Acelerando o OpenVPN no roteador OpenWrt. Versão alternativa sem soldador e exageros de hardware

Olá a todos, recentemente li um antigo artigo sobre como é possível acelerar o OpenVPN no roteador, movendo a criptografia para um hardware separado que é soldado dentro do próprio roteador. Eu tenho uma situação semelhante à do autor — TP-Link WDR3500 com 128 megabytes de RAM e um processador fraco que não consegue lidar com a criptografia dos túneis. No entanto, não queria de forma alguma abrir o roteador com um ferro de solda. Abaixo está minha experiência de mover o OpenVPN para um hardware separado, com backup no roteador em caso de falha.

Tarefa

Eu tenho um roteador TP-Link WDR3500 e um Orange Pi Zero H2. Queremos que a criptografia dos túneis em modo normal seja feita pelo Orange Pi, e se acontecer algo com ele, o processamento VPN volta para o roteador. Todas as configurações do firewall no roteador devem funcionar como antes. E, no geral, a adição de um hardware extra deve ser transparente e imperceptível para todos. O OpenVPN funciona via TCP, o adaptador TAP em modo bridge (server-bridge).

Solução

Em vez de conectar via USB, decidi usar uma porta do roteador e conectar a Orange Pi a todas as sub-redes em que há um bridge VPN. Dessa forma, o hardware estará fisicamente conectado às mesmas redes que os servidores VPN no roteador. Após isso, levantamos exatamente os mesmos servidores no Orange Pi, e no roteador configuramos um proxy para encaminhar todas as conexões entrantes para o servidor externo, e se o Orange Pi falhar ou estiver inacessível — então para um servidor interno de fallback. Eu usei o HAProxy.

Acontece assim:

1. Um cliente chega
2. Se o servidor externo não estiver acessível — como antes, a conexão vai para o servidor interno
3. Se estiver acessível — o cliente é aceito pelo Orange Pi
4. O VPN no Orange Pi descriptografa os pacotes e os devolve ao roteador
5. O roteador os roteia para algum lugar

Exemplo de implementação

Então, vamos supor que temos duas redes no roteador — main(1) e guest(2), para cada uma delas há um servidor OpenVPN para conexão externa.

Configuração da rede

Precisamos passar ambas as redes por uma única porta, então criamos 2 VLANs.

No roteador, na seção Network/Switch, criamos as VLANs (por exemplo, 1 e 2) e as ativamos no modo tagged na porta desejada, adicionamos as recém-criadas eth0.1 e eth0.2 às redes correspondentes (por exemplo, adicionamos ao bridge).

No Orange Pi, criamos duas interfaces VLAN (eu estou usando Archlinux ARM + netctl):

/etc/netctl/vlan-main

Description='Main VLAN on eth0'
Interface=vlan-main
Connection=vlan
BindsToInterfaces=eth0
VLANID=1
IP=no

/etc/netctl/vlan-guest

Description='Guest VLAN on eth0'
Interface=vlan-guest
Connection=vlan
BindsToInterfaces=eth0
VLANID=2
IP=no

E imediatamente criamos duas bridges para elas:

/etc/netctl/br-main

Descrição="Conexão Principal da Bridge"
Interface=br-main
Conexão=bridge
BindsToInterfaces=(vlan-main)
IP=dhcp

/etc/netctl/br-guest

Descrição="Conexão do Bridge do Convidado"
Interface=br-guest
Conexão=bridge
BindsToInterfaces=(vlan-guest)
IP=dhcp

Ativamos o auto-início em todos os 4 perfis (netctl enable). Agora, após reiniciar, o Orange Pi ficará conectado em duas redes necessárias. Configuramos os endereços das interfaces no Orange Pi nas Leases Estáticas do roteador.

ip addr show

4: vlan-main@eth0:  mtu 1500 qdisc noqueue master br-main estado UP grupo padrão qlen 1000
    link/ether 02:42:f0:f8:23:c8 brd ff:ff:ff:ff:ff:ff
    inet6 fe80::42:f0ff:fef8:23c8/64 escopo link 
       lft válido para sempre lft preferido para sempre

5: vlan-guest@eth0:  mtu 1500 qdisc noqueue master br-guest estado UP grupo padrão qlen 1000
    link/ether 02:42:f0:f8:23:c8 brd ff:ff:ff:ff:ff:ff
    inet6 fe80::42:f0ff:fef8:23c8/64 escopo link 
       lft válido para sempre lft preferido para sempre

6: br-main:  mtu 1500 qdisc noqueue estado UP grupo padrão qlen 1000
    link/ether 52:c7:0f:89:71:6e brd ff:ff:ff:ff:ff:ff
    inet 192.168.1.3/24 brd 192.168.1.255 escopo global dinâmico noprefixroute br-main
       lft válido 29379sec lft preferido 21439sec
    inet6 fe80::50c7:fff:fe89:716e/64 escopo link 
       lft válido para sempre lft preferido para sempre

7: br-guest:  mtu 1500 qdisc noqueue estado UP grupo padrão qlen 1000
    link/ether ee:ea:19:31:34:32 brd ff:ff:ff:ff:ff:ff
    inet 192.168.2.3/24 brd 192.168.2.255 escopo global br-guest
       lft válido para sempre lft preferido para sempre
    inet6 fe80::ecea:19ff:fe31:3432/64 escopo link 
       lft válido para sempre lft preferido para sempre

Configuração de VPN

Em seguida, copiamos as configurações do roteador para o OpenVPN e as chaves. As configurações geralmente podem ser obtidas em /tmp/etc/openvpn*.conf

Por padrão, o openvpn, executado em modo TAP e server-bridge, mantém sua interface inativa. Para que tudo funcione, é necessário adicionar um script que será executado ao ativar a conexão.

/etc/openvpn/main.conf

dev vpn-main
dev-type tap

client-to-client
persist-key
persist-tun
ca /etc/openvpn/main/ca.crt
cert /etc/openvpn/main/main.crt
cipher AES-256-CBC
comp-lzo yes
dh /etc/openvpn/main/dh2048.pem
ifconfig-pool-persist /etc/openvpn/ipp_main.txt
keepalive 10 60
key /etc/openvpn/main/main.key
port 443
proto tcp
push "redirect-gateway"
push "dhcp-option DNS 192.168.1.1"
server-bridge 192.168.1.3 255.255.255.0 192.168.1.200 192.168.1.229
status /tmp/openvpn.main.status
verb 3

setenv profile_name main
script-security 2
up /etc/openvpn/vpn-up.sh

/etc/openvpn/vpn-up.sh

#!/bin/sh

ifconfig vpn-${profile_name} up
brctl addif br-${profile_name} vpn-${profile_name}

Como resultado, assim que a conexão for estabelecida, a interface vpn-main será adicionada ao br-main. Para a rede guest, o procedimento é similar, mantendo a mesma lógica em relação ao nome da interface e ao endereço em server-bridge.

Roteamento de solicitações externas e proxy

Neste passo, o Orange Pi já é capaz de aceitar conexões e permitir que clientes acessem as redes necessárias. Agora, precisamos configurar o proxy para as conexões de entrada no roteador.

Transferimos os servidores VPN do roteador para outras portas, instalamos o HAProxy no roteador e configuramos:

/etc/haproxy.cfg

global
        maxconn 256
        uid 0
        gid 0
        daemon

defaults
        retries 1
        contimeout 1000
        option splice-auto

listen guest_vpn
        bind :444
        mode tcp
        server 0-orange 192.168.2.3:444 check
        server 1-local  127.0.0.1:4444 check backup

listen main_vpn
        bind :443
        mode tcp
        server 0-orange 192.168.1.3:443 check
        server 1-local  127.0.0.1:4443 check backup

Apreciamos

Se tudo correr conforme o planejado, os clientes migrarão para o Orange Pi, e o processador do roteador não superaquecerá mais, enquanto a velocidade do VPN aumentará significativamente. Além disso, todas as regras de rede configuradas no roteador permanecerão válidas. Em caso de falha no Orange Pi, ele desconectará e o HAProxy redirecionará os clientes para os servidores locais.

Obrigado pela atenção, sugestões e correções são bem-vindas.

Fonte: habr.com