Aceleramos o OpenVPN no roteador Openwrt. Versão alternativa sem ferro de solda e extremismo rígido

Olá pessoal, li recentemente um artigo antigo sobre como acelerar o OpenVPN em um roteador, transferindo a criptografia para um pedaço de hardware separado, que é soldado dentro do próprio roteador. Eu tenho um caso semelhante com o autor - TP-Link WDR3500 com 128 megabytes de RAM e um processador ruim que não consegue lidar com a criptografia de túnel. No entanto, categoricamente eu não queria entrar no roteador com um ferro de soldar. Sob o corte, minha experiência de mover o OpenVPN para uma peça de hardware separada com redundância em um roteador em caso de acidente.

Desafio

Há um roteador TP-Link WDR3500 e o Orange Pi Zero H2. Queremos que o Orange Pi execute criptografia de túneis no modo normal e, se algo acontecer com ele, o processamento da VPN retornará ao roteador. Todas as configurações de firewall no roteador devem funcionar como antes. Em geral, em geral, a adição de hardware adicional deve ser transparente e invisível para todos. O OpenVPN funciona sobre o TCP, o adaptador TAP no modo de ponte (ponte do servidor).

Solução

Em vez de conectar via USB, decidi gastar uma porta do roteador e obter todas as sub-redes que possuem uma ponte VPN no Orange Pi. Acontece que o pedaço de ferro ficará fisicamente preso nas mesmas redes que o servidor VPN no roteador. Depois disso, aumentamos exatamente os mesmos servidores para o Orange Pi e configuramos algum tipo de proxy no roteador para que ele envie todas as conexões de entrada para o servidor externo e, se o Orange Pi estiver morto ou indisponível, então para o servidor de fallback interno. Eu tomei HAProxy.

Acontece assim:

1. O cliente vem
2. Se o servidor externo não estiver disponível - como antes, a conexão vai para o servidor interno
3. Se disponível, o cliente aceita Orange Pi
4. A VPN no Orange Pi descriptografa pacotes e os cospe de volta ao roteador
5. O roteador está encaminhando-os para algum lugar

Exemplo de implementação

Portanto, vamos ter duas redes no roteador - main (1) e guest (2), para cada uma delas existe um servidor OpenVPN para conexão externa.

Configuração de rede

Precisamos encaminhar as duas redes através de uma porta, portanto, criamos 2 VLAN'a.

No roteador na seção Rede / Switch, crie VLANs (por exemplo, 1 e 2) e ative-os no modo marcado na porta desejada, adicione o recém-criado eth0.1 e eth0.2 às redes correspondentes (por exemplo, adicione ao brigde).

Criamos duas interfaces VLAN no Orange Pi (eu tenho o Archlinux ARM + netctl):



E imediatamente criamos duas pontes para eles:



Ativamos a inicialização automática em todos os 4 perfis (netctl enable). Agora, após uma reinicialização, o Orange Pi travará nas duas redes necessárias. Os endereços de interface no Orange Pi são configurados em concessões estáticas no roteador.

Configuração de VPN

Em seguida, copie as configurações do OpenVPN e as chaves do roteador. As configurações geralmente podem ser encontradas em /tmp/etc/openvpn*.conf

Por padrão, o openvpn em execução no modo TAP e a ponte do servidor mantém sua interface inativa. Para fazê-lo funcionar, você precisa adicionar um script que seja executado quando a conexão estiver ativada.



Como resultado, assim que a conexão acontece, a interface vpn-main será adicionada ao br-main. Para a grade de convidados, o mesmo se aplica ao nome e endereço da interface na ponte do servidor.

Solicitar roteamento externo e proxy

Nesta etapa, o Orange Pi já pode aceitar conexões e permitir que os clientes entrem nas redes necessárias. Resta configurar o proxy das conexões de entrada no roteador.

Transferimos os servidores VPN do roteador para outras portas, o colocamos no roteador HAProxy e configuramos:

Aprecie

Se tudo correu conforme o planejado, os clientes partirão para Orange Pi e o processador do roteador não será mais aquecido e a velocidade da VPN aumentará significativamente. Nesse caso, todas as regras de rede registradas no roteador permanecerão relevantes. No caso de um acidente no Orange Pi, ele cairá e o HAProxy envolverá os clientes nos servidores locais.

Obrigado pela atenção, sugestões e correções são bem-vindas.