बाट संक्रमण OpenVPN मा WireGuard नेटवर्कहरूलाई एउटा L2 नेटवर्कमा संयोजन गर्न

म तीनवटा भौगोलिक रूपमा टाढाको अपार्टमेन्टहरूमा नेटवर्कहरू संयोजन गर्ने मेरो अनुभव साझा गर्न चाहन्छु, जसमध्ये प्रत्येकले OpenWRT सँग गेटवेको रूपमा राउटरहरू प्रयोग गर्दछ, एउटा साझा नेटवर्कमा। सबै नेटवर्क नोडहरू एउटै सबनेटमा हुँदा L3 र ब्रिजिङको साथ L2 बीचको सञ्जालहरू संयोजन गर्ने विधि छनोट गर्दा, दोस्रो विधिलाई प्राथमिकता दिइयो, जुन कन्फिगर गर्न गाह्रो छ, तर थप अवसरहरू प्रदान गर्दछ, किनभने पारदर्शी सिर्जना गरिएको नेटवर्क वेक-अन-ल्यान र DLNA मा प्रविधिहरूको प्रयोग योजना गरिएको थियो।

भाग १: पृष्ठभूमि

यो कार्य कार्यान्वयन गर्न छनौट गरिएको प्रोटोकल सुरुमा थियो OpenVPN, किनभने, पहिलो, यसले कुनै पनि समस्या बिना पुलमा थप्न सकिने ट्याप उपकरण सिर्जना गर्न सक्छ, र दोस्रो, OpenVPN यसले TCP लाई समर्थन गर्दछ, जुन यो पनि महत्त्वपूर्ण थियो, किनकि कुनै पनि अपार्टमेन्टमा समर्पित IP ठेगाना थिएन। म STUN प्रयोग गर्न सक्दिनथें किनभने मेरो ISP ले, कुनै कारणले गर्दा, यसको नेटवर्कहरूबाट आउने UDP जडानहरूलाई रोक्छ। TCP ले मलाई SSH प्रयोग गरेर भाडामा लिइएको VPS मा VPN सर्भर पोर्ट फर्वार्ड गर्न अनुमति दियो। यद्यपि यो दृष्टिकोणले महत्त्वपूर्ण ओभरहेड सिर्जना गर्दछ, किनकि डेटा डबल-इन्क्रिप्ट गरिएको छ, म VPS लाई मेरो निजी नेटवर्कमा एकीकृत गर्न चाहन्नथें, किनकि तेस्रो पक्षहरूले यसमा नियन्त्रण प्राप्त गर्ने जोखिम थियो। त्यसकारण, मेरो गृह नेटवर्कमा यस्तो उपकरण हुनु अत्यन्तै अवांछनीय थियो, त्यसैले मैले सुरक्षाको लागि महत्त्वपूर्ण ओभरहेड तिर्ने निर्णय गरें।

सर्भर तैनाथ गर्ने योजनामा ​​रहेको राउटरको पोर्ट फर्वार्ड गर्न, मैले sshtunnel प्रोग्राम प्रयोग गरें। म यसको कन्फिगरेसनको विवरणमा जाँदिन - यो एकदम सजिलो छ। म केवल यो याद गर्नेछु कि यसको उद्देश्य TCP पोर्ट ११९४ लाई राउटरबाट VPS मा फर्वार्ड गर्नु थियो। अर्को, मैले सर्भर कन्फिगर गरें। OpenVPN tap0 उपकरणमा, जुन br-lan ब्रिजमा जडान गरिएको थियो। मेरो ल्यापटपबाट नयाँ सिर्जना गरिएको सर्भरमा जडान परीक्षण गरेपछि, यो स्पष्ट भयो कि पोर्ट फर्वार्डिङ विचारले काम गरेको छ, र मेरो ल्यापटप राउटरको नेटवर्कको सदस्य बनेको छ, यद्यपि यो भौतिक रूपमा यसको भाग थिएन।

गर्न बाँकी रहेको एउटै कुरा भनेको विभिन्न अपार्टमेन्टहरूमा आईपी ठेगानाहरू वितरण गर्नु थियो ताकि तिनीहरू आपसमा बाझ नपरोस् र राउटरहरूलाई निम्न रूपमा कन्फिगर गर्नुहोस्। OpenVPN-ग्राहकहरू।
निम्न राउटर IP ठेगानाहरू र DHCP सर्भर दायराहरू चयन गरिएका थिए:

• 192.168.10.1 दायरा संग 192.168.10.2 - 192.168.10.80 सर्भर को लागी
• 192.168.10.100 दायरा संग 192.168.10.101 - 192.168.10.149 अपार्टमेन्ट नम्बर २ मा राउटरको लागि
• 192.168.10.150 दायरा संग 192.168.10.151 - 192.168.10.199 अपार्टमेन्ट नम्बर २ मा राउटरको लागि

यी ठेगानाहरू क्लाइन्ट राउटरहरूलाई तोक्न पनि आवश्यक थियो। OpenVPN-सर्भर, यसको कन्फिगरेसनमा निम्न लाइन थपेर:

ifconfig-pool-persist /etc/openvpn/ipp.txt 0

र निम्न लाइनहरू /etc/openvpn/ipp.txt फाइलमा थप्दै:

flat1_id 192.168.10.100
flat2_id 192.168.10.150

जहाँ flat1_id र flat2_id जडानको लागि प्रमाणपत्रहरू सिर्जना गर्दा निर्दिष्ट गरिएका उपकरण नामहरू हुन् OpenVPN

त्यसपछि, राउटरहरू कन्फिगर गरियो OpenVPN- क्लाइन्टहरू, दुवैमा tap0 उपकरणहरू br-lan ब्रिजमा थपिएका थिए। यस बिन्दुमा, सबै कुरा ठीक देखिन्थ्यो, किनकि तीनवटै नेटवर्कहरूले एकअर्कालाई देख्न र एकल एकाइको रूपमा काम गर्न सक्थे। यद्यपि, एउटा अप्रिय विवरण देखा पर्‍यो: कहिलेकाहीँ उपकरणहरूले गलत राउटरबाट IP ठेगाना प्राप्त गर्थे, जसको परिणामस्वरूप सबै परिणामहरू हुन्थे। कुनै कारणले गर्दा, एउटा अपार्टमेन्टमा रहेको राउटरले DHCPDISCOVER लाई समयमै प्रतिक्रिया दिन असफल भयो, र उपकरणले गलत ठेगाना प्राप्त गर्‍यो। मैले महसुस गरें कि मलाई प्रत्येक राउटरमा tap0 मा त्यस्ता अनुरोधहरू फिल्टर गर्न आवश्यक छ, तर यो बाहिर निस्कियो भने, iptables ले उपकरणसँग काम गर्न सक्दैन यदि यो पुलको भाग हो भने, त्यसैले मलाई ebtables प्रयोग गर्न आवश्यक थियो। दुर्भाग्यवश, मेरो फर्मवेयरले यसलाई समावेश गरेन, त्यसैले मैले प्रत्येक उपकरणको लागि छविहरू पुन: निर्माण गर्नुपर्‍यो। यो गरेपछि र प्रत्येक राउटरमा /etc/rc.local मा निम्न लाइनहरू थपेपछि, समस्या समाधान भयो:

ebtables -A INPUT --in-interface tap0 --protocol ipv4 --ip-protocol udp --ip-destination-port 67:68 -j DROP
ebtables -A INPUT --in-interface tap0 --protocol ipv4 --ip-protocol udp --ip-source-port 67:68 -j DROP
ebtables -A FORWARD --out-interface tap0 --protocol ipv4 --ip-protocol udp --ip-destination-port 67:68 -j DROP
ebtables -A FORWARD --out-interface tap0 --protocol ipv4 --ip-protocol udp --ip-source-port 67:68 -j DROP

यो कन्फिगरेसन तीन वर्षसम्म चल्यो।

भाग २: चिन्ने WireGuard

पछिल्लो समय इन्टरनेटमा यसको बारेमा चर्चा बढ्दै गएको छ WireGuard, यसको कन्फिगरेसनको सहजता, उच्च स्थानान्तरण गति, कम पिङ, र तुलनात्मक सुरक्षाको प्रशंसा गर्दै। यसको बारेमा थप जानकारीको खोजी गर्दा यसले ब्रिज सदस्य वा TCP प्रोटोकल समर्थनलाई समर्थन गर्दैन भन्ने कुरा पत्ता लाग्यो, जसले गर्दा मलाई विश्वास भयो कि त्यहाँ कुनै विकल्प छैन। OpenVPN मेरो लागि यो अझै त्यहाँ छैन। त्यसैले मैले चिन्न छोडें WireGuard.

केही दिन अघि, सूचना प्रविधिसँग सम्बन्धित स्रोतहरू मार्फत कुनै न कुनै रूपमा समाचार फैलियो कि WireGuard अन्ततः कर्नेलमा समावेश गरिनेछ Linux, संस्करण ५.६ बाट सुरु हुँदै। समाचार लेखहरू, सधैं जस्तै, प्रशंसा गरियो WireGuardम फेरि एकपटक राम्रो पुरानोलाई प्रतिस्थापन गर्ने तरिकाहरू खोज्नमा डुबेँ OpenVPNयस पटक म भेटिएँ यो लेख। यसले GRE प्रयोग गरेर L3 मा इथरनेट टनेल सिर्जना गर्ने बारे कुरा गर्यो। यो लेखले मलाई आशा दियो। यो UDP प्रोटोकल संग के गर्ने अस्पष्ट रह्यो। खोजीले मलाई UDP पोर्ट फर्वार्ड गर्न SSH टनेलको साथ संयोजनमा socat प्रयोग गर्ने बारे लेखहरूमा पुर्‍यायो, तथापि, तिनीहरूले नोट गरे कि यो दृष्टिकोण केवल एकल जडान मोडमा काम गर्दछ, जसको मतलब धेरै VPN ग्राहकहरू असम्भव हुनेछ। म VPS मा VPN सर्भर सेटअप गर्ने र ग्राहकहरूको लागि GRE कन्फिगर गर्ने विचारको साथ आएको हुँ, तर यो बाहिरियो, GRE ले इन्क्रिप्शनलाई समर्थन गर्दैन, जसले तेस्रो पक्षहरूले सर्भरमा पहुँच प्राप्त गरेमा, मेरो नेटवर्कहरू बीचको सबै ट्राफिकहरू तिनीहरूको हातमा छन् जुन मलाई उपयुक्त थिएन।

फेरि, निम्न योजना अनुसार VPN मा VPN प्रयोग गरेर, अनावश्यक इन्क्रिप्शनको पक्षमा निर्णय गरियो:

तह १ VPN:
VPS यो छ सर्भर आन्तरिक ठेगाना 192.168.30.1 संग
एमएस यो छ ग्राहक आन्तरिक ठेगानाको साथ VPS 192.168.30.2
MK2 यो छ ग्राहक आन्तरिक ठेगानाको साथ VPS 192.168.30.3
MK3 यो छ ग्राहक आन्तरिक ठेगानाको साथ VPS 192.168.30.4

तह २ VPN:
एमएस यो छ सर्भर बाह्य ठेगाना 192.168.30.2 र आन्तरिक 192.168.31.1 संग
MK2 यो छ ग्राहक एमएस ठेगाना 192.168.30.2 संग र 192.168.31.2 को आन्तरिक IP छ
MK3 यो छ ग्राहक एमएस ठेगाना 192.168.30.2 संग र 192.168.31.3 को आन्तरिक IP छ

* एमएस - अपार्टमेन्ट १ मा राउटर सर्भर, MK2 - अपार्टमेन्ट २ मा राउटर, MK3 - अपार्टमेन्ट 3 मा राउटर
* यन्त्र कन्फिगरेसनहरू लेखको अन्त्यमा स्पोइलरमा प्रकाशित छन्।

र त्यसोभए, नेटवर्कको नोडहरू बीच पिंगहरू 192.168.31.0/24 जानुहोस्, यो GRE टनेल सेटअप गर्न अगाडि बढ्ने समय हो। त्यो भन्दा पहिले, राउटरहरूमा पहुँच गुमाउनको लागि, पोर्ट 22 लाई VPS मा फर्वार्ड गर्न SSH टनेलहरू सेट अप गर्न लायक छ, ताकि, उदाहरणका लागि, अपार्टमेन्ट 10022 बाट राउटर VPS को पोर्ट 2 मा उपलब्ध हुनेछ, र एक। अपार्टमेन्ट 11122 बाट राउटर VPS को पोर्ट 3 मा उपलब्ध हुनेछ। अपार्टमेन्ट XNUMX बाट राउटर। फर्वार्डिङ एउटै sshtunnel संग कन्फिगर गर्न सबै भन्दा राम्रो छ, किनभने यो खसेको अवस्थामा सुरुङ पुनर्स्थापित हुनेछ।

सुरुङ कन्फिगर गरिएको छ, तपाईं फर्वार्ड गरिएको पोर्ट मार्फत SSH मा जडान गर्न सक्नुहुन्छ:

ssh root@МОЙ_VPS -p 10022

अर्को तपाईंले असक्षम पार्नु पर्छ OpenVPN:

/etc/init.d/openvpn stop

अब अपार्टमेन्ट २ बाट राउटरमा GRE टनेल सेट अप गरौं:

ip link add grelan0 type gretap remote 192.168.31.1 local 192.168.31.2
ip link set grelan0 up

र पुलमा सिर्जना गरिएको इन्टरफेस थप्नुहोस्:

brctl addif br-lan grelan0

सर्भर राउटरमा समान प्रक्रिया गरौं:

ip link add grelan0 type gretap remote 192.168.31.2 local 192.168.31.1
ip link set grelan0 up

र, पनि, पुलमा सिर्जना गरिएको इन्टरफेस थप्नुहोस्:

brctl addif br-lan grelan0

यस क्षणबाट, पिंगहरू सफलतापूर्वक नयाँ नेटवर्कमा जान थाल्छन् र म, सन्तुष्टिको साथ, कफी पिउन जान्छु। त्यसपछि, तारको अर्को छेउमा रहेको सञ्जालले कसरी काम गर्छ भनेर हेर्नको लागि, म अपार्टमेन्ट २ मा रहेको एउटा कम्प्युटरमा SSH गर्ने प्रयास गर्छु, तर ssh क्लाइन्टले मलाई पासवर्डको लागि प्रोम्प्ट नगरी फ्रिज गर्छ। म पोर्ट 2 मा टेलनेट मार्फत यो कम्प्युटरमा जडान गर्ने प्रयास गर्छु र एक लाइन देख्छु जसबाट तपाइँ बुझ्न सक्नुहुन्छ कि जडान स्थापित भइरहेको छ, SSH सर्भरले प्रतिक्रिया दिइरहेको छ, तर केही कारणले यसले मलाई प्रवेश गर्न प्रस्ताव गर्दैन।

$ telnet 192.168.10.110 22
SSH-2.0-OpenSSH_8.1

म यसलाई VNC मार्फत जडान गर्न प्रयास गर्दैछु र म कालो स्क्रिन देख्छु। म आफैलाई विश्वस्त छु कि यो कुरा रिमोट कम्प्युटरमा छ, किनकि म आन्तरिक ठेगाना प्रयोग गरेर यस अपार्टमेन्टबाट राउटरमा सजिलै जडान गर्न सक्छु। यद्यपि, म राउटर मार्फत यस कम्प्युटरमा SSH गर्ने निर्णय गर्छु र जडान सफल भएको र रिमोट कम्प्युटरले राम्रोसँग काम गर्छ तर मेरो कम्प्युटरमा जडान गर्न असफल भएको थाहा पाउँदा छक्क परेको छु।

म grelan0 उपकरणलाई पुलबाट बाहिर निकाल्छु र यसलाई चलाउँछु। OpenVPN अपार्टमेन्ट २ मा रहेको राउटरमा, मैले नेटवर्क फेरि राम्ररी काम गरिरहेको र जडानहरू खस्किरहेको नभएको पुष्टि गरें। खोजी गर्दा, मैले त्यस्ता फोरमहरू भेटें जहाँ मानिसहरूले उही समस्याहरूको बारेमा गुनासो गरिरहेका थिए, र जहाँ उनीहरूलाई MTU बढाउन सल्लाह दिइएको थियो। भनिएकै समयमा सकियो। यद्यपि, MTU पर्याप्त उच्च सेट नभएसम्म—gretap उपकरणहरूको लागि ७०००—मैले TCP जडानहरू घटेको वा कम स्थानान्तरण गति अनुभव गरें। gretap को लागि उच्च MTU को कारण, जडानहरूको लागि MTU WireGuard पहिलो र दोस्रो स्तर क्रमशः ८००० र ७५०० मा सेट गरिएको थियो।

मैले अपार्टमेन्ट 3 बाट राउटरमा समान सेटअप गरें, फरक यति मात्र हो कि grelan1 नामको दोस्रो ग्रेटाप इन्टरफेस सर्भर राउटरमा थपिएको थियो, जुन br-lan ब्रिजमा पनि थपिएको थियो।

सबै काम भइरहेको छ। अब तपाईले gretap असेंबलीलाई अटोलोडमा राख्न सक्नुहुन्छ। यसका लागि:

अपार्टमेन्ट २ मा राउटरमा /etc/rc.local मा यी लाइनहरू राखियो:

ip link add grelan0 type gretap remote 192.168.31.1 local 192.168.31.2
ip link set dev grelan0 mtu 7000
ip link set grelan0 up
brctl addif br-lan grelan0

यसलाई अपार्टमेन्ट ३ मा राउटरमा /etc/rc.local मा थपियो:

ip link add grelan0 type gretap remote 192.168.31.1 local 192.168.31.3
ip link set dev grelan0 mtu 7000
ip link set grelan0 up
brctl addif br-lan grelan0

र सर्भर राउटरमा:

ip link add grelan0 type gretap remote 192.168.31.2 local 192.168.31.1
ip link set dev grelan0 mtu 7000
ip link set grelan0 up
brctl addif br-lan grelan0

ip link add grelan1 type gretap remote 192.168.31.3 local 192.168.31.1
ip link set dev grelan1 mtu 7000
ip link set grelan1 up
brctl addif br-lan grelan1

क्लाइन्ट राउटरहरू रिबुट गरेपछि, मैले पत्ता लगाएँ कि कुनै कारणले गर्दा तिनीहरू सर्भरमा जडान भइरहेका थिएनन्। तिनीहरूको SSH मा जडान गरेपछि (धन्यवाद, मैले पहिले यसको लागि sshtunnel कन्फिगर गरेको थिएँ), मैले पत्ता लगाएँ कि WireGuard कुनै कारणले गर्दा, यसले अन्तिम बिन्दुको लागि मार्ग सिर्जना गर्दछ, तर यो गलत छ। उदाहरणका लागि, १९२.१६८.३०.२ को लागि, मार्ग तालिकाले pppoe-wan इन्टरफेस मार्फत मार्ग निर्दिष्ट गर्‍यो, अर्थात्, इन्टरनेट मार्फत, यद्यपि यसमा जाने मार्ग wg0 इन्टरफेस मार्फत निर्देशित हुनुपर्थ्यो। यो मार्ग मेटाएपछि, जडान पुनर्स्थापित भयो। के म कसरी जबरजस्ती गर्ने भन्ने बारे कतै निर्देशनहरू पाउन सक्छु? WireGuard म यी रुटहरू सिर्जना गर्नबाट बच्न सकिन। यसबाहेक, मलाई यो पनि थाहा थिएन कि यो OpenWRT को सुविधा हो वा को WireGuardसमस्या पत्ता लगाउन धेरै समय खर्च नगरी, मैले दुबै राउटरहरूमा टाइमर-आधारित स्क्रिप्टमा एउटा लाइन थपे जसले यो रूट मेटाइदियो:

route del 192.168.30.2

संक्षेप हुँदै

पूर्ण अस्वीकृति OpenVPN मैले यो अहिलेसम्म हासिल गरेको छैन, किनकि मलाई कहिलेकाहीं ल्यापटप वा फोनबाट नयाँ नेटवर्कमा जडान गर्न आवश्यक पर्दछ, र तिनीहरूमा ग्रेट्याप उपकरण सेटअप गर्नु सामान्यतया असम्भव छ। यद्यपि, यसको बावजुद, मैले अपार्टमेन्टहरू बीच डेटा स्थानान्तरण गतिमा फाइदा प्राप्त गरेको छु, र उदाहरणका लागि, VNC प्रयोग गर्नु अब झन्झटमुक्त छ। पिङ थोरै घटेको छ तर अझ स्थिर भएको छ:

प्रयोग गर्दै OpenVPN:

[r0ck3r@desktop ~]$ ping -c 20 192.168.10.110
PING 192.168.10.110 (192.168.10.110) 56(84) bytes of data.
64 bytes from 192.168.10.110: icmp_seq=1 ttl=64 time=133 ms
...
64 bytes from 192.168.10.110: icmp_seq=20 ttl=64 time=125 ms

--- 192.168.10.110 ping statistics ---
20 packets transmitted, 20 received, 0% packet loss, time 19006ms
rtt min/avg/max/mdev = 124.722/126.152/136.907/3.065 ms

प्रयोग गर्दै WireGuard:

[r0ck3r@desktop ~]$ ping -c 20 192.168.10.110
PING 192.168.10.110 (192.168.10.110) 56(84) bytes of data.
64 bytes from 192.168.10.110: icmp_seq=1 ttl=64 time=124 ms
...
64 bytes from 192.168.10.110: icmp_seq=20 ttl=64 time=124 ms
--- 192.168.10.110 ping statistics ---
20 packets transmitted, 20 received, 0% packet loss, time 19003ms
rtt min/avg/max/mdev = 123.954/124.423/126.708/0.675 ms

यो प्रायः VPS मा उच्च पिंग द्वारा प्रभावित छ जुन लगभग 61.5ms छ

यद्यपि, गति उल्लेखनीय रूपमा बढेको छ। त्यसैले, राउटर-सर्भर भएको अपार्टमेन्टमा, मेरो इन्टरनेट जडान गति ३० Mbps छ, र अन्य अपार्टमेन्टहरूमा यो ५ Mbps छ। यसबाहेक, प्रयोगको समयमा OpenVPN iperf रिडिङ अनुसार म ३.८ Mbps भन्दा बढी नेटवर्कहरू बीच डाटा ट्रान्सफर गति प्राप्त गर्न असमर्थ थिएँ, जबकि WireGuard यसलाई उही ५ Mbit/sec सम्म "पम्प" गरियो।

कन्फिगरेसन WireGuard VPS मा[Interface]
Address = 192.168.30.1/24
ListenPort = 51820
PrivateKey = <ЗАКРЫТЫЙ_КЛЮЧ_ДЛЯ_VPS>

[साथी]
सार्वजनिक कुञ्जी = <VPN_1_MS_PUBLIC_KEY>
अनुमति प्राप्त आईपीहरू = १०.३.२.२/३२

[साथी]
सार्वजनिक कुञ्जी = <VPN_2_MK2_PUBLIC_KEY>
अनुमति प्राप्त आईपीहरू = १०.३.२.२/३२

[साथी]
सार्वजनिक कुञ्जी = <VPN_2_MK3_PUBLIC_KEY>
अनुमति प्राप्त आईपीहरू = १०.३.२.२/३२

कन्फिगरेसन WireGuard MS मा (/etc/config/network मा थपिएको)

#VPN первого уровня - клиент
config interface 'wg0'
        option proto 'wireguard'
        list addresses '192.168.30.2/24'
        option private_key 'ЗАКРЫТЫЙ_КЛЮЧ_VPN_1_МС'
        option auto '1'
        option mtu '8000'

config wireguard_wg0
        option public_key 'ОТКРЫТЫЙ_КЛЮЧ_VPN_1_VPS'
        option endpoint_port '51820'
        option route_allowed_ips '1'
        option persistent_keepalive '25'
        list allowed_ips '192.168.30.0/24'
        option endpoint_host 'IP_АДРЕС_VPS'

#VPN второго уровня - сервер
config interface 'wg1'
        option proto 'wireguard'
        option private_key 'ЗАКРЫТЫЙ_КЛЮЧ_VPN_2_МС'
        option listen_port '51821'
        list addresses '192.168.31.1/24'
        option auto '1'
        option mtu '7500'

config wireguard_wg1
        option public_key 'ОТКРЫТЫЙ_КЛЮЧ_VPN_2_МК2'
        list allowed_ips '192.168.31.2'

config wireguard_wg1ip link add grelan0 type gretap remote 192.168.31.1 local 192.168.31.3

        option public_key 'ОТКРЫТЫЙ_КЛЮЧ_VPN_2_МК3'
        list allowed_ips '192.168.31.3'

कन्फिगरेसन WireGuard MK2 मा (/etc/config/network मा थपिएको)

#VPN первого уровня - клиент
config interface 'wg0'
        option proto 'wireguard'
        list addresses '192.168.30.3/24'
        option private_key 'ЗАКРЫТЫЙ_КЛЮЧ_VPN_1_МК2'
        option auto '1'
        option mtu '8000'

config wireguard_wg0
        option public_key 'ОТКРЫТЫЙ_КЛЮЧ_VPN_1_VPS'
        option endpoint_port '51820'
        option persistent_keepalive '25'
        list allowed_ips '192.168.30.0/24'
        option endpoint_host 'IP_АДРЕС_VPS'

#VPN второго уровня - клиент
config interface 'wg1'
        option proto 'wireguard'
        option private_key 'ЗАКРЫТЫЙ_КЛЮЧ_VPN_2_МК2'
        list addresses '192.168.31.2/24'
        option auto '1'
        option listen_port '51821'
        option mtu '7500'

config wireguard_wg1
        option public_key 'ОТКРЫТЫЙ_КЛЮЧ_VPN_2_МС'
        option endpoint_host '192.168.30.2'
        option endpoint_port '51821'
        option persistent_keepalive '25'
        list allowed_ips '192.168.31.0/24'

कन्फिगरेसन WireGuard MK3 मा (/etc/config/network मा थपिएको)

#VPN первого уровня - клиент
config interface 'wg0'
        option proto 'wireguard'
        list addresses '192.168.30.4/24'
        option private_key 'ЗАКРЫТЫЙ_КЛЮЧ_VPN_1_МК3'
        option auto '1'
        option mtu '8000'

config wireguard_wg0
        option public_key 'ОТКРЫТЫЙ_КЛЮЧ_VPN_1_VPS'
        option endpoint_port '51820'
        option persistent_keepalive '25'
        list allowed_ips '192.168.30.0/24'
        option endpoint_host 'IP_АДРЕС_VPS'

#VPN второго уровня - клиент
config interface 'wg1'
        option proto 'wireguard'
        option private_key 'ЗАКРЫТЫЙ_КЛЮЧ_VPN_2_МК3'
        list addresses '192.168.31.3/24'
        option auto '1'
        option listen_port '51821'
        option mtu '7500'

config wireguard_wg1
        option public_key 'ОТКРЫТЫЙ_КЛЮЧ_VPN_2_МС'
        option endpoint_host '192.168.30.2'
        option endpoint_port '51821'
        option persistent_keepalive '25'
        list allowed_ips '192.168.31.0/24'

दोस्रो स्तरको VPN को लागि वर्णन गरिएको कन्फिगरेसनहरूमा, म ग्राहकहरूलाई संकेत गर्छु WireGuard पोर्ट ५१८२१। यो आवश्यक हुनुहुँदैन, किनकि क्लाइन्टले कुनै पनि नि:शुल्क, विशेषाधिकार नभएको पोर्टबाट जडान स्थापना गर्नेछ, तर मैले यो यसरी गरें ताकि म सबै राउटरहरूको wg0 इन्टरफेसमा सबै आगमन जडानहरूलाई अस्वीकार गर्न सकूँ, पोर्ट ५१८२१ मा आगमन UDP जडानहरू बाहेक।

मलाई आशा छ कि लेख कसैलाई उपयोगी हुनेछ।

PS साथै, म मेरो स्क्रिप्ट साझा गर्न चाहन्छु जसले मलाई मेरो फोनमा WirePusher अनुप्रयोगमा पुश सूचना पठाउँदछ जब मेरो नेटवर्कमा नयाँ उपकरण देखा पर्दछ। यहाँ स्क्रिप्टको लिङ्क छ: github.com/r0ck3r/device_discover.

अद्यतन: कन्फिगरेसन OpenVPN- सर्भर र ग्राहकहरू

OpenVPN-सर्भर

client-to-client

ca /etc/openvpn/server/ca.crt
cert /etc/openvpn/server/vpn-server.crt
dh /etc/openvpn/server/dh.pem
key /etc/openvpn/server/vpn-server.key

dev tap
ifconfig-pool-persist /etc/openvpn/ipp.txt 0
keepalive 10 60
proto tcp4
server-bridge 192.168.10.1 255.255.255.0 192.168.10.80 192.168.10.254
status /var/log/openvpn-status.log
verb 3
comp-lzo

OpenVPN-ग्राहक

client
tls-client
dev tap
proto tcp
remote VPS_IP 1194 # Change to your router's External IP
resolv-retry infinite
nobind

ca client/ca.crt
cert client/client.crt
key client/client.key
dh client/dh.pem

comp-lzo
persist-tun
persist-key
verb 3

मैले प्रमाणपत्रहरू उत्पन्न गर्न सजिलो-rsa प्रयोग गरें।

स्रोत: www.habr.com