प्रदाता NAT के पीछे एक वीपीएन सर्वर लॉन्च करना

यह आलेख इस बारे में है कि मैंने होम प्रदाता के NAT के पीछे वीपीएन सर्वर कैसे शुरू किया (एक सफेद आईपी पते के बिना)। मैं तुरंत एक आरक्षण कर दूंगा: इस कार्यान्वयन का प्रदर्शन सीधे आपके प्रदाता द्वारा उपयोग किए गए NAT के प्रकार पर निर्भर करता है, साथ ही साथ राउटर से भी ।
इसलिए, मुझे अपने एंड्रॉइड स्मार्टफोन से अपने होम कंप्यूटर से कनेक्ट करने की आवश्यकता थी, दोनों डिवाइस प्रदाता नेट के माध्यम से इंटरनेट से जुड़े हुए हैं, साथ ही कंप्यूटर होम राउटर के माध्यम से जुड़ा हुआ है, जिसमें एनएटी कनेक्शन भी हैं।
एक सफेद IP पते के साथ एक पट्टे पर VPS / VDS का उपयोग करने वाली क्लासिक योजना, साथ ही प्रदाता से एक सफेद आईपी पते को किराए पर लेना, कई कारणों से विचार नहीं किया गया था।
पिछले लेखों के अनुभव के आधार पर, STUN और NAT प्रदाताओं के साथ कई प्रयोग किए गए। मैंने OpenWRT फर्मवेयर पर चलने वाले होम राउटर पर कमांड चलाकर एक छोटे प्रयोग का निर्णय लिया:

$ stun stun.sipnet.ru 

परिणाम मिला:

STUN क्लाइंट संस्करण 0.97
प्राइमरी: इंडिपेंडेंट मैपिंग, इंडिपेंडेंट फिल्टर, रैंडम पोर्ट, हेयरपिन होगा
रिटर्न वैल्यू 0x000002 है

शाब्दिक अनुवाद:
इंडिपेंडेंट मैपिंग - इंडिपेंडेंट मैपिंग
स्वतंत्र फ़िल्टर - स्वतंत्र फ़िल्टर
random port - यादृच्छिक बंदरगाह
हेयरपिन करेंगे - एक हेयरपिन होगा
अपने पीसी पर एक समान कमांड निष्पादित करने के बाद, मुझे मिला:

STUN क्लाइंट संस्करण 0.97
प्राइमरी: इंडिपेंडेंट मैपिंग, पोर्ट डिपेंडेंट फिल्टर, रैंडम पोर्ट, हेयरपिन
रिटर्न वैल्यू 0x000006 है

पोर्ट डिपेंडेंट फ़िल्टर - पोर्ट डिपेंडेंट फ़िल्टर
कमांड के आउटपुट में अंतर ने संकेत दिया कि होम राउटर ने इंटरनेट से पैकेट प्रसारित करने की प्रक्रिया में अपना योगदान दिया, यह इस तथ्य में प्रकट हुआ कि कंप्यूटर पर कमांड को निष्पादित करते समय:

 stun stun.sipnet.ru -p 11111 -v 

मुझे इसका परिणाम मिला:

...
मैप्डड्रेस = XX.1XX.1X4.2XX: 4398
...

इस समय, एक यूडीपी सत्र थोड़ी देर के लिए खोला गया था, अगर उस पल में एक यूडीपी अनुरोध भेजा गया था (उदाहरण के लिए: netcat XX.1XX.1X4.2XX 4398 -u), तो अनुरोध होम राउटर के पास आया, जिसकी पुष्टि उस पर चल रहे TCPDump द्वारा की गई थी, लेकिन अनुरोध कंप्यूटर तक नहीं पहुंचा - IPtables ने इसे NAT अनुवादक के रूप में राउटर पर गिरा दिया।

लेकिन तथ्य यह है कि आईएसपी नेट के माध्यम से पारित एक यूडीपी अनुरोध ने सफलता की उम्मीद की थी। चूंकि राउटर मेरे अधिकार क्षेत्र में है, इसलिए मैंने UDP / 11111 पोर्ट को कंप्यूटर पर रीडायरेक्ट करके समस्या हल की:

 iptables -t nat -A PREROUTING -i eth1 -p udp -d 10.1XX.2XX.XXX --dport 11111 -j DNAT --to-destination 192.168.X.XXX 

इस प्रकार, मैं यूडीपी सत्र शुरू करने और किसी भी आईपी पते से इंटरनेट से अनुरोध प्राप्त करने में सक्षम था। इस बिंदु पर, मैंने ओपनवीपीएन-सर्वर (इसे कॉन्फ़िगर करने के बाद) यूडीपी / 11111 पोर्ट को सुनकर लॉन्च किया, स्मार्टफोन को बाहरी आईपी पते और पोर्ट (XX.1XX.1X4.2XX: 4398) पर संकेत दिया और स्मार्टफोन से कंप्यूटर से सफलतापूर्वक जुड़ा। लेकिन इस कार्यान्वयन में, एक समस्या उत्पन्न हुई, किसी तरह यूडीपी सत्र को बनाए रखना आवश्यक था जब तक कि OpenVPN क्लाइंट सर्वर से जुड़ा नहीं था, मुझे समय-समय पर STUN क्लाइंट शुरू करने का विकल्प पसंद नहीं था - मैं कुछ भी नहीं करने के लिए STUN सर्वरों को बर्बाद नहीं करना चाहता था।
प्रवेश के लिए भी ध्यान आकर्षित किया " हेयरपिन होगा - एक हेयरपिन होगा ", यह मोड

हेयरपिनिंग नेट के लिए स्थानीय नेटवर्क पर एक मशीन को राउटर के बाहरी पते पर उसी नेटवर्क पर दूसरी मशीन तक पहुंचने की अनुमति देता है।

नतीजतन, यूडीपी सत्र को बनाए रखने की समस्या बस हल हो गई थी - मैंने क्लाइंट को उसी कंप्यूटर पर सर्वर के साथ लॉन्च किया।
यह इस तरह काम किया:

• स्थानीय बंदरगाह 11111 के साथ एक STUN क्लाइंट लॉन्च किया
• बाहरी IP पते और पोर्ट XX.1XX.1X4.2XX: 4398 के साथ प्रतिक्रिया मिली
• एक बाहरी आईपी पते और मेल के लिए पोर्ट (किसी भी अन्य सेवा संभव है) के साथ डेटा को स्मार्टफोन पर कॉन्फ़िगर किया गया है
• UDP / 11111 पोर्ट सुनने वाले कंप्यूटर पर OpenVPN सर्वर लॉन्च किया गया
• कनेक्ट करने के लिए XX.1XX.1X4.2XX: 4398 के संकेत के साथ कंप्यूटर पर OpenVPN क्लाइंट लॉन्च किया
• किसी भी समय मैंने IP पते और पोर्ट के साथ स्मार्टफोन पर OpenVPN क्लाइंट शुरू किया था (मेरे मामले में, आईपी एड्रेस को कनेक्ट करने के लिए नहीं)

इस प्रकार, मुझे स्मार्टफोन से अपने कंप्यूटर से जुड़ने का अवसर मिला। यह कार्यान्वयन आपको किसी भी OpenVPN क्लाइंट को जोड़ने की अनुमति देता है।

अभ्यास

आपको आवश्यकता होगी:

 # apt install openvpn stun-client sendemail 

कुछ लिपियों को लिखने के बाद, कॉन्फ़िगरेशन फ़ाइलों के एक जोड़े, आवश्यक प्रमाण पत्र उत्पन्न करते हैं (चूंकि स्मार्टफोन पर ग्राहक केवल प्रमाण पत्र के साथ काम करता है), OpenVPN सर्वर का सामान्य कार्यान्वयन प्राप्त किया गया था।

कंप्यूटर पर मुख्य स्क्रिप्ट

 # cat vpn11.sh 

 #!/bin/bash until [[ -n "$iftosrv" ]]; do echo "$(date)   "; iftosrv=`ip route get 8.8.8.8 | head -n 1 | sed 's|.*dev ||' | awk '{print $1}'`; sleep 5; done ABSOLUTE_FILENAME=`readlink -f "$0"` DIR=`dirname "$ABSOLUTE_FILENAME"` localport=11111 until [[ $a ]]; do address=`stun stun.sipnet.ru -v -p $localport 2>&1 | grep "MappedAddress" | sort | uniq | head -n 1 | sed 's/:/ /g' | awk '{print $3" "$4}'` ip=`echo "$address" | awk {'print $1'}` port=`echo "$address" | awk {'print $2'}` srv="openvpn --config $DIR/server.conf --port $localport --daemon" $srv echo "$(date)      $ip:$port" $DIR/sendemail.sh "OpenVPN-Server" "$ip:$port" sleep 1 openvpn --config $DIR/client.conf --remote $ip --port $port echo "$(date) C    " for i in `ps xa | grep "$srv" | grep -v grep | awk '{print $1}'`; do kill $i && echo "$(date)    $i ($srv)" done echo " 15 " sleep 15 done 

मेल पर डेटा भेजने के लिए स्क्रिप्ट:

 # cat sendemail.sh 

 #!/bin/bash from=" " pass="" to="" theme="$1" message="$2" server="smtp.yandex.ru:587" sendEmail -o tls=yes -f "$from" -t "$to" -s "$server" -xu "$from" -xp "$pass" -u "$theme" -m "$message" 

सर्वर कॉन्फ़िगरेशन फ़ाइल:

 # cat server.conf 

 proto udp dev tun ca /home/vpn11-srv/ca.crt cert /home/vpn11-srv/server.crt key /home/vpn11-srv/server.key dh /home/vpn11-srv/dh2048.pem server 10.2.0.0 255.255.255.0 ifconfig-pool-persist ipp.txt tls-server tls-auth /home/vpn11-srv/ta.key 0 tls-timeout 60 auth SHA256 cipher AES-256-CBC client-to-client keepalive 10 30 comp-lzo max-clients 10 user nobody group nogroup persist-key persist-tun log /var/log/vpn11-server.log verb 3 mute 20 

क्लाइंट कॉन्फ़िगरेशन फ़ाइल:

 # cat client.conf 

 client dev tun proto udp ca "/home/vpn11-srv/ca.crt" cert "/home/vpn11-srv/client1.crt" key "/home/vpn11-srv/client1.key" tls-client tls-auth "/home/vpn11-srv/ta.key" 1 auth SHA256 cipher AES-256-CBC auth-nocache comp-lzo user nobody group nogroup persist-key persist-tun log /var/log/vpn11-clent.log verb 3 mute 20 ping 10 ping-exit 30 

इस लेख पर प्रमाणपत्र पीढ़ी का प्रदर्शन किया गया था।
स्क्रिप्ट रन:

 # ./vpn11.sh 

पहले से इसे निष्पादन योग्य बना दिया

 # chmod +x vpn11.sh 

स्मार्टफोन की तरफ

एंड्रॉइड के लिए ओपनवीपीएन एप्लिकेशन इंस्टॉल करने के बाद, कॉन्फ़िगरेशन फ़ाइल की प्रतिलिपि बनाना, प्रमाणपत्र और इसे स्थापित करना, यह इस तरह निकला:

लेख लिखने की प्रक्रिया में, मैंने कंप्यूटर से कॉन्फ़िगरेशन को रास्पबेरी पाई 3 में स्थानांतरित कर दिया और पूरी चीज़ को एलटीई मॉडेम पर चलाने की कोशिश की, लेकिन यह काम नहीं किया! टीम का परिणाम

 # stun stun.ekiga.net -p 11111 

STUN क्लाइंट संस्करण 0.97
प्राइमरी: इंडिपेंडेंट मैपिंग, पोर्ट डिपेंडेंट फिल्टर, रैंडम पोर्ट, हेयरपिन
रिटर्न वैल्यू 0x000006 है

पोर्ट डिपेंडेंट फ़िल्टर के मूल्य ने सिस्टम को शुरू नहीं होने दिया।
लेकिन बिना किसी समस्या के घरेलू प्रदाता ने रास्पबेरी पाई 3 सिस्टम को शुरू किया।
एक वेबकेम के साथ संयोजन के लिए, VLC के लिए

और देखने के लिए स्मार्टफोन पर VLC (rtsp स्ट्रीम: //10.2.0.1: 8554 /), यह एक दूरी पर एक बुरा वीडियो निगरानी प्रणाली नहीं निकला, आप सांबा भी उठा सकते हैं और फ़ाइलों का आदान-प्रदान कर सकते हैं, वीपीएन के माध्यम से मार्ग यातायात,और बहुत कुछ ...

निष्कर्ष

जैसा कि अभ्यास ने दिखाया है, वीपीएन सर्वर को व्यवस्थित करने के लिए, आप बाहरी आईपी पते के बिना कर सकते हैं, जिसके लिए आपको भुगतान करना होगा, साथ ही किराए के वीपीएस / वीडीएस के लिए भी। लेकिन यह सब प्रदाता पर निर्भर करता है। बेशक मैं विभिन्न प्रदाताओं और NAT के प्रकारों के बारे में अधिक जानकारी प्राप्त करना चाहता था, लेकिन यह केवल शुरुआत है ...
आपका ध्यान के लिए धन्यवाद!