🥇एका L2 नेटवर्कमध्ये नेटवर्क एकत्र करण्यासाठी OpenVPN वरून WireGuard मध्ये स्थलांतर

मला तीन भौगोलिकदृष्ट्या रिमोट अपार्टमेंटमध्ये नेटवर्क एकत्र करण्याचा माझा अनुभव सामायिक करायचा आहे, ज्यापैकी प्रत्येक एक गेटवे म्हणून OpenWRT राउटर वापरतो, एका सामान्य नेटवर्कमध्ये. सबनेट राउटिंगसह L3 आणि ब्रिजिंगसह L2 मधील नेटवर्क एकत्र करण्यासाठी पद्धत निवडताना, जेव्हा सर्व नेटवर्क नोड्स एकाच सबनेटमध्ये स्थित असतील, तेव्हा दुसर्‍या पद्धतीला प्राधान्य दिले गेले, जे कॉन्फिगर करणे अधिक कठीण आहे, परंतु अधिक संधी प्रदान करते, कारण वेक-ऑन-लॅन आणि डीएलएनए तयार होत असलेल्या नेटवर्कमध्ये तंत्रज्ञानाचा पारदर्शक वापर करण्याचे नियोजन करण्यात आले होते.

भाग 1: पार्श्वभूमी

हे कार्य अंमलात आणण्यासाठी सुरुवातीला ओपनव्हीपीएन प्रोटोकॉल म्हणून निवडले गेले होते, कारण, प्रथम, ते एक टॅप डिव्हाइस तयार करू शकते जे ब्रिजमध्ये समस्यांशिवाय जोडले जाऊ शकते आणि दुसरे म्हणजे, ओपनव्हीपीएन टीसीपी प्रोटोकॉलवर ऑपरेशनला समर्थन देते, जे देखील महत्त्वाचे होते, कारण काहीही नाही. अपार्टमेंटमधील एक समर्पित IP पत्ता होता, आणि मी STUN वापरण्यास अक्षम होतो, कारण माझ्या प्रदात्याने काही कारणास्तव त्यांच्या नेटवर्कवरून येणारे UDP कनेक्शन ब्लॉक केले, तर TCP प्रोटोकॉलने मला SSH वापरून भाड्याने घेतलेल्या VPS वर VPN सर्व्हर पोर्ट फॉरवर्ड करण्याची परवानगी दिली. होय, हा दृष्टीकोन मोठा भार देतो, कारण डेटा दोनदा कूटबद्ध केला गेला आहे, परंतु मला माझ्या खाजगी नेटवर्कमध्ये व्हीपीएस सादर करायचा नव्हता, कारण अजूनही तृतीय पक्षांनी त्यावर नियंत्रण मिळवण्याचा धोका होता, म्हणून, असे डिव्हाइस असणे माझ्या होम नेटवर्कवर अत्यंत अवांछित होते आणि मोठ्या ओव्हरहेडसह सुरक्षिततेसाठी पैसे देण्याचा निर्णय घेण्यात आला.

राउटरवर पोर्ट फॉरवर्ड करण्यासाठी ज्यावर सर्व्हर तैनात करण्याची योजना होती, sshtunnel प्रोग्राम वापरला गेला. मी त्याच्या कॉन्फिगरेशनच्या गुंतागुंतीचे वर्णन करणार नाही - हे अगदी सहजपणे केले गेले आहे, मी फक्त लक्षात ठेवेन की त्याचे कार्य TCP पोर्ट 1194 राउटरवरून VPS वर अग्रेषित करणे होते. पुढे, OpenVPN सर्व्हर tap0 डिव्हाइसवर कॉन्फिगर केला होता, जो br-lan ब्रिजशी जोडलेला होता. लॅपटॉपवरून नवीन तयार केलेल्या सर्व्हरशी कनेक्शन तपासल्यानंतर, हे स्पष्ट झाले की पोर्ट फॉरवर्डिंगची कल्पना न्याय्य होती आणि माझा लॅपटॉप राउटरच्या नेटवर्कचा सदस्य बनला, जरी तो भौतिकरित्या त्यात नव्हता.

फक्त एक छोटी गोष्ट बाकी होती: वेगवेगळ्या अपार्टमेंटमध्ये IP पत्ते वितरित करणे आवश्यक होते जेणेकरून ते विरोध करू नयेत आणि राउटरला OpenVPN क्लायंट म्हणून कॉन्फिगर करू नये.
खालील राउटर IP पत्ते आणि DHCP सर्व्हर श्रेणी निवडल्या होत्या:

192.168.10.1 एका श्रेणीसह 192.168.10.2 - 192.168.10.80 सर्व्हरसाठी
192.168.10.100 एका श्रेणीसह 192.168.10.101 - 192.168.10.149 अपार्टमेंट क्रमांक 2 मधील राउटरसाठी
192.168.10.150 एका श्रेणीसह 192.168.10.151 - 192.168.10.199 अपार्टमेंट क्रमांक 3 मधील राउटरसाठी

ओपनव्हीपीएन सर्व्हरच्या क्लायंट राउटरला त्याच्या कॉन्फिगरेशनमध्ये ओळ जोडून नेमके हे पत्ते नियुक्त करणे देखील आवश्यक होते:

ifconfig-pool-persist /etc/openvpn/ipp.txt 0

आणि खालील ओळी /etc/openvpn/ipp.txt फाइलमध्ये जोडणे:

flat1_id 192.168.10.100
flat2_id 192.168.10.150

जेथे Flat1_id आणि flat2_id हे OpenVPN शी कनेक्ट करण्यासाठी प्रमाणपत्रे तयार करताना निर्दिष्ट केलेली डिव्हाइस नावे आहेत

पुढे, OpenVPN क्लायंट राउटरवर कॉन्फिगर केले गेले, दोन्हीवरील tap0 डिव्हाइसेस br-lan ब्रिजमध्ये जोडले गेले. या टप्प्यावर, सर्व काही ठीक आहे असे दिसते कारण तिन्ही नेटवर्क एकमेकांना पाहू शकतात आणि एक म्हणून कार्य करू शकतात. तथापि, एक अतिशय आनंददायी तपशील उदयास आला नाही: काहीवेळा डिव्हाइसेसना त्यांच्या राउटरवरून IP पत्ता प्राप्त होऊ शकतो, त्यानंतरच्या सर्व परिणामांसह. काही कारणास्तव, एका अपार्टमेंटमधील राउटरकडे वेळेत DHCPDISCOVER ला प्रतिसाद देण्यासाठी वेळ नव्हता आणि डिव्हाइसला एक पत्ता प्राप्त झाला जो हेतू नव्हता. मला समजले की मला प्रत्येक राउटरवर टॅप0 मध्ये अशा विनंत्या फिल्टर करणे आवश्यक आहे, परंतु जसे की हे दिसून आले की, iptables डिव्हाइससह कार्य करू शकत नाही जर ते ब्रिजचा भाग असेल आणि ebtables माझ्या मदतीला आले पाहिजेत. माझ्या खेदासाठी, ते माझ्या फर्मवेअरमध्ये नव्हते आणि मला प्रत्येक डिव्हाइससाठी प्रतिमा पुन्हा तयार कराव्या लागल्या. असे केल्याने आणि प्रत्येक राउटरच्या /etc/rc.local मध्ये या ओळी जोडून, समस्या सोडवली गेली:

ebtables -A INPUT --in-interface tap0 --protocol ipv4 --ip-protocol udp --ip-destination-port 67:68 -j DROP
ebtables -A INPUT --in-interface tap0 --protocol ipv4 --ip-protocol udp --ip-source-port 67:68 -j DROP
ebtables -A FORWARD --out-interface tap0 --protocol ipv4 --ip-protocol udp --ip-destination-port 67:68 -j DROP
ebtables -A FORWARD --out-interface tap0 --protocol ipv4 --ip-protocol udp --ip-source-port 67:68 -j DROP

हे कॉन्फिगरेशन तीन वर्षे चालले.

भाग 2: WireGuard सादर करत आहे

अलीकडे, इंटरनेटवरील लोक वायरगार्डबद्दल बोलू लागले आहेत, त्याच्या कॉन्फिगरेशनची साधेपणा, उच्च प्रसारण गती, तुलनात्मक सुरक्षिततेसह कमी पिंग यांची प्रशंसा करतात. त्याबद्दल अधिक माहिती शोधताना हे स्पष्ट झाले की ब्रिज मेंबर म्हणून काम करणे किंवा TCP प्रोटोकॉलवर काम करणे या दोघांनाही समर्थन दिलेले नाही, ज्यामुळे मला असे वाटले की माझ्यासाठी OpenVPN साठी अद्याप कोणतेही पर्याय नाहीत. म्हणून मी वायरगार्डला जाणून घेणे टाळले.

काही दिवसांपूर्वी, IT शी संबंधित एक किंवा दुसर्‍या प्रकारे संसाधनांवर बातमी पसरली होती की WireGuard शेवटी Linux कर्नलमध्ये समाविष्ट केले जाईल, आवृत्ती 5.6 पासून सुरू होईल. बातम्या लेख, नेहमीप्रमाणे, वायरगार्डची प्रशंसा केली. मी पुन्हा चांगले जुने OpenVPN पुनर्स्थित करण्याच्या मार्गांच्या शोधात उतरलो. यावेळी मी धावत गेलो हा लेख. GRE वापरून L3 वर इथरनेट बोगदा तयार करण्याबद्दल बोलले. या लेखाने मला आशा दिली. UDP प्रोटोकॉलचे काय करावे हे अस्पष्ट राहिले. शोधामुळे मला यूडीपी पोर्ट फॉरवर्ड करण्यासाठी एसएसएच बोगद्याच्या संयोगाने सॉकॅट वापरण्याबद्दलच्या लेखांकडे नेले, तथापि, त्यांनी नमूद केले की हा दृष्टीकोन केवळ एकल कनेक्शन मोडमध्ये कार्य करतो, म्हणजेच अनेक व्हीपीएन क्लायंटचे कार्य अशक्य होईल. मला व्हीपीएसवर व्हीपीएन सर्व्हर स्थापित करण्याची आणि क्लायंटसाठी जीआरई सेट करण्याची कल्पना आली, परंतु असे झाले की, जीआरई एनक्रिप्शनला समर्थन देत नाही, ज्यामुळे तृतीय पक्षांना सर्व्हरवर प्रवेश मिळाल्यास , माझ्या नेटवर्कमधील सर्व रहदारी त्यांच्या हातात असेल, जे मला अजिबात शोभत नाही.

पुन्हा एकदा, खालील योजना वापरून VPN वर VPN वापरून, निरर्थक एन्क्रिप्शनच्या बाजूने निर्णय घेण्यात आला:

स्तर XNUMX VPN:
VPS तो आहे सर्व्हर अंतर्गत पत्त्यासह 192.168.30.1
एमसी तो आहे ग्राहक अंतर्गत पत्त्यासह VPS 192.168.30.2
MK2 तो आहे ग्राहक अंतर्गत पत्त्यासह VPS 192.168.30.3
MK3 तो आहे ग्राहक अंतर्गत पत्त्यासह VPS 192.168.30.4

द्वितीय स्तर VPN:
एमसी तो आहे सर्व्हर बाह्य पत्त्यासह 192.168.30.2 आणि अंतर्गत 192.168.31.1
MK2 तो आहे ग्राहक एमसी 192.168.30.2 पत्त्यासह आणि अंतर्गत IP 192.168.31.2 आहे
MK3 तो आहे ग्राहक एमसी 192.168.30.2 पत्त्यासह आणि अंतर्गत IP 192.168.31.3 आहे

* एमसी — अपार्टमेंट 1 मधील राउटर-सर्व्हर, MK2 - अपार्टमेंट 2 मधील राउटर, MK3 - अपार्टमेंट 3 मध्ये राउटर
* डिव्हाइस कॉन्फिगरेशन लेखाच्या शेवटी स्पॉयलरमध्ये प्रकाशित केले आहेत.

आणि म्हणून, नेटवर्क नोड्स 192.168.31.0/24 दरम्यान पिंग्स चालू आहेत, GRE बोगदा सेट करण्यासाठी पुढे जाण्याची वेळ आली आहे. याआधी, राउटरचा प्रवेश गमावू नये म्हणून, पोर्ट 22 ला VPS वर अग्रेषित करण्यासाठी SSH बोगदे सेट करणे फायदेशीर आहे, जेणेकरून, उदाहरणार्थ, अपार्टमेंट 10022 मधील राउटर VPS च्या पोर्ट 2 वर प्रवेशयोग्य असेल आणि अपार्टमेंट 11122 मधील राउटर अपार्टमेंट 3 मधील राउटर XNUMX पोर्टवर प्रवेशयोग्य असेल. समान sshtunnel वापरून फॉरवर्डिंग कॉन्फिगर करणे सर्वोत्तम आहे, कारण ते अयशस्वी झाल्यास ते बोगदा पुनर्संचयित करेल.

बोगदा कॉन्फिगर केला आहे, तुम्ही फॉरवर्ड केलेल्या पोर्टद्वारे SSH शी कनेक्ट करू शकता:

ssh root@МОЙ_VPS -p 10022

पुढे तुम्ही OpenVPN अक्षम केले पाहिजे:

/etc/init.d/openvpn stop

आता अपार्टमेंट २ मधील राउटरवर GRE बोगदा सेट करू:

ip link add grelan0 type gretap remote 192.168.31.1 local 192.168.31.2
ip link set grelan0 up

आणि ब्रिजमध्ये तयार केलेला इंटरफेस जोडा:

brctl addif br-lan grelan0

सर्व्हर राउटरवर अशीच प्रक्रिया करूया:

ip link add grelan0 type gretap remote 192.168.31.2 local 192.168.31.1
ip link set grelan0 up

आणि ब्रिजमध्ये तयार केलेला इंटरफेस देखील जोडा:

brctl addif br-lan grelan0

या क्षणापासून, पिंग्ज यशस्वीरित्या नवीन नेटवर्कवर जाण्यास सुरवात करतात आणि मी, समाधानाने, कॉफी प्यायला जातो. त्यानंतर, ओळीच्या दुसऱ्या टोकाला नेटवर्क कसे कार्य करत आहे याचे मूल्यांकन करण्यासाठी, मी अपार्टमेंट 2 मधील एका संगणकावर SSH करण्याचा प्रयत्न करतो, परंतु ssh क्लायंट पासवर्डसाठी सूचित न करता गोठतो. मी पोर्ट 22 वर टेलनेट द्वारे या संगणकाशी कनेक्ट करण्याचा प्रयत्न करत आहे आणि मला एक ओळ दिसली ज्यावरून मी समजू शकतो की कनेक्शन स्थापित केले जात आहे, SSH सर्व्हर प्रतिसाद देत आहे, परंतु काही कारणास्तव ते मला लॉग करण्यास सूचित करत नाही. मध्ये

$ telnet 192.168.10.110 22
SSH-2.0-OpenSSH_8.1

मी VNC द्वारे त्याच्याशी कनेक्ट करण्याचा प्रयत्न करत आहे आणि एक काळी स्क्रीन पाहत आहे. मी स्वतःला पटवून देतो की समस्या रिमोट कॉम्प्यूटरमध्ये आहे, कारण मी अंतर्गत पत्ता वापरून या अपार्टमेंटमधून राउटरशी सहजपणे कनेक्ट करू शकतो. तथापि, मी राउटरद्वारे या संगणकाच्या SSH शी कनेक्ट करण्याचा निर्णय घेतला आणि कनेक्शन यशस्वी झाल्याचे पाहून आश्चर्य वाटले, आणि रिमोट संगणक अगदी सामान्यपणे कार्य करतो, परंतु तो माझ्या संगणकाशी देखील कनेक्ट होऊ शकत नाही.

मी ब्रिजवरून grelan0 डिव्हाइस काढतो आणि अपार्टमेंट 2 मधील राउटरवर OpenVPN चालवतो आणि नेटवर्क पुन्हा अपेक्षेप्रमाणे कार्य करते आणि कनेक्शन सोडले जात नाही याची खात्री करतो. शोधून मला असे मंच आढळतात जेथे लोक समान समस्यांबद्दल तक्रार करतात, जेथे त्यांना MTU वाढवण्याचा सल्ला दिला जातो. पूर्ण करण्यापेक्षा लवकर सांगितले नाही. तथापि, MTU पुरेसे उच्च सेट होईपर्यंत - ग्रेटॅप उपकरणांसाठी 7000, एकतर TCP कनेक्शन कमी झाले किंवा कमी हस्तांतरण दर दिसून आले. ग्रेटॅपसाठी उच्च MTU असल्यामुळे, लेयर 8000 आणि लेयर 7500 वायरगार्ड कनेक्शनसाठी MTU अनुक्रमे XNUMX आणि XNUMX वर सेट केले गेले.

मी अपार्टमेंट 3 वरून राउटरवर समान सेटअप केले, फक्त फरक इतकाच की सर्व्हर राउटरमध्ये grelan1 नावाचा दुसरा ग्रेटॅप इंटरफेस जोडला गेला, जो br-lan ब्रिजमध्ये देखील जोडला गेला.

सर्व काही कार्यरत आहे. आता तुम्ही ग्रेटॅप असेंब्ली स्टार्टअपमध्ये ठेवू शकता. यासाठी:

मी अपार्टमेंट २ मधील राउटरवर या ओळी /etc/rc.local मध्ये ठेवल्या आहेत:

ip link add grelan0 type gretap remote 192.168.31.1 local 192.168.31.2
ip link set dev grelan0 mtu 7000
ip link set grelan0 up
brctl addif br-lan grelan0

अपार्टमेंट 3 मधील राउटरवर हे /etc/rc.local वर जोडले:

ip link add grelan0 type gretap remote 192.168.31.1 local 192.168.31.3
ip link set dev grelan0 mtu 7000
ip link set grelan0 up
brctl addif br-lan grelan0

आणि सर्व्हर राउटरवर:

ip link add grelan0 type gretap remote 192.168.31.2 local 192.168.31.1
ip link set dev grelan0 mtu 7000
ip link set grelan0 up
brctl addif br-lan grelan0

ip link add grelan1 type gretap remote 192.168.31.3 local 192.168.31.1
ip link set dev grelan1 mtu 7000
ip link set grelan1 up
brctl addif br-lan grelan1

क्लायंट राउटर रीबूट केल्यानंतर, मला आढळले की काही कारणास्तव ते सर्व्हरशी कनेक्ट होत नाहीत. त्यांच्या SSH शी कनेक्ट केल्यावर (सुदैवाने, मी यापूर्वी यासाठी sshtunnel कॉन्फिगर केले होते), असे आढळून आले की काही कारणास्तव वायरगार्ड एंडपॉइंटसाठी मार्ग तयार करत आहे, परंतु ते चुकीचे होते. तर, 192.168.30.2 साठी, मार्ग सारणीने pppoe-wan इंटरफेसद्वारे मार्ग दर्शविला आहे, म्हणजेच इंटरनेटद्वारे, जरी तो मार्ग wg0 इंटरफेसद्वारे रूट केला गेला असावा. हा मार्ग हटवल्यानंतर, कनेक्शन पुनर्संचयित केले गेले. वायरगार्डला हे मार्ग तयार न करण्याची सक्ती कशी करावी याबद्दल मला कुठेही सूचना सापडल्या नाहीत. शिवाय, हे OpenWRT किंवा WireGuard चे वैशिष्ट्य आहे की नाही हे देखील मला समजले नाही. या समस्येचा बराच काळ सामना न करता, मी एका कालबद्ध स्क्रिप्टमध्ये दोन्ही राउटरमध्ये फक्त एक ओळ जोडली ज्याने हा मार्ग हटवला:

route del 192.168.30.2

गोळा करीत आहे

मी अद्याप ओपनव्हीपीएनचा पूर्ण त्याग केलेला नाही, कारण मला कधीकधी लॅपटॉप किंवा फोनवरून नवीन नेटवर्कशी कनेक्ट करण्याची आवश्यकता असते आणि त्यावर ग्रेटॅप डिव्हाइस सेट करणे सामान्यतः अशक्य आहे, परंतु असे असूनही, मला वेगाचा फायदा झाला. अपार्टमेंटमधील डेटा ट्रान्सफर आणि उदाहरणार्थ, VNC वापरणे यापुढे गैरसोयीचे आहे. पिंग किंचित कमी झाले, परंतु अधिक स्थिर झाले:

OpenVPN वापरताना:

[r0ck3r@desktop ~]$ ping -c 20 192.168.10.110
PING 192.168.10.110 (192.168.10.110) 56(84) bytes of data.
64 bytes from 192.168.10.110: icmp_seq=1 ttl=64 time=133 ms
...
64 bytes from 192.168.10.110: icmp_seq=20 ttl=64 time=125 ms

--- 192.168.10.110 ping statistics ---
20 packets transmitted, 20 received, 0% packet loss, time 19006ms
rtt min/avg/max/mdev = 124.722/126.152/136.907/3.065 ms

वायरगार्ड वापरताना:

[r0ck3r@desktop ~]$ ping -c 20 192.168.10.110
PING 192.168.10.110 (192.168.10.110) 56(84) bytes of data.
64 bytes from 192.168.10.110: icmp_seq=1 ttl=64 time=124 ms
...
64 bytes from 192.168.10.110: icmp_seq=20 ttl=64 time=124 ms
--- 192.168.10.110 ping statistics ---
20 packets transmitted, 20 received, 0% packet loss, time 19003ms
rtt min/avg/max/mdev = 123.954/124.423/126.708/0.675 ms

VPS वर उच्च पिंगमुळे याचा अधिक परिणाम होतो, जे अंदाजे 61.5 ms आहे

तथापि, वेग लक्षणीय वाढला आहे. तर, सर्व्हर राउटर असलेल्या अपार्टमेंटमध्ये माझ्याकडे 30 Mbit/sec चा इंटरनेट कनेक्शनचा वेग आहे आणि इतर अपार्टमेंटमध्ये तो 5 Mbit/sec आहे. त्याच वेळी, OpenVPN वापरत असताना, iperf रीडिंगनुसार 3,8 Mbit/sec पेक्षा जास्त नेटवर्क दरम्यान डेटा ट्रान्सफर स्पीड मिळवू शकलो नाही, तर WireGuard ने त्याच 5 Mbit/sec वर "बूस्ट" केले.

VPS वर वायरगार्ड कॉन्फिगरेशन[Interface] Address = 192.168.30.1/24 ListenPort = 51820 PrivateKey = <ЗАКРЫТЫЙ_КЛЮЧ_ДЛЯ_VPS>


[Peer]
PublicKey = <ОТКРЫТЫЙ_КЛЮЧ_VPN_1_МС>

AllowedIPs = 192.168.30.2/32
[Peer]
PublicKey = <ОТКРЫТЫЙ_КЛЮЧ_VPN_2_МК2>

AllowedIPs = 192.168.30.3/32
[Peer]
PublicKey = <ОТКРЫТЫЙ_КЛЮЧ_VPN_2_МК3>

AllowedIPs = 192.168.30.4/32

MS वर वायरगार्ड कॉन्फिगरेशन (/etc/config/network मध्ये जोडले)

#VPN первого уровня - клиент
config interface 'wg0'
        option proto 'wireguard'
        list addresses '192.168.30.2/24'
        option private_key 'ЗАКРЫТЫЙ_КЛЮЧ_VPN_1_МС'
        option auto '1'
        option mtu '8000'

config wireguard_wg0
        option public_key 'ОТКРЫТЫЙ_КЛЮЧ_VPN_1_VPS'
        option endpoint_port '51820'
        option route_allowed_ips '1'
        option persistent_keepalive '25'
        list allowed_ips '192.168.30.0/24'
        option endpoint_host 'IP_АДРЕС_VPS'

#VPN второго уровня - сервер
config interface 'wg1'
        option proto 'wireguard'
        option private_key 'ЗАКРЫТЫЙ_КЛЮЧ_VPN_2_МС'
        option listen_port '51821'
        list addresses '192.168.31.1/24'
        option auto '1'
        option mtu '7500'

config wireguard_wg1
        option public_key 'ОТКРЫТЫЙ_КЛЮЧ_VPN_2_МК2'
        list allowed_ips '192.168.31.2'

config wireguard_wg1ip link add grelan0 type gretap remote 192.168.31.1 local 192.168.31.3

        option public_key 'ОТКРЫТЫЙ_КЛЮЧ_VPN_2_МК3'
        list allowed_ips '192.168.31.3'

MK2 वर वायरगार्ड कॉन्फिगरेशन (/etc/config/network वर जोडले)

#VPN первого уровня - клиент
config interface 'wg0'
        option proto 'wireguard'
        list addresses '192.168.30.3/24'
        option private_key 'ЗАКРЫТЫЙ_КЛЮЧ_VPN_1_МК2'
        option auto '1'
        option mtu '8000'

config wireguard_wg0
        option public_key 'ОТКРЫТЫЙ_КЛЮЧ_VPN_1_VPS'
        option endpoint_port '51820'
        option persistent_keepalive '25'
        list allowed_ips '192.168.30.0/24'
        option endpoint_host 'IP_АДРЕС_VPS'

#VPN второго уровня - клиент
config interface 'wg1'
        option proto 'wireguard'
        option private_key 'ЗАКРЫТЫЙ_КЛЮЧ_VPN_2_МК2'
        list addresses '192.168.31.2/24'
        option auto '1'
        option listen_port '51821'
        option mtu '7500'

config wireguard_wg1
        option public_key 'ОТКРЫТЫЙ_КЛЮЧ_VPN_2_МС'
        option endpoint_host '192.168.30.2'
        option endpoint_port '51821'
        option persistent_keepalive '25'
        list allowed_ips '192.168.31.0/24'

MK3 वर वायरगार्ड कॉन्फिगरेशन (/etc/config/network वर जोडले)

#VPN первого уровня - клиент
config interface 'wg0'
        option proto 'wireguard'
        list addresses '192.168.30.4/24'
        option private_key 'ЗАКРЫТЫЙ_КЛЮЧ_VPN_1_МК3'
        option auto '1'
        option mtu '8000'

config wireguard_wg0
        option public_key 'ОТКРЫТЫЙ_КЛЮЧ_VPN_1_VPS'
        option endpoint_port '51820'
        option persistent_keepalive '25'
        list allowed_ips '192.168.30.0/24'
        option endpoint_host 'IP_АДРЕС_VPS'

#VPN второго уровня - клиент
config interface 'wg1'
        option proto 'wireguard'
        option private_key 'ЗАКРЫТЫЙ_КЛЮЧ_VPN_2_МК3'
        list addresses '192.168.31.3/24'
        option auto '1'
        option listen_port '51821'
        option mtu '7500'

config wireguard_wg1
        option public_key 'ОТКРЫТЫЙ_КЛЮЧ_VPN_2_МС'
        option endpoint_host '192.168.30.2'
        option endpoint_port '51821'
        option persistent_keepalive '25'
        list allowed_ips '192.168.31.0/24'

द्वितीय-स्तरीय VPN साठी वर्णन केलेल्या कॉन्फिगरेशनमध्ये, मी WireGuard क्लायंटला पोर्ट 51821 कडे निर्देशित करतो. सिद्धांततः, हे आवश्यक नाही, कारण क्लायंट कोणत्याही विनामूल्य अनप्रिव्हिलेज्ड पोर्टवरून कनेक्शन स्थापित करेल, परंतु मी ते केले जेणेकरून ते प्रतिबंधित करणे शक्य होईल. पोर्ट 0 वर येणारी UDP कनेक्शन वगळता सर्व राउटरच्या wg51821 इंटरफेसवरील सर्व इनकमिंग कनेक्शन्स.

मला आशा आहे की लेख एखाद्यासाठी उपयुक्त ठरेल.

PS तसेच, मला माझी स्क्रिप्ट शेअर करायची आहे जी माझ्या नेटवर्कवर नवीन उपकरण दिसल्यावर वायरपुशर ऍप्लिकेशनमध्ये मला माझ्या फोनवर पुश सूचना पाठवते. स्क्रिप्टची लिंक येथे आहे: github.com/r0ck3r/device_discover.

अद्ययावत: OpenVPN सर्व्हर आणि क्लायंटचे कॉन्फिगरेशन

OpenVPN सर्व्हर

client-to-client

ca /etc/openvpn/server/ca.crt
cert /etc/openvpn/server/vpn-server.crt
dh /etc/openvpn/server/dh.pem
key /etc/openvpn/server/vpn-server.key

dev tap
ifconfig-pool-persist /etc/openvpn/ipp.txt 0
keepalive 10 60
proto tcp4
server-bridge 192.168.10.1 255.255.255.0 192.168.10.80 192.168.10.254
status /var/log/openvpn-status.log
verb 3
comp-lzo

OpenVPN क्लायंट

client
tls-client
dev tap
proto tcp
remote VPS_IP 1194 # Change to your router's External IP
resolv-retry infinite
nobind

ca client/ca.crt
cert client/client.crt
key client/client.key
dh client/dh.pem

comp-lzo
persist-tun
persist-key
verb 3

मी प्रमाणपत्रे तयार करण्यासाठी easy-rsa वापरले

स्त्रोत: www.habr.com

एका L2 नेटवर्कमध्ये नेटवर्क एकत्र करण्यासाठी OpenVPN वरून WireGuard वर स्विच करणे

भाग 1: पार्श्वभूमी

भाग 2: WireGuard सादर करत आहे

गोळा करीत आहे

एक टिप्पणी जोडा Отменить ответ