Przyspieszamy OpenVPN na routerze Openwrt. Alternatywna wersja bez lutowania i hardwarowego ekstremizmu.

Cześć wszystkim, niedawno przeczytałem dawną artykuł na temat przyspieszenia OpenVPN na routerze poprzez przeniesienie szyfrowania na osobny sprzęt, który jest lutowany wewnątrz routera. Mam podobny przypadek do autora — TP-Link WDR3500 z 128 megabajtami RAM i słabym procesorem, który po prostu nie radzi sobie z szyfrowaniem tuneli. Niemniej jednak, kategorycznie nie chciałem majstrować w routerze lutownicą. Poniżej przedstawiam moje doświadczenie związane z przeniesieniem OpenVPN na osobny sprzęt z rezerwowaniem na przypadku awarii.

Zadanie

Posiadam router TP-Link WDR3500 i Orange Pi Zero H2. Chcemy, aby to Orange Pi zajmowało się szyfrowaniem tuneli w trybie normalnym, a w razie awarii VPN przetwarzanie wróciło z powrotem na router. Wszystkie ustawienia zapory na routerze powinny działać jak wcześniej. Ogólnie rzecz biorąc, dodanie dodatkowego sprzętu powinno przebiegać dla wszystkich w sposób przejrzysty i niezauważalny. OpenVPN działa w trybie TCP, adapter TAP w trybie mostka (server-bridge).

Rozwiązanie

Zamiast połączenia przez USB postanowiłem wykorzystać jeden port routera i podłączyć przez niego wszystkie podsieci, w których znajduje się mostek VPN. Oznacza to, że urządzenie fizycznie będzie obecne w tych samych sieciach, co serwery VPN na routerze. Następnie uruchamiamy dokładnie te same serwery na Orange Pi, a na routerze konfigurujemy jakiś proxy, aby przepuszczał wszystkie przychodzące połączenia do zewnętrznego serwera, a jeśli Orange Pi zawiedzie lub będzie niedostępne — wtedy na wewnętrzny serwer zapasowy. Wybrałem HAProxy.

Wygląda na to:

1. Przychodzi klient
2. Jeśli zewnętrzny serwer jest niedostępny — tak jak wcześniej połączenie odbywa się na wewnętrzny serwer
3. Jeśli jest dostępny — klienta przyjmuje Orange Pi
4. VPN na Orange Pi deszyfruje pakiety i odsyła je z powrotem do routera
5. Router kieruje je gdzie indziej

Przykład realizacji

Załóżmy, że na routerze mamy dwie sieci — main(1) i guest(2), dla każdej z nich jest serwer OpenVPN do połączeń z zewnątrz.

Konfiguracja sieci

Musimy przepuścić obie sieci przez jeden port, więc tworzymy 2 VLAN-y.

Na routerze w sekcji Network/Switch tworzymy VLAN-y (na przykład 1 i 2) i włączamy je w trybie tagged na odpowiednim porcie, dodajemy nowo utworzone eth0.1 i eth0.2 do odpowiednich sieci (na przykład, dodajemy do mostka).

Na Orange Pi tworzymy dwa interfejsy VLAN (mam Archlinux ARM + netctl):

/etc/netctl/vlan-main

Description='Główny VLAN na eth0'
Interface=vlan-main
Connection=vlan
BindsToInterfaces=eth0
VLANID=1
IP=no

/etc/netctl/vlan-guest

Description='Gościnny VLAN na eth0'
Interface=vlan-guest
Connection=vlan
BindsToInterfaces=eth0
VLANID=2
IP=no

A od razu tworzymy dwa mostki dla nich:

/etc/netctl/br-main

Opis="Główne połączenie mostowe"
Interfejs=br-main
Połączenie=bridge
Powiązane z interfejsami=(vlan-main)
IP=dhcp

/etc/netctl/br-guest

Opis="Połączenie mostowe gościa"
Interfejs=br-guest
Połączenie=bridge
Powiązane z interfejsami=(vlan-guest)
IP=dhcp

Włączamy automatyczne uruchamianie dla wszystkich 4 profili (netctl enable). Teraz po ponownym uruchomieniu Orange Pi będzie widoczny w dwóch wymaganych sieciach. Adresy interfejsów na Orange Pi konfiguruje się w Static Leases na routerze.

ip addr show

4: vlan-main@eth0:  mtu 1500 qdisc noqueue master br-main state UP group default qlen 1000
    link/ether 02:42:f0:f8:23:c8 brd ff:ff:ff:ff:ff:ff
    inet6 fe80::42:f0ff:fef8:23c8/64 scope link 
       valid_lft forever preferred_lft forever

5: vlan-guest@eth0:  mtu 1500 qdisc noqueue master br-guest state UP group default qlen 1000
    link/ether 02:42:f0:f8:23:c8 brd ff:ff:ff:ff:ff:ff
    inet6 fe80::42:f0ff:fef8:23c8/64 scope link 
       valid_lft forever preferred_lft forever

6: br-main:  mtu 1500 qdisc noqueue state UP group default qlen 1000
    link/ether 52:c7:0f:89:71:6e brd ff:ff:ff:ff:ff:ff
    inet 192.168.1.3/24 brd 192.168.1.255 scope global dynamic noprefixroute br-main
       valid_lft 29379sec preferred_lft 21439sec
    inet6 fe80::50c7:fff:fe89:716e/64 scope link 
       valid_lft forever preferred_lft forever

7: br-guest:  mtu 1500 qdisc noqueue state UP group default qlen 1000
    link/ether ee:ea:19:31:34:32 brd ff:ff:ff:ff:ff:ff
    inet 192.168.2.3/24 brd 192.168.2.255 scope global br-guest
       valid_lft forever preferred_lft forever
    inet6 fe80::ecea:19ff:fe31:3432/64 scope link 
       valid_lft forever preferred_lft forever

Konfiguracja VPN

Następnie kopiujemy z routera ustawienia dla OpenVPN i klucze. Ustawienia można zazwyczaj znaleźć w /tmp/etc/openvpn*.conf

Domyślnie openvpn, uruchomiony w trybie TAP i server-bridge, trzyma swój interfejs nieaktywnym. Aby wszystko działało, należy dodać skrypt, uruchamiany przy aktywacji połączenia.

/etc/openvpn/main.conf

dev vpn-main
dev-type tap

client-to-client
persist-key
persist-tun
ca /etc/openvpn/main/ca.crt
cert /etc/openvpn/main/main.crt
cipher AES-256-CBC
comp-lzo yes
dh /etc/openvpn/main/dh2048.pem
ifconfig-pool-persist /etc/openvpn/ipp_main.txt
keepalive 10 60
key /etc/openvpn/main/main.key
port 443
proto tcp
push "redirect-gateway"
push "dhcp-option DNS 192.168.1.1"
server-bridge 192.168.1.3 255.255.255.0 192.168.1.200 192.168.1.229
status /tmp/openvpn.main.status
verb 3

setenv profile_name main
script-security 2
up /etc/openvpn/vpn-up.sh

/etc/openvpn/vpn-up.sh

#!/bin/sh

ifconfig vpn-${profile_name} up
brctl addif br-${profile_name} vpn-${profile_name}

W rezultacie, gdy tylko nawiąże się połączenie, interfejs vpn-main zostanie dodany do br-main. Dla sieci gości — analogicznie, ze zmianą nazwy interfejsu i adresu w server-bridge.

Routowanie zapytań z zewnątrz i proxy

Na tym etapie Orange Pi jest już w stanie przyjmować połączenia i wpuszczać klientów do wymaganych sieci. Pozostaje skonfigurować proxy dla nadchodzących połączeń na routerze.

Przenosimy serwery VPN routera na inne porty, instalujemy HAProxy na routerze i konfigurujemy:

/etc/haproxy.cfg

global
        maxconn 256
        uid 0
        gid 0
        daemon

defaults
        retries 1
        contimeout 1000
        option splice-auto

listen guest_vpn
        bind :444
        mode tcp
        server 0-orange 192.168.2.3:444 check
        server 1-local  127.0.0.1:4444 check backup

listen main_vpn
        bind :443
        mode tcp
        server 0-orange 192.168.1.3:443 check
        server 1-local  127.0.0.1:4443 check backup

Cieszymy się

Jeśli wszystko pójdzie zgodnie z planem — klienci przejdą na Orange Pi, a procesor routera przestanie się przegrzewać, a szybkość VPN znacznie wzrośnie. Wszystkie zasady sieciowe zapisane w routerze będą nadal aktualne. W przypadku awarii Orange Pi, najpierw odpadnie, a HAProxy przekieruje klientów do lokalnych serwerów.

Dziękujemy za uwagę, sugestie i poprawki są mile widziane.

Źródło: habr.com