp -d 10.1XX.2XX.XXX --dport 11111 -j DNAT --to-destination 192.168.X.XXX

ດັ່ງນັ້ນ, ຂ້າພະເຈົ້າສາມາດເລີ່ມຕົ້ນກອງປະຊຸມ UDP ແລະໄດ້ຮັບການຮ້ອງຂໍຈາກອິນເຕີເນັດຈາກທີ່ຢູ່ IP ໃດ. ໃນເວລານີ້, ຂ້າພະເຈົ້າໄດ້ເປີດຕົວ OpenVPN-server (ມີການຕັ້ງຄ່າກ່ອນຫນ້ານີ້) ຟັງພອດ UDP/11111, ຊີ້ບອກທີ່ຢູ່ IP ພາຍນອກແລະພອດ (XX.1XX.1X4.2XX:4398) ໃນໂທລະສັບສະຫຼາດແລະເຊື່ອມຕໍ່ສົບຜົນສໍາເລັດຈາກໂທລະສັບສະຫຼາດໄປຫາ. ຄອມ​ພິວ​ເຕີ. ແຕ່ໃນການປະຕິບັດນີ້ມີບັນຫາເກີດຂຶ້ນ: ມັນເປັນສິ່ງຈໍາເປັນທີ່ຈະຮັກສາກອງປະຊຸມ UDP ຈົນກ່ວາລູກຄ້າ OpenVPN ເຊື່ອມຕໍ່ກັບເຄື່ອງແມ່ຂ່າຍ; ຂ້ອຍບໍ່ມັກທາງເລືອກທີ່ຈະເປີດຕົວລູກຄ້າ STUN ເປັນໄລຍະ - ຂ້ອຍບໍ່ຕ້ອງການທີ່ຈະເສຍເວລາໂຫຼດ. ເຊີບເວີ STUN.
ຂ້ອຍຍັງສັງເກດເຫັນການເຂົ້າ "will hairpin - ຈະ​ມີ hairpin ໄດ້​", ຮູບແບບນີ້

Hairpinning ອະນຸຍາດໃຫ້ເຄື່ອງໜຶ່ງໃນເຄືອຂ່າຍທ້ອງຖິ່ນທີ່ຢູ່ເບື້ອງຫຼັງ NAT ເຂົ້າເຖິງເຄື່ອງອື່ນໃນເຄືອຂ່າຍດຽວກັນຢູ່ທີ່ທີ່ຢູ່ພາຍນອກຂອງ router.

ດັ່ງນັ້ນ, ຂ້າພະເຈົ້າພຽງແຕ່ແກ້ໄຂບັນຫາຂອງການຮັກສາກອງປະຊຸມ UDP - ຂ້າພະເຈົ້າໄດ້ເປີດຕົວລູກຄ້າໃນຄອມພິວເຕີດຽວກັນກັບເຄື່ອງແມ່ຂ່າຍ.
ມັນເຮັດວຽກແບບນີ້:

• ເປີດຕົວລູກຄ້າ STUN ໃນພອດທ້ອງຖິ່ນ 11111
• ໄດ້ຮັບການຕອບສະໜອງດ້ວຍທີ່ຢູ່ IP ພາຍນອກ ແລະພອດ XX.1XX.1X4.2XX:4398
• ສົ່ງຂໍ້ມູນທີ່ມີທີ່ຢູ່ IP ພາຍນອກແລະພອດໄປຫາອີເມລ໌ (ການບໍລິການອື່ນແມ່ນເປັນໄປໄດ້) ທີ່ກໍາຫນົດຄ່າຢູ່ໃນໂທລະສັບສະຫຼາດ
• ເປີດເຊີບເວີ OpenVPN ໃນຄອມພິວເຕີຟັງພອດ UDP/11111
• ເປີດລູກຄ້າ OpenVPN ໃນຄອມພິວເຕີໂດຍລະບຸ XX.1XX.1X4.2XX:4398 ສໍາລັບການເຊື່ອມຕໍ່
• ໄດ້ທຸກເວລາເປີດລູກຄ້າ OpenVPN ໃນໂທລະສັບສະຫຼາດທີ່ຊີ້ບອກທີ່ຢູ່ IP ແລະພອດ (ໃນກໍລະນີຂອງຂ້ອຍ, ທີ່ຢູ່ IP ບໍ່ປ່ຽນແປງ) ເພື່ອເຊື່ອມຕໍ່.

ວິທີນີ້ຂ້ອຍສາມາດເຊື່ອມຕໍ່ກັບຄອມພິວເຕີຂອງຂ້ອຍຈາກໂທລະສັບສະຫຼາດຂອງຂ້ອຍ. ການປະຕິບັດນີ້ຊ່ວຍໃຫ້ທ່ານສາມາດເຊື່ອມຕໍ່ລູກຄ້າ OpenVPN ໃດໆ.

ການປະຕິບັດ

ມັນຈະໃຊ້ເວລາ:

# apt install openvpn stun-client sendemail

ໂດຍໄດ້ຂຽນສະຄິບສອງສາມອັນ, ສອງໄຟລ໌ການຕັ້ງຄ່າ, ແລະສ້າງໃບຢັ້ງຢືນທີ່ຈໍາເປັນ (ນັບຕັ້ງແຕ່ລູກຄ້າໃນໂທລະສັບສະຫຼາດເຮັດວຽກກັບໃບຢັ້ງຢືນເທົ່ານັ້ນ), ພວກເຮົາໄດ້ຮັບການປະຕິບັດປົກກະຕິຂອງເຄື່ອງແມ່ຂ່າຍ OpenVPN.

script ຕົ້ນຕໍໃນຄອມພິວເຕີ

# cat vpn11.sh

#!/bin/bash
until [[ -n "$iftosrv" ]]; do echo "$(date) Определяю сетевой интерфейс"; iftosrv=`ip route get 8.8.8.8 | head -n 1 | sed 's|.*dev ||' | awk '{print $1}'`; sleep 5; done
ABSOLUTE_FILENAME=`readlink -f "$0"`
DIR=`dirname "$ABSOLUTE_FILENAME"`
localport=11111
until [[ $a ]]; do
	address=`stun stun.sipnet.ru -v -p $localport 2>&1 | grep "MappedAddress" | sort | uniq | head -n 1 | sed 's/:/ /g' | awk '{print $3" "$4}'`
        ip=`echo "$address" | awk {'print $1'}`
        port=`echo "$address" | awk {'print $2'}`
	srv="openvpn --config $DIR/server.conf --port $localport --daemon"
	$srv
	echo "$(date) Сервер запущен с внешним адресом $ip:$port"
	$DIR/sendemail.sh "OpenVPN-Server" "$ip:$port"
	sleep 1
	openvpn --config $DIR/client.conf --remote $ip --port $port
	echo "$(date) Cоединение клиента с сервером разорвано"
	for i in `ps xa | grep "$srv" | grep -v grep | awk '{print $1}'`; do
		kill $i && echo "$(date) Завершен процесс сервера $i ($srv)"
		done
	echo "Жду 15 сек"
	sleep 15
	done

ສະຄຣິບສຳລັບການສົ່ງຂໍ້ມູນທາງອີເມວ:

# cat sendemail.sh 

#!/bin/bash
from="От кого"
pass="Пароль"
to="Кому"
theme="$1"
message="$2"
server="smtp.yandex.ru:587"
sendEmail -o tls=yes -f "$from" -t "$to" -s "$server" -xu "$from" -xp "$pass" -u "$theme" -m "$message"

ໄຟລ໌ການຕັ້ງຄ່າເຊີບເວີ:

# cat server.conf

proto udp
dev tun
ca      /home/vpn11-srv/ca.crt
cert    /home/vpn11-srv/server.crt
key     /home/vpn11-srv/server.key
dh      /home/vpn11-srv/dh2048.pem
server 10.2.0.0 255.255.255.0
ifconfig-pool-persist ipp.txt
tls-server
tls-auth /home/vpn11-srv/ta.key 0
tls-timeout 60
auth    SHA256
cipher  AES-256-CBC
client-to-client
keepalive 10 30
comp-lzo
max-clients 10
user nobody
group nogroup
persist-key
persist-tun
log /var/log/vpn11-server.log
verb 3
mute 20

ໄຟລ໌ການຕັ້ງຄ່າລູກຄ້າ:

# cat client.conf

client
dev tun
proto udp
ca      "/home/vpn11-srv/ca.crt"
cert    "/home/vpn11-srv/client1.crt"
key     "/home/vpn11-srv/client1.key"
tls-client
tls-auth "/home/vpn11-srv/ta.key" 1
auth SHA256
cipher AES-256-CBC
auth-nocache
comp-lzo
user nobody
group nogroup
persist-key
persist-tun
log /var/log/vpn11-clent.log
verb 3
mute 20
ping 10
ping-exit 30

ໃບຮັບຮອງຖືກສ້າງຂື້ນໂດຍໃຊ້ ບົດຂຽນນີ້.
ແລ່ນສະຄຣິບ:

# ./vpn11.sh

ໂດຍທໍາອິດເຮັດໃຫ້ມັນສາມາດປະຕິບັດໄດ້

# chmod +x vpn11.sh

ໃນດ້ານໂທລະສັບສະຫຼາດ

ໂດຍການຕິດຕັ້ງແອັບພລິເຄຊັນ OpenVPN ສໍາລັບ Android, ໂດຍໄດ້ຄັດລອກໄຟລ໌ການຕັ້ງຄ່າ, ໃບຢັ້ງຢືນແລະ configured ມັນ, ມັນໄດ້ກາຍມາເປັນນີ້:
ຂ້ອຍກວດເບິ່ງອີເມວຂອງຂ້ອຍໃນໂທລະສັບສະຫຼາດຂອງຂ້ອຍ
ຂ້ອຍແກ້ໄຂເລກພອດໃນການຕັ້ງຄ່າ
ຂ້ອຍເປີດຕົວລູກຄ້າແລະເຊື່ອມຕໍ່

ໃນຂະນະທີ່ຂຽນບົດຄວາມນີ້, ຂ້າພະເຈົ້າໄດ້ໂອນການຕັ້ງຄ່າຈາກຄອມພິວເຕີຂອງຂ້ອຍໄປໃສ່ Raspberry Pi 3 ແລະພະຍາຍາມດໍາເນີນການທັງຫມົດໃນໂມເດັມ LTE, ແຕ່ມັນບໍ່ໄດ້ຜົນ! ຜົນໄດ້ຮັບຄໍາສັ່ງ

# stun stun.ekiga.net -p 11111

ລູກຄ້າ STUN ລຸ້ນ 0.97
ປະຖົມ: ແຜນທີ່ເອກະລາດ, Port Dependent Filter, ພອດສຸ່ມ, ຈະ hairpin
ມູນຄ່າກັບຄືນແມ່ນ 0x000006

ມູນຄ່າ Port Dependent Filter ບໍ່ອະນຸຍາດໃຫ້ລະບົບເລີ່ມຕົ້ນ.
ແຕ່ຜູ້ໃຫ້ບໍລິການບ້ານໄດ້ອະນຸຍາດໃຫ້ລະບົບເລີ່ມຕົ້ນໃນ Raspberry Pi 3 ໂດຍບໍ່ມີບັນຫາໃດໆ.
ໃນ​ການ​ສົມ​ທົບ​ກັບ webcam ເປັນ​, ມີ VLC ສໍາ​ລັບ​ການ​
ການສ້າງກະແສ RTSP ຈາກເວັບແຄມ

$ cvlc v4l2:///dev/video0:chroma=h264 :input-slave=alsa://hw:1,0 --sout '#transcode{vcodec=x264,venc=x264{preset=ultrafast,profile=baseline,level=31},vb=2048,fps=12,scale=1,acodec=mpga,ab=128,channels=2,samplerate=44100,scodec=none}:rtp{sdp=rtsp://10.2.0.1:8554/}' --no-sout-all --sout-keep

ແລະ VLC ໃນໂທລະສັບສະຫຼາດສໍາລັບການເບິ່ງ (stream rtsp://10.2.0.1:8554/), ມັນໄດ້ກາຍມາເປັນລະບົບການເຝົ້າລະວັງວິດີໂອຫ່າງໄກສອກຫຼີກທີ່ດີ, ທ່ານຍັງສາມາດຕິດຕັ້ງ Samba, ເສັ້ນທາງການຈະລາຈອນຜ່ານ VPN, ຄວບຄຸມຄອມພິວເຕີຂອງທ່ານຫ່າງໄກສອກຫຼີກແລະຫຼາຍ. ເພີ່ມເຕີມ...

ສະຫລຸບ

ດັ່ງທີ່ການປະຕິບັດໄດ້ສະແດງໃຫ້ເຫັນ, ເພື່ອຈັດຕັ້ງເຄື່ອງແມ່ຂ່າຍ VPN, ທ່ານສາມາດເຮັດໄດ້ໂດຍບໍ່ມີທີ່ຢູ່ IP ພາຍນອກທີ່ທ່ານຈໍາເປັນຕ້ອງຈ່າຍ, ຄືກັນກັບ VPS / VDS ທີ່ເຊົ່າ. ແຕ່ທັງຫມົດແມ່ນຂຶ້ນກັບຜູ້ໃຫ້ບໍລິການ. ແນ່ນອນ, ຂ້ອຍຢາກໄດ້ຮັບຂໍ້ມູນເພີ່ມເຕີມກ່ຽວກັບຜູ້ໃຫ້ບໍລິການທີ່ແຕກຕ່າງກັນແລະປະເພດຂອງ NATs ທີ່ໃຊ້, ແຕ່ນີ້ແມ່ນພຽງແຕ່ການເລີ່ມຕົ້ນ ...
ຂອບໃຈສໍາລັບຄວາມສົນໃຈຂອງທ່ານ!

ແຫຼ່ງຂໍ້ມູນ: www.habr.com