Nous accélérons OpenVPN sur le routeur Openwrt. Version alternative sans fer à souder et extrémisme dur

Bonjour à tous, j'ai récemment lu un article de longue date sur la façon d'accélérer OpenVPN sur un routeur, en transférant le cryptage sur un autre matériel, qui est soudé à l'intérieur du routeur lui-même. J'ai un cas similaire avec l'auteur - TP-Link WDR3500 avec 128 mégaoctets de RAM et un processeur médiocre qui ne peut pas faire face au cryptage de tunnel. Cependant, je ne voulais absolument pas monter dans le routeur avec un fer à souder. Sous la coupe, mon expérience de déplacer OpenVPN vers un matériel distinct avec redondance sur un routeur en cas d'accident.

Défi

Il existe un routeur TP-Link WDR3500 et Orange Pi Zero H2. Nous voulons que l'Orange Pi gère le cryptage du tunnel en mode normal, et si quelque chose lui arrive, le traitement VPN reviendra au routeur. Tous les paramètres du pare-feu sur le routeur doivent fonctionner comme auparavant. En général, en général, l'ajout de matériel supplémentaire doit être transparent et invisible pour tout le monde. OpenVPN fonctionne sur TCP, l'adaptateur TAP en mode pont (bridge-serveur).

Solution

Au lieu de me connecter via USB, j'ai décidé de dépenser un port du routeur et d'obtenir tous les sous-réseaux avec un pont VPN dessus sur l'Orange Pi. Il s'avère que le morceau de fer se bloque physiquement dans les mêmes réseaux que le serveur VPN sur le routeur. Après cela, nous élevons exactement les mêmes serveurs à l'Orange Pi, et configurons une sorte de proxy sur le routeur afin qu'il envoie toutes les connexions entrantes au serveur externe, et si l'Orange Pi est mort ou indisponible, puis au serveur de secours interne. J'ai pris HAProxy.

Il se présente comme ceci:

1. Le client vient
2. Si le serveur externe n'est pas disponible - comme précédemment, la connexion est établie avec le serveur interne
3. Si disponible, le client accepte Orange Pi
4. Le VPN sur Orange Pi déchiffre les paquets et les rejette sur le routeur
5. Le routeur les achemine quelque part

Exemple d'implémentation

Donc, laissez-nous avoir deux réseaux sur le routeur - principal (1) et invité (2), pour chacun d'eux il y a un serveur OpenVPN pour se connecter de l'extérieur.

Configuration du réseau

Nous devons transférer les deux réseaux via un seul port, nous créons donc 2 VLAN'a.

Sur le routeur dans la section Réseau / Commutateur, créez des VLAN (par exemple, 1 et 2) et activez-les en mode balisé sur le port souhaité, ajoutez les eth0.1 et eth0.2 nouvellement créés aux réseaux correspondants (par exemple, ajoutez à brigde).

Nous créons deux interfaces VLAN sur l'Orange Pi (j'ai Archlinux ARM + netctl):



Et immédiatement, nous créons pour eux deux ponts:



Nous activons le démarrage automatique sur les 4 profils (netctl enable). Maintenant, après un redémarrage, l'Orange Pi se bloque dans les deux réseaux requis. Les adresses d'interface sur Orange Pi sont configurées dans des baux statiques sur le routeur.

Configuration VPN

Ensuite, copiez les paramètres d'OpenVPN et les clés du routeur. Les paramètres se trouvent généralement dans /tmp/etc/openvpn*.conf

Par défaut, openvpn s'exécutant en mode TAP et server-bridge maintient son interface inactive. Pour le faire fonctionner, vous devez ajouter un script qui s'exécute lorsque la connexion est activée.



Par conséquent, dès que la connexion se produit, l'interface vpn-main sera ajoutée à br-main. Pour la grille d'invité, il en va de même jusqu'au nom et à l'adresse de l'interface dans le pont de serveur.

Demander le routage à l'extérieur et le proxy

À cette étape, Orange Pi est déjà en mesure d'accepter les connexions et de laisser les clients dans les réseaux nécessaires. Il reste à configurer le proxy des connexions entrantes sur le routeur.

Nous transférons les serveurs VPN du routeur vers d'autres ports, le mettons sur le routeur HAProxy et configurons:

Profitez

Si tout se déroule comme prévu, les clients partiront pour Orange Pi et le processeur du routeur ne chauffera plus, et la vitesse VPN augmentera considérablement. Dans ce cas, toutes les règles de réseau enregistrées sur le routeur resteront pertinentes. En cas d'accident sur Orange Pi, il tombera et HAProxy enroulera les clients sur les serveurs locaux.

Merci de votre attention, vos suggestions et corrections sont les bienvenues.