🛡️ 🤘🏿 🧜🏾 हम ओपन राइट राउटर पर OpenVPN को गति देते हैं। टांका लगाने वाले लोहे और कठिन अतिवाद के बिना वैकल्पिक संस्करण 🔮 🔈 ☝🏽

सभी को नमस्कार, मैंने हाल ही में एक रूटर पर OpenVPN को तेज करने के लिए एक लंबे समय तक चलने वाला लेख पढ़ा, एन्क्रिप्शन को एक अलग टुकड़े में हार्डवेयर में स्थानांतरित किया, जो कि राउटर के अंदर ही सोल्डर किया गया है। मेरे पास लेखक के साथ एक समान मामला है - टीपी-लिंक WDR3500 जिसमें 128 मेगाबाइट रैम और एक खराब प्रोसेसर है जो सुरंग एन्क्रिप्शन के साथ सामना नहीं कर सकता है। हालांकि, मैं स्पष्ट रूप से टांका लगाने वाले लोहे के साथ राउटर में चढ़ना नहीं चाहता था। बिल्ली के तहत, एक दुर्घटना के मामले में एक रूटर पर अतिरेक के साथ हार्डवेयर के एक अलग टुकड़े में ओपनवीपीएन को स्थानांतरित करने का मेरा अनुभव।

कार्य

एक टीपी-लिंक WDR3500 राउटर और ऑरेंज पी जीरो एच 2 है। हम चाहते हैं कि ऑरेंज पाई सामान्य मोड में सुरंग एन्क्रिप्शन से निपटे, और अगर ऐसा कुछ होता है, तो वीपीएन प्रसंस्करण राउटर में वापस आ जाएगा। राउटर पर सभी फ़ायरवॉल सेटिंग्स को पहले की तरह काम करना चाहिए। सामान्य तौर पर, सामान्य रूप से, अतिरिक्त हार्डवेयर का जोड़ सभी के लिए पारदर्शी और अदृश्य होना चाहिए। OpenVPN पुल मोड (सर्वर-ब्रिज) में टीसीपी, टीएपी एडेप्टर पर काम करता है।

निर्णय

USB के माध्यम से कनेक्ट करने के बजाय, मैंने राउटर के एक पोर्ट को खर्च करने और उन सभी सबनेट को प्राप्त करने का फैसला किया, जिनके पास ऑरेंज पाई पर वीपीएन पुल है। यह पता चला है कि लोहे का टुकड़ा भौतिक रूप से उसी नेटवर्क पर लटका होगा, जो राउटर पर वीपीएन सर्वर के रूप में है। उसके बाद, हम ऑरेंज पाई के लिए बिल्कुल उसी सर्वर को बढ़ाते हैं, और राउटर पर किसी प्रकार के प्रॉक्सी को कॉन्फ़िगर करते हैं, ताकि यह बाहरी सर्वर पर आने वाले सभी कनेक्शनों को भेजता है, और यदि ऑरेंज पाई मृत या अनुपलब्ध है, तो आंतरिक फ़ॉलबैक सर्वर के लिए। मैं HAProxy ले लिया।

यह इस तरह से निकला:

ग्राहक आता है
यदि बाहरी सर्वर अनुपलब्ध है - पहले की तरह, कनेक्शन आंतरिक सर्वर पर जाता है
यदि उपलब्ध है, तो ग्राहक ऑरेंज पाई स्वीकार करता है
ऑरेंज पाई पर वीपीएन पैकेट को डिक्रिप्ट करता है और उन्हें राउटर पर वापस भेजता है
राउटर उन्हें कहीं रूट कर रहा है

कार्यान्वयन का उदाहरण

तो, हमारे पास राउटर पर दो नेटवर्क हैं - मुख्य (1) और अतिथि (2), उनमें से प्रत्येक के लिए बाहर से कनेक्ट करने के लिए एक ओपनवीपीएन सर्वर है।

नेटवर्क कॉन्फ़िगरेशन

हमें एक बंदरगाह के माध्यम से दोनों नेटवर्क को आगे बढ़ाने की आवश्यकता है, इसलिए हम 2 VLAN'a बनाते हैं।

नेटवर्क / स्विच अनुभाग में राउटर पर, VLAN (उदाहरण के लिए, 1 और 2) बनाएं और उन्हें वांछित पोर्ट पर टैग किए गए मोड में सक्षम करें, नवनिर्मित eth0.1 और eth0.2 को संबंधित नेटवर्क में जोड़ें (उदाहरण के लिए, ब्रैड में जोड़ें)।

हम ऑरेंज पाई पर दो वीएलएएन इंटरफेस बनाते हैं (मेरे पास आर्कलिनक्स एआरएम + netctl है):

/ etc / netctl / vlan-main

Description='Main VLAN on eth0' Interface=vlan-main Connection=vlan BindsToInterfaces=eth0 VLANID=1 IP=no

/ etc / netctl / vlan-guest

 Description='Guest VLAN on eth0' Interface=vlan-guest Connection=vlan BindsToInterfaces=eth0 VLANID=2 IP=no

और तुरंत हम उनके लिए दो पुल बनाते हैं:

/ etc / netctl / br-main

 Description="Main Bridge connection" Interface=br-main Connection=bridge BindsToInterfaces=(vlan-main) IP=dhcp

/ etc / netctl / br-guest

 Description="Guest Bridge connection" Interface=br-guest Connection=bridge BindsToInterfaces=(vlan-guest) IP=dhcp

हम सभी 4 प्रोफाइल (netctl enable) पर ऑटोस्टार्ट को सक्षम करते हैं। अब, रिबूट के बाद, ऑरेंज पाई दो आवश्यक नेटवर्क में लटकाएगा। ऑरेंज पाई पर इंटरफ़ेस पते राउटर पर स्टेटिक पट्टों में कॉन्फ़िगर किए गए हैं।

आईपी Addr शो

 4: vlan-main@eth0: <BROADCAST,MULTICAST,PROMISC,UP,LOWER_UP> mtu 1500 qdisc noqueue master br-main state UP group default qlen 1000 link/ether 02:42:f0:f8:23:c8 brd ff:ff:ff:ff:ff:ff inet6 fe80::42:f0ff:fef8:23c8/64 scope link valid_lft forever preferred_lft forever 5: vlan-guest@eth0: <BROADCAST,MULTICAST,PROMISC,UP,LOWER_UP> mtu 1500 qdisc noqueue master br-guest state UP group default qlen 1000 link/ether 02:42:f0:f8:23:c8 brd ff:ff:ff:ff:ff:ff inet6 fe80::42:f0ff:fef8:23c8/64 scope link valid_lft forever preferred_lft forever 6: br-main: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000 link/ether 52:c7:0f:89:71:6e brd ff:ff:ff:ff:ff:ff inet 192.168.1.3/24 brd 192.168.1.255 scope global dynamic noprefixroute br-main valid_lft 29379sec preferred_lft 21439sec inet6 fe80::50c7:fff:fe89:716e/64 scope link valid_lft forever preferred_lft forever 7: br-guest: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP group default qlen 1000 link/ether ee:ea:19:31:34:32 brd ff:ff:ff:ff:ff:ff inet 192.168.2.3/24 brd 192.168.2.255 scope global br-guest valid_lft forever preferred_lft forever inet6 fe80::ecea:19ff:fe31:3432/64 scope link valid_lft forever preferred_lft forever

वीपीएन सेटअप

अगला, OpenVPN के लिए सेटिंग्स और राउटर से कुंजियों को कॉपी करें। सेटिंग्स आमतौर पर /tmp/etc/openvpn*.conf में मिल सकती हैं

डिफ़ॉल्ट रूप से, TAP मोड और सर्वर-ब्रिज में चल रहे ओपनवैप अपने इंटरफेस को निष्क्रिय रखते हैं। इसे काम करने के लिए, आपको एक स्क्रिप्ट जोड़ने की ज़रूरत है जो कनेक्शन सक्रिय होने पर चलती है।

/etc/openvpn/main.conf

 dev vpn-main dev-type tap client-to-client persist-key persist-tun ca /etc/openvpn/main/ca.crt cert /etc/openvpn/main/main.crt cipher AES-256-CBC comp-lzo yes dh /etc/openvpn/main/dh2048.pem ifconfig-pool-persist /etc/openvpn/ipp_main.txt keepalive 10 60 key /etc/openvpn/main/main.key port 443 proto tcp push "redirect-gateway" push "dhcp-option DNS 192.168.1.1" server-bridge 192.168.1.3 255.255.255.0 192.168.1.200 192.168.1.229 status /tmp/openvpn.main.status verb 3 setenv profile_name main script-security 2 up /etc/openvpn/vpn-up.sh

/etc/openvpn/vpn-up.sh

 #!/bin/sh ifconfig vpn-${profile_name} up brctl addif br-${profile_name} vpn-${profile_name}

नतीजतन, जैसे ही कनेक्शन होता है, वीपीएन-मुख्य इंटरफ़ेस को ब्र-मेन में जोड़ा जाएगा। अतिथि ग्रिड के लिए, सर्वर-ब्रिज में इंटरफ़ेस नाम और पते पर समान है।

बाहर और आसपास के मार्ग का अनुरोध करें

इस चरण में, ऑरेंज पाई पहले से ही कनेक्शन स्वीकार करने और ग्राहकों को आवश्यक नेटवर्क में जाने में सक्षम है। यह राउटर पर आने वाले कनेक्शनों की प्रॉक्सी को कॉन्फ़िगर करने के लिए रहता है।

हम राउटर वीपीएन सर्वर को अन्य बंदरगाहों पर स्थानांतरित करते हैं, इसे HAProxy राउटर पर डालते हैं और कॉन्फ़िगर करते हैं:

/etc/haproxy.cfg

 global maxconn 256 uid 0 gid 0 daemon defaults retries 1 contimeout 1000 option splice-auto listen guest_vpn bind :444 mode tcp server 0-orange 192.168.2.3:444 check server 1-local 127.0.0.1:4444 check backup listen main_vpn bind :443 mode tcp server 0-orange 192.168.1.3:443 check server 1-local 127.0.0.1:4443 check backup

का आनंद

यदि सब कुछ योजना के अनुसार हुआ, तो ग्राहक ऑरेंज पी के लिए रवाना होंगे और राउटर का प्रोसेसर अब गर्म नहीं होगा, और वीपीएन की गति में काफी वृद्धि होगी। इस स्थिति में, सभी नेटवर्क नियम जो राउटर पर पंजीकृत हैं, प्रासंगिक रहेंगे। ऑरेंज पाई पर दुर्घटना की स्थिति में, यह बंद हो जाएगा और HAProxy स्थानीय सर्वर पर ग्राहकों को लपेट देगा।

आपका ध्यान देने के लिए धन्यवाद, सुझावों और सुधारों का स्वागत है।

हम ओपन राइट राउटर पर OpenVPN को गति देते हैं। टांका लगाने वाले लोहे और कठिन अतिवाद के बिना वैकल्पिक संस्करण