🥇 OpenVPN बाट WireGuard मा सञ्जालहरूलाई एक L2 नेटवर्कमा समेकित गर्न माइग्रेसन

म तीनवटा भौगोलिक रूपमा टाढाको अपार्टमेन्टहरूमा नेटवर्कहरू संयोजन गर्ने मेरो अनुभव साझा गर्न चाहन्छु, जसमध्ये प्रत्येकले OpenWRT सँग गेटवेको रूपमा राउटरहरू प्रयोग गर्दछ, एउटा साझा नेटवर्कमा। सबै नेटवर्क नोडहरू एउटै सबनेटमा हुँदा L3 र ब्रिजिङको साथ L2 बीचको सञ्जालहरू संयोजन गर्ने विधि छनोट गर्दा, दोस्रो विधिलाई प्राथमिकता दिइयो, जुन कन्फिगर गर्न गाह्रो छ, तर थप अवसरहरू प्रदान गर्दछ, किनभने पारदर्शी सिर्जना गरिएको नेटवर्क वेक-अन-ल्यान र DLNA मा प्रविधिहरूको प्रयोग योजना गरिएको थियो।

भाग १: पृष्ठभूमि

OpenVPN लाई प्रारम्भमा यो कार्य कार्यान्वयन गर्नको लागि प्रोटोकलको रूपमा छनोट गरिएको थियो, किनकि, पहिले, यसले ट्याप उपकरण सिर्जना गर्न सक्छ जुन कुनै समस्या बिना पुलमा थप्न सकिन्छ, र दोस्रो, OpenVPN ले TCP प्रोटोकलमा सञ्चालनलाई समर्थन गर्दछ, जुन पनि महत्त्वपूर्ण थियो। कुनै पनि अपार्टमेन्टमा समर्पित IP ठेगाना थिएन, र म STUN प्रयोग गर्न असमर्थ थिएँ, किनभने केही कारणले मेरो ISP ले तिनीहरूको नेटवर्कबाट आगमन UDP जडानहरूलाई रोक्छ, जबकि TCP प्रोटोकलले मलाई SSH प्रयोग गरेर भाडामा VPS मा VPN सर्भर पोर्ट फर्वार्ड गर्न अनुमति दियो। हो, यो दृष्टिकोणले ठूलो भार दिन्छ, किनकि डाटा दुई पटक ईन्क्रिप्ट गरिएको छ, तर म VPS लाई मेरो निजी नेटवर्कमा परिचय गराउन चाहन्न, किनकि त्यहाँ अझै पनि तेस्रो पक्षहरूले यसमा नियन्त्रण प्राप्त गर्ने जोखिम थियो, त्यसैले, यस्तो उपकरण भएको। गृह नेटवर्कमा अत्यन्तै अवांछनीय थियो र ठूलो ओभरहेडको साथ सुरक्षाको लागि भुक्तान गर्ने निर्णय गरियो।

राउटरमा पोर्ट फर्वार्ड गर्न जसमा सर्भर डिप्लोय गर्ने योजना थियो, sshtunnel कार्यक्रम प्रयोग गरिएको थियो। म यसको कन्फिगरेसनको जटिलताहरू वर्णन गर्दैन - यो धेरै सजिलै संग गरिन्छ, म भर्खरै नोट गर्छु कि यसको कार्य TCP पोर्ट 1194 लाई राउटरबाट VPS मा फर्वार्ड गर्नु थियो। अर्को, OpenVPN सर्भर tap0 उपकरणमा कन्फिगर गरिएको थियो, जुन br-lan पुलमा जडान गरिएको थियो। ल्यापटपबाट भर्खरै सिर्जना गरिएको सर्भरमा जडान जाँच गरिसकेपछि, यो स्पष्ट भयो कि पोर्ट फर्वार्डिङको विचार आफैंमा जायज छ र मेरो ल्यापटप राउटरको नेटवर्कको सदस्य बन्यो, यद्यपि यो भौतिक रूपमा यसमा थिएन।

कुरा सानो रह्यो: आईपी ठेगानाहरू बिभिन्न अपार्टमेन्टहरूमा वितरण गर्न आवश्यक थियो ताकि उनीहरूले ओपनभीपीएन ग्राहकहरूको रूपमा राउटरहरू द्वन्द्व र कन्फिगर नगरे।
निम्न राउटर IP ठेगानाहरू र DHCP सर्भर दायराहरू चयन गरिएका थिए:

192.168.10.1 दायरा संग 192.168.10.2 - 192.168.10.80 सर्भर को लागी
192.168.10.100 दायरा संग 192.168.10.101 - 192.168.10.149 अपार्टमेन्ट नम्बर २ मा राउटरको लागि
192.168.10.150 दायरा संग 192.168.10.151 - 192.168.10.199 अपार्टमेन्ट नम्बर २ मा राउटरको लागि

यसको कन्फिगरेसनमा लाइन थपेर OpenVPN सर्भरको क्लाइन्ट राउटरहरूमा ठ्याक्कै यी ठेगानाहरू असाइन गर्न पनि आवश्यक थियो:

ifconfig-pool-persist /etc/openvpn/ipp.txt 0

र निम्न लाइनहरू /etc/openvpn/ipp.txt फाइलमा थप्दै:

flat1_id 192.168.10.100
flat2_id 192.168.10.150

जहाँ flat1_id र flat2_id OpenVPN मा जडानको लागि प्रमाणपत्रहरू उत्पन्न गर्दा निर्दिष्ट गरिएको उपकरण नामहरू हुन्।

अर्को, OpenVPN क्लाइन्टहरू राउटरहरूमा कन्फिगर गरिएको थियो, दुबैमा ट्याप० यन्त्रहरू br-lan ब्रिजमा थपियो। यस चरणमा, सबै तीनवटा सञ्जालहरू एकअर्कालाई हेर्छन् र समग्र रूपमा काम गर्ने हुनाले, सबै कुरा व्यवस्थित देखिन्छ। जे होस्, एक धेरै रमाइलो विवरण बाहिर निस्कियो: कहिलेकाहीँ उपकरणहरूले आईपी ठेगाना तिनीहरूको राउटरबाट प्राप्त गर्न सक्दैनन्, सबै आगामी परिणामहरूको साथ। केहि कारणका लागि, एक अपार्टमेन्टमा राउटरसँग DHCPDISCOVER लाई समयमा प्रतिक्रिया दिन समय थिएन र उपकरणले गलत ठेगाना प्राप्त गर्यो। मैले महसुस गरें कि मैले प्रत्येक राउटरमा ट्याप० मा त्यस्ता अनुरोधहरू फिल्टर गर्न आवश्यक छ, तर यो बाहिरियो, iptables ले उपकरणसँग काम गर्न सक्दैन यदि यो पुलको अंश हो र ebtables मेरो उद्धारमा आउनु पर्छ। मेरो अफसोसको लागि, यो मेरो फर्मवेयरमा थिएन र मैले प्रत्येक उपकरणको लागि छविहरू पुन: निर्माण गर्नुपर्‍यो। यसो गरेर र प्रत्येक राउटरको /etc/rc.local मा यी लाइनहरू थपेर, समस्या हल भयो:

ebtables -A INPUT --in-interface tap0 --protocol ipv4 --ip-protocol udp --ip-destination-port 67:68 -j DROP
ebtables -A INPUT --in-interface tap0 --protocol ipv4 --ip-protocol udp --ip-source-port 67:68 -j DROP
ebtables -A FORWARD --out-interface tap0 --protocol ipv4 --ip-protocol udp --ip-destination-port 67:68 -j DROP
ebtables -A FORWARD --out-interface tap0 --protocol ipv4 --ip-protocol udp --ip-source-port 67:68 -j DROP

यो कन्फिगरेसन तीन वर्षसम्म चल्यो।

भाग २: WireGuard को परिचय

हालै, इन्टरनेटले WireGuard को बारेमा बढ्दो कुरा गरिरहेको छ, यसको कन्फिगरेसनको सरलता, उच्च स्थानान्तरण गति, तुलनात्मक सुरक्षाको साथ कम पिंगको प्रशंसा गर्दै। यसको बारेमा थप जानकारीको लागि खोजी गर्दा यो स्पष्ट भयो कि न त ब्रिज सदस्यको रूपमा काम गर्दछ र न त TCP प्रोटोकलमा काम गर्दछ यसले समर्थन गर्दछ, जसले मलाई सोच्यो कि मेरो लागि OpenVPN को विकल्पहरू छैनन्। त्यसैले मैले WireGuard लाई चिन्न छोडें।

केही दिन अघि, समाचार स्रोतहरू मार्फत फैलियो वा IT सँग सम्बन्धित छ कि WireGuard अन्ततः लिनक्स कर्नेलमा समावेश हुनेछ, संस्करण 5.6 बाट सुरु हुँदै। समाचार लेखहरू, सधैं जस्तै, WireGuard को प्रशंसा गरे। म फेरि राम्रो पुरानो OpenVPN लाई प्रतिस्थापन गर्ने तरिकाहरूको खोजीमा डुब्यो। यस पटक म भित्र पसे यो लेख। यसले GRE प्रयोग गरेर L3 मा इथरनेट टनेल सिर्जना गर्ने बारे कुरा गर्यो। यो लेखले मलाई आशा दियो। यो UDP प्रोटोकल संग के गर्ने अस्पष्ट रह्यो। खोजीले मलाई UDP पोर्ट फर्वार्ड गर्न SSH टनेलको साथ संयोजनमा socat प्रयोग गर्ने बारे लेखहरूमा पुर्‍यायो, तथापि, तिनीहरूले नोट गरे कि यो दृष्टिकोण केवल एकल जडान मोडमा काम गर्दछ, जसको मतलब धेरै VPN ग्राहकहरू असम्भव हुनेछ। म VPS मा VPN सर्भर सेटअप गर्ने र ग्राहकहरूको लागि GRE कन्फिगर गर्ने विचारको साथ आएको हुँ, तर यो बाहिरियो, GRE ले इन्क्रिप्शनलाई समर्थन गर्दैन, जसले तेस्रो पक्षहरूले सर्भरमा पहुँच प्राप्त गरेमा, मेरो नेटवर्कहरू बीचको सबै ट्राफिकहरू तिनीहरूको हातमा छन् जुन मलाई उपयुक्त थिएन।

फेरि, निम्न योजना अनुसार VPN मा VPN प्रयोग गरेर, अनावश्यक इन्क्रिप्शनको पक्षमा निर्णय गरियो:

तह १ VPN:
VPS यो छ सर्भर आन्तरिक ठेगाना 192.168.30.1 संग
एमएस यो छ ग्राहक आन्तरिक ठेगानाको साथ VPS 192.168.30.2
MK2 यो छ ग्राहक आन्तरिक ठेगानाको साथ VPS 192.168.30.3
MK3 यो छ ग्राहक आन्तरिक ठेगानाको साथ VPS 192.168.30.4

तह २ VPN:
एमएस यो छ सर्भर बाह्य ठेगाना 192.168.30.2 र आन्तरिक 192.168.31.1 संग
MK2 यो छ ग्राहक एमएस ठेगाना 192.168.30.2 संग र 192.168.31.2 को आन्तरिक IP छ
MK3 यो छ ग्राहक एमएस ठेगाना 192.168.30.2 संग र 192.168.31.3 को आन्तरिक IP छ

* एमएस - अपार्टमेन्ट १ मा राउटर सर्भर, MK2 - अपार्टमेन्ट २ मा राउटर, MK3 - अपार्टमेन्ट 3 मा राउटर
* यन्त्र कन्फिगरेसनहरू लेखको अन्त्यमा स्पोइलरमा प्रकाशित छन्।

र त्यसोभए, नेटवर्कको नोडहरू बीच पिंगहरू 192.168.31.0/24 जानुहोस्, यो GRE टनेल सेटअप गर्न अगाडि बढ्ने समय हो। त्यो भन्दा पहिले, राउटरहरूमा पहुँच गुमाउनको लागि, पोर्ट 22 लाई VPS मा फर्वार्ड गर्न SSH टनेलहरू सेट अप गर्न लायक छ, ताकि, उदाहरणका लागि, अपार्टमेन्ट 10022 बाट राउटर VPS को पोर्ट 2 मा उपलब्ध हुनेछ, र एक। अपार्टमेन्ट 11122 बाट राउटर VPS को पोर्ट 3 मा उपलब्ध हुनेछ। अपार्टमेन्ट XNUMX बाट राउटर। फर्वार्डिङ एउटै sshtunnel संग कन्फिगर गर्न सबै भन्दा राम्रो छ, किनभने यो खसेको अवस्थामा सुरुङ पुनर्स्थापित हुनेछ।

सुरुङ कन्फिगर गरिएको छ, तपाईं फर्वार्ड गरिएको पोर्ट मार्फत SSH मा जडान गर्न सक्नुहुन्छ:

ssh root@МОЙ_VPS -p 10022

अर्को, OpenVPN असक्षम गर्नुहोस्:

/etc/init.d/openvpn stop

अब अपार्टमेन्ट २ बाट राउटरमा GRE टनेल सेट अप गरौं:

ip link add grelan0 type gretap remote 192.168.31.1 local 192.168.31.2
ip link set grelan0 up

र पुलमा सिर्जना गरिएको इन्टरफेस थप्नुहोस्:

brctl addif br-lan grelan0

सर्भर राउटरमा समान प्रक्रिया गरौं:

ip link add grelan0 type gretap remote 192.168.31.2 local 192.168.31.1
ip link set grelan0 up

र, पनि, पुलमा सिर्जना गरिएको इन्टरफेस थप्नुहोस्:

brctl addif br-lan grelan0

यस क्षणबाट, पिंगहरू सफलतापूर्वक नयाँ नेटवर्कमा जान थाल्छन् र म, सन्तुष्टिको साथ, कफी पिउन जान्छु। त्यसपछि, तारको अर्को छेउमा रहेको सञ्जालले कसरी काम गर्छ भनेर हेर्नको लागि, म अपार्टमेन्ट २ मा रहेको एउटा कम्प्युटरमा SSH गर्ने प्रयास गर्छु, तर ssh क्लाइन्टले मलाई पासवर्डको लागि प्रोम्प्ट नगरी फ्रिज गर्छ। म पोर्ट 2 मा टेलनेट मार्फत यो कम्प्युटरमा जडान गर्ने प्रयास गर्छु र एक लाइन देख्छु जसबाट तपाइँ बुझ्न सक्नुहुन्छ कि जडान स्थापित भइरहेको छ, SSH सर्भरले प्रतिक्रिया दिइरहेको छ, तर केही कारणले यसले मलाई प्रवेश गर्न प्रस्ताव गर्दैन।

$ telnet 192.168.10.110 22
SSH-2.0-OpenSSH_8.1

म यसलाई VNC मार्फत जडान गर्न प्रयास गर्दैछु र म कालो स्क्रिन देख्छु। म आफैलाई विश्वस्त छु कि यो कुरा रिमोट कम्प्युटरमा छ, किनकि म आन्तरिक ठेगाना प्रयोग गरेर यस अपार्टमेन्टबाट राउटरमा सजिलै जडान गर्न सक्छु। यद्यपि, म राउटर मार्फत यस कम्प्युटरमा SSH गर्ने निर्णय गर्छु र जडान सफल भएको र रिमोट कम्प्युटरले राम्रोसँग काम गर्छ तर मेरो कम्प्युटरमा जडान गर्न असफल भएको थाहा पाउँदा छक्क परेको छु।

म ग्रेलान० यन्त्रलाई ब्रिजबाट बाहिर निकाल्छु र अपार्टमेन्ट 0 मा राउटरमा OpenVPN सुरु गर्छु र नेटवर्कले फेरि ठीकसँग काम गरिरहेको छ र जडानहरू खसिरहेको छैन भनी सुनिश्चित गर्छु। खोज्दै म फोरमहरू भेट्छु जहाँ मानिसहरूले समान समस्याहरूको बारेमा गुनासो गर्छन्, जहाँ उनीहरूलाई MTU उठाउन सल्लाह दिइन्छ। भन्नुभन्दा चाँडो भयो। यद्यपि, ग्रेटाप यन्त्रहरूका लागि MTU 2 मा पर्याप्त मात्रामा सेट नभएसम्म, या त TCP जडानहरू छोडियो वा ढिलो प्रसारणहरू अवलोकन गरियो। ग्रेटापको लागि उच्च MTU को कारणले, पहिलो र दोस्रो स्तरको WireGuard जडानहरूको लागि MTU क्रमशः 7000 र 8000 मा सेट गरिएको थियो।

मैले अपार्टमेन्ट 3 बाट राउटरमा समान सेटअप गरें, फरक यति मात्र हो कि grelan1 नामको दोस्रो ग्रेटाप इन्टरफेस सर्भर राउटरमा थपिएको थियो, जुन br-lan ब्रिजमा पनि थपिएको थियो।

सबै काम भइरहेको छ। अब तपाईले gretap असेंबलीलाई अटोलोडमा राख्न सक्नुहुन्छ। यसका लागि:

अपार्टमेन्ट २ मा राउटरमा /etc/rc.local मा यी लाइनहरू राखियो:

ip link add grelan0 type gretap remote 192.168.31.1 local 192.168.31.2
ip link set dev grelan0 mtu 7000
ip link set grelan0 up
brctl addif br-lan grelan0

यसलाई अपार्टमेन्ट ३ मा राउटरमा /etc/rc.local मा थपियो:

ip link add grelan0 type gretap remote 192.168.31.1 local 192.168.31.3
ip link set dev grelan0 mtu 7000
ip link set grelan0 up
brctl addif br-lan grelan0

र सर्भर राउटरमा:

ip link add grelan0 type gretap remote 192.168.31.2 local 192.168.31.1
ip link set dev grelan0 mtu 7000
ip link set grelan0 up
brctl addif br-lan grelan0

ip link add grelan1 type gretap remote 192.168.31.3 local 192.168.31.1
ip link set dev grelan1 mtu 7000
ip link set grelan1 up
brctl addif br-lan grelan1

क्लाइन्ट राउटरहरू रिबुट गरेपछि, मैले फेला पारे कि केही कारणले तिनीहरू सर्भरमा जडान भएनन्। तिनीहरूको SSH मा जडान गर्दै (भाग्यवश, मैले यसका लागि पहिले sshtunnel कन्फिगर गरेको थिएँ), यो पत्ता लाग्यो कि WireGuard ले कुनै कारणले अन्त पोइन्टको लागि मार्ग सिर्जना गर्दछ, गलत हुँदा। त्यसोभए, 192.168.30.2 को लागि, मार्ग तालिका pppoe-wan इन्टरफेस मार्फत रूट तालिकामा निर्दिष्ट गरिएको थियो, त्यो हो, इन्टरनेट मार्फत, यद्यपि यसको मार्ग wg0 इन्टरफेस मार्फत निर्देशित गरिएको हुनुपर्छ। यो मार्ग मेटाएपछि, जडान पुनर्स्थापित गरियो। मैले WireGuard लाई कसरी यी मार्गहरू सिर्जना नगर्न बाध्य पार्ने भन्ने बारे निर्देशनहरू फेला पार्न सकिन। यसबाहेक, मैले यो पनि बुझिन कि यो OpenWRT को एक विशेषता हो, वा WireGuard को। लामो समयको लागि यो समस्याको सामना नगरी, मैले टाइमर द्वारा लुप गरिएको स्क्रिप्टमा दुबै राउटरहरूमा मात्र थपें, यो मार्ग मेटाउने रेखा:

route del 192.168.30.2

संक्षेप हुँदै

मैले अझै पनि OpenVPN को पूर्ण अस्वीकृति हासिल गरेको छैन, किनकि मलाई कहिलेकाहीं ल्यापटप वा फोनबाट नयाँ नेटवर्कमा जडान गर्न आवश्यक छ, र तिनीहरूमा ग्रेटाप उपकरण सेट अप गर्न सामान्यतया असम्भव छ, तर यसको बाबजुद, मैले डेटा स्थानान्तरणमा फाइदा पाएँ। अपार्टमेन्टहरू बीचको गति र, उदाहरणका लागि, VNC प्रयोग गर्नु अब असुविधाजनक छैन। पिङ थोरै घट्यो, तर थप स्थिर भयो:

OpenVPN प्रयोग गर्दा:

[r0ck3r@desktop ~]$ ping -c 20 192.168.10.110
PING 192.168.10.110 (192.168.10.110) 56(84) bytes of data.
64 bytes from 192.168.10.110: icmp_seq=1 ttl=64 time=133 ms
...
64 bytes from 192.168.10.110: icmp_seq=20 ttl=64 time=125 ms

--- 192.168.10.110 ping statistics ---
20 packets transmitted, 20 received, 0% packet loss, time 19006ms
rtt min/avg/max/mdev = 124.722/126.152/136.907/3.065 ms

WireGuard प्रयोग गर्दा:

[r0ck3r@desktop ~]$ ping -c 20 192.168.10.110
PING 192.168.10.110 (192.168.10.110) 56(84) bytes of data.
64 bytes from 192.168.10.110: icmp_seq=1 ttl=64 time=124 ms
...
64 bytes from 192.168.10.110: icmp_seq=20 ttl=64 time=124 ms
--- 192.168.10.110 ping statistics ---
20 packets transmitted, 20 received, 0% packet loss, time 19003ms
rtt min/avg/max/mdev = 123.954/124.423/126.708/0.675 ms

यो प्रायः VPS मा उच्च पिंग द्वारा प्रभावित छ जुन लगभग 61.5ms छ

तर, गति उल्लेखनीय रूपमा बढेको छ। त्यसोभए, राउटर-सर्भर भएको अपार्टमेन्टमा, मसँग इन्टरनेट जडानको गति 30 एमबीपीएस छ, र अन्य अपार्टमेन्टहरूमा, 5 एमबीपीएस। एकै समयमा, OpenVPN प्रयोग गर्दा, मैले iperf अनुसार 3,8 Mbps भन्दा बढी नेटवर्कहरू बीच डाटा स्थानान्तरण दर प्राप्त गर्न सकिन, जबकि WireGuard ले यसलाई उही 5 Mbps सम्म "पम्प" गर्यो।

VPS मा WireGuard कन्फिगरेसन[Interface] Address = 192.168.30.1/24 ListenPort = 51820 PrivateKey = <ЗАКРЫТЫЙ_КЛЮЧ_ДЛЯ_VPS>


[Peer]
PublicKey = <ОТКРЫТЫЙ_КЛЮЧ_VPN_1_МС>

AllowedIPs = 192.168.30.2/32
[Peer]
PublicKey = <ОТКРЫТЫЙ_КЛЮЧ_VPN_2_МК2>

AllowedIPs = 192.168.30.3/32
[Peer]
PublicKey = <ОТКРЫТЫЙ_КЛЮЧ_VPN_2_МК3>

AllowedIPs = 192.168.30.4/32

MS मा WireGuard कन्फिगरेसन (/etc/config/network मा थपियो)

#VPN первого уровня - клиент
config interface 'wg0'
        option proto 'wireguard'
        list addresses '192.168.30.2/24'
        option private_key 'ЗАКРЫТЫЙ_КЛЮЧ_VPN_1_МС'
        option auto '1'
        option mtu '8000'

config wireguard_wg0
        option public_key 'ОТКРЫТЫЙ_КЛЮЧ_VPN_1_VPS'
        option endpoint_port '51820'
        option route_allowed_ips '1'
        option persistent_keepalive '25'
        list allowed_ips '192.168.30.0/24'
        option endpoint_host 'IP_АДРЕС_VPS'

#VPN второго уровня - сервер
config interface 'wg1'
        option proto 'wireguard'
        option private_key 'ЗАКРЫТЫЙ_КЛЮЧ_VPN_2_МС'
        option listen_port '51821'
        list addresses '192.168.31.1/24'
        option auto '1'
        option mtu '7500'

config wireguard_wg1
        option public_key 'ОТКРЫТЫЙ_КЛЮЧ_VPN_2_МК2'
        list allowed_ips '192.168.31.2'

config wireguard_wg1ip link add grelan0 type gretap remote 192.168.31.1 local 192.168.31.3

        option public_key 'ОТКРЫТЫЙ_КЛЮЧ_VPN_2_МК3'
        list allowed_ips '192.168.31.3'

MK2 मा WireGuard कन्फिगरेसन (/etc/config/network मा थपियो)

#VPN первого уровня - клиент
config interface 'wg0'
        option proto 'wireguard'
        list addresses '192.168.30.3/24'
        option private_key 'ЗАКРЫТЫЙ_КЛЮЧ_VPN_1_МК2'
        option auto '1'
        option mtu '8000'

config wireguard_wg0
        option public_key 'ОТКРЫТЫЙ_КЛЮЧ_VPN_1_VPS'
        option endpoint_port '51820'
        option persistent_keepalive '25'
        list allowed_ips '192.168.30.0/24'
        option endpoint_host 'IP_АДРЕС_VPS'

#VPN второго уровня - клиент
config interface 'wg1'
        option proto 'wireguard'
        option private_key 'ЗАКРЫТЫЙ_КЛЮЧ_VPN_2_МК2'
        list addresses '192.168.31.2/24'
        option auto '1'
        option listen_port '51821'
        option mtu '7500'

config wireguard_wg1
        option public_key 'ОТКРЫТЫЙ_КЛЮЧ_VPN_2_МС'
        option endpoint_host '192.168.30.2'
        option endpoint_port '51821'
        option persistent_keepalive '25'
        list allowed_ips '192.168.31.0/24'

MK3 मा WireGuard कन्फिगरेसन (/etc/config/network मा थपियो)

#VPN первого уровня - клиент
config interface 'wg0'
        option proto 'wireguard'
        list addresses '192.168.30.4/24'
        option private_key 'ЗАКРЫТЫЙ_КЛЮЧ_VPN_1_МК3'
        option auto '1'
        option mtu '8000'

config wireguard_wg0
        option public_key 'ОТКРЫТЫЙ_КЛЮЧ_VPN_1_VPS'
        option endpoint_port '51820'
        option persistent_keepalive '25'
        list allowed_ips '192.168.30.0/24'
        option endpoint_host 'IP_АДРЕС_VPS'

#VPN второго уровня - клиент
config interface 'wg1'
        option proto 'wireguard'
        option private_key 'ЗАКРЫТЫЙ_КЛЮЧ_VPN_2_МК3'
        list addresses '192.168.31.3/24'
        option auto '1'
        option listen_port '51821'
        option mtu '7500'

config wireguard_wg1
        option public_key 'ОТКРЫТЫЙ_КЛЮЧ_VPN_2_МС'
        option endpoint_host '192.168.30.2'
        option endpoint_port '51821'
        option persistent_keepalive '25'
        list allowed_ips '192.168.31.0/24'

दोस्रो स्तरको VPN को लागि वर्णन गरिएको कन्फिगरेसनहरूमा, मैले WireGuard ग्राहकहरूलाई पोर्ट 51821 निर्दिष्ट गरेको छु। सिद्धान्तमा, यो आवश्यक छैन, किनकि ग्राहकले कुनै पनि निःशुल्क गैर-विशेषाधिकार प्राप्त पोर्टबाट जडान स्थापना गर्नेछ, तर मैले यसलाई सबै आगमन जडानहरू बनाउन पोर्ट 0 मा आगमन UDP जडानहरू बाहेक सबै राउटरहरूको wg51821 इन्टरफेसहरूमा अस्वीकार गर्न सकिन्छ।

मलाई आशा छ कि लेख कसैलाई उपयोगी हुनेछ।

PS साथै, म मेरो स्क्रिप्ट साझा गर्न चाहन्छु जसले मलाई मेरो फोनमा WirePusher अनुप्रयोगमा पुश सूचना पठाउँदछ जब मेरो नेटवर्कमा नयाँ उपकरण देखा पर्दछ। यहाँ स्क्रिप्टको लिङ्क छ: github.com/r0ck3r/device_discover.

अद्यतन: OpenVPN सर्भर र क्लाइन्ट कन्फिगरेसन

OpenVPN सर्भर

client-to-client

ca /etc/openvpn/server/ca.crt
cert /etc/openvpn/server/vpn-server.crt
dh /etc/openvpn/server/dh.pem
key /etc/openvpn/server/vpn-server.key

dev tap
ifconfig-pool-persist /etc/openvpn/ipp.txt 0
keepalive 10 60
proto tcp4
server-bridge 192.168.10.1 255.255.255.0 192.168.10.80 192.168.10.254
status /var/log/openvpn-status.log
verb 3
comp-lzo

OpenVPN ग्राहक

client
tls-client
dev tap
proto tcp
remote VPS_IP 1194 # Change to your router's External IP
resolv-retry infinite
nobind

ca client/ca.crt
cert client/client.crt
key client/client.key
dh client/dh.pem

comp-lzo
persist-tun
persist-key
verb 3

मैले प्रमाणपत्रहरू उत्पन्न गर्न सजिलो-rsa प्रयोग गरें।

स्रोत: www.habr.com

OpenVPN बाट WireGuard मा सञ्जालहरूलाई एक L2 नेटवर्कमा समेकित गर्न माइग्रेसन

भाग १: पृष्ठभूमि

भाग २: WireGuard को परिचय

संक्षेप हुँदै

एक टिप्पणी थप्न Отменить ответ