OpenWRT in OpenVPN

Pozdrav.
Imam nekaj najbrz zelo n00bovskih vprasanj, ampak vseeno sem se odlocil rajsi narediti sramoto, kot pa ostati resnicno na koncu en n00b.

Zastavil sem si en domac projekt in sicer postavitev OpenVPN streznika. Nekaj tem na slo-tech sem prebral ter na koncu uvidel koliko sem na tem podrocju se zelen, posebej, ko sem sel brati link od enega forumasa.

Tisto kar mi ni jasno, ce sem prav razbral po internetu, da eni izvajajo instalacijo OpenVPN na samem strezniku bodisi je to Linux ali Windows, spet drugi pa izvedejo celotno konfiguracijo na samem ruterju. Sem to pravilno razumel?

Tisto kar mi je do sedaj ratalo je n00bovski podvig in to je samo zamenjava proizvajalcevega firemwara z OpenWRT firemware. To sem naredil na TL-WR941ND ruterju. Zelel sem nadaljevati tako, da bi gor instaliral modul OpenVPN, ampak to na tem ruterju ne gre, ker ni dovolj prostora (samo 4MB). Zato sem tudi vprasal ali sploh pravilno razumem, da eni imajo dedicated server kjer tece OpenVPN, eni pa vse to naredijo na ruterju.

Od enega forumasa sem tudi videl, da je stvar naredil z Tomato firemware (sam tutorial mi se je zdel dokaj v easy), ampak ta firemware ne podpira mojega ocitno prastarega ruterja.

Kako naprej? Ali kupim nov ruter ali pa vseeno kaj lahko naredim s tem, obstojecim?

Ce bi me kdo lahko usmeril v pravo smer, bi bil zelo hvalezen.

BivšiUser2 je 26. mar 2016 ob 12:23 izjavil:

Prvo reši problem s prostorom
https://wiki.openwrt.org/doc/howto/extr...

Ze videl link. Zal moj ruter nima USB prikljucka.

Je ze kdo sprobal taksen nacin delovanja, ter koliko je taksen nacin zanesljiv, kot ga predlaga S4NNY1 ?

OpenVPN lahko naložiš tudi v RAM pomnilnik routerja in ga poganjaš od tam, seveda pa to pomeni, da boš ga moral ponovno naložiti ob vsakem ponovnem zagonu routerja.

Če si spreten lahko narediš tudi hardware mod in dodaš USB port svojemu routerju:

https://wiki.openwrt.org/toh/tp-link/tl...

Dr_M je 26. mar 2016 ob 13:50 izjavil:

Poglej se gargoyle firmware, ki je osnovan na openwrt, samo precej lazji za konfigurirat je. Pa pazi, da bos izbral pravo verzijo firmwarea.

Dvomim, da bo to pomagalo, saj njegov problem predstavlja pomanjkanje flash pomnilnika. Tudi Gargoyle potrebuje več prostora za inštalacijo OpenWRT modulov.

Dvomim, da bo to pomagalo, saj njegov problem predstavlja pomanjkanje flash pomnilnika. Tudi Gargoyle potrebuje več prostora za inštalacijo OpenWRT modulov.

To je res ja, zato jest ne maram teh poceni tp-linkov, ker sparajo s flashom, kot da je zlat.

harmony je 26. mar 2016 ob 12:01 izjavil:

Zelel sem nadaljevati tako, da bi gor instaliral modul OpenVPN, ampak to na tem ruterju ne gre, ker ni dovolj prostora (samo 4MB).

To je res, a če žrtvuješ neke druge module, lahko Openvpn naložiš nanj.

za openvpn toplo priporočam pfsense, namestite ga lahko praktično kamorkoli, pa še powerful fw dobite zraven.

TPLink naj bi kmalu zaklepal firmware na svojih routerjih zaradi FCCja.

http://arstechnica.com/information-tech...

Drugače pa dela OpenVPN lepo na OpenWRT. Malce časa si vzami za konfiguracijo pa boš zelo zadovoljen.

Modem ti deluje kot Router. IP ranga 192.*.*.* ni javen. Nastavi internetno pozevljivost na router.

Nekaj je vsekakor narobe. Kateri internetni ponudnik?

A je 192.168.178. omrežje, ki ga uporabljaš doma za svoj intranet?

Iz povedanega sklepam, da je tvoj modem hkrati tudi router in da 2x delaš NAT. Če hočeš na notranjem routerju postaviti VPN server imaš dve varianti. Ena je da modem postaviš v pass-through mode, tako da bo tvoj router dobil javni IP. Druga varianta je pa da na modemu narediš port forwarding nekega porta na tvoj notranji router. Jaz bi v tem primeru recimo poskusil sforwardirati TCP 443 z modema na prav tako TCP 443 na notranji router (192.168.178.20). potem bi pa VPN server na notranjem routerju postavil na ta TCP 443. Seveda ob predpostavki da tega porta ne uporabljaš za kaj drugega.

Ne verjamem da se ne da. Tole si poglej:



... od 1:40 dalje.

No če malo pomislim bi se tudi DDNS servis na routerju dalo _nahecati_, da bi pogledal kakšen IP ima modem in le tega posredoval dalje. OpenWRT ti dejansko omogoča vse to.

Nazadnje boš ugotovil, da sploh ne nucaš ekstra routerja

Fritzi so precej zmogljivi routerji/modemi, omogočajo marsikaj. Ne bi se čudil, če bi tvoj direktno podpiral celo OpenVPN VPN implementacijo.

Da, to je zadosti. Lahko poskusiš DDNS z routerja. Verjetno bi moral malo predelati skripto updater.sh, tako da bi mu namesto funkcije ki pridobi wan IP, podturil nekaj v smislu:

MYPUBIP=$(wget -qO - http://ipinfo.io/ip)

...in bi to potem počel periodično, s tem da bi montiral trigger, ki bi poslal update samo ob dejanski spremebi IP-ja.

Ja, saj to je popolnoma enaka metoda kot sem jo predlagal, samo nisem vedel da je že implementirana v skriptah.

Valda da v LUCI ne vidiš, LUCI ve samo kakšni IP-ji so na routerjevih interfejsih. LUCI ne ve da ti 2x delaš NAT translacijo.

Zdi se mi da ti ne bo treba nič čarat s triggerjem, ker "option ip_url" nazaj že vrne dva parametra (prvi je chg/nochg drugi pa IP). Predvidevam, da če je prvi nochg, se skripta zaključi. Torej vse kar nucaš je da ukaz, ki si ga poganjal iz ukazne vrstice, spraviš v cron in ga poganjaš recimo na eno uro ali kaj podobnega.

Zdaj samo še OpenVPN server postavi, samo vedi da moraš glede na port forwarding uporabiti opciji "proto tcp" namesto "proto udp" ter "port 443" namesto "port 1194". Enako velja potem na klientski strani... izbereš tcp ter port 443.

Očitno ti manjka. pkcs12 datoteka.

Config:

config openvpn 'custom_config'
        option config '/etc/openvpn/my-vpn.conf'

config openvpn 'myvpn'
        option enabled '1'
        option dev 'tun'
        option port '443'
        option proto 'tcp'
        option comp_lzo 'yes'
        option status '/var/log/openvpn_status.log'
        option log '/tmp/openvpn.log'
        option verb '3'
        option mute '5'
        option keepalive '10 120'
        option persist_key '1'
        option persist_tun '1'
        option user 'nobody'
        option group 'nogroup'
        option ca '/etc/easy-rsa/keys/ca.crt'
        option cert '/etc/easy-rsa/keys/vpn_home.key'
        option dh '/etc/easy-rsa/keys/dh2048.pem'
        option mode 'server'
        option tls_server '1'
        option server '10.8.0.0 255.255.255.0'
        option topology 'subnet'
        option route_gateway 'dhcp'
        option client_to_client '1'
        list push 'comp-lzo yes'
        list push 'persist-key'
        list push 'persist-tun'
        list push 'user nobody'
        list push 'user nogroup'
        list push 'topology subnet'
        list push 'route-gateway dhcp'
        list push 'route 192.168.2.0 255.255.255.0'

Dolocenih stvari sploh ne vem kaj tocno pomenijo npr:
option server '10.8.0.0 255.255.255.0'

Nisem pa dodal tega:

#redirect ALL traffic through the VPN server (this is IMPORTANT if you don't trust your local network)
uci add_list openvpn.myvpn.push="redirect-gateway def1"
#push DNS to your clients (this is IMPORTANT if you don't trust your local network)
uci add_list openvpn.myvpn.push="dhcp-option DNS 107.170.95.180"
uci add_list openvpn.myvpn.push="dhcp-option DNS 50.116.40.226"

BlaY0 je 3. apr 2016 ob 16:27 izjavil:

Jah narobe si naredil. Za cert si uporabil private key, key-a samega (option key) pa sploh nikjer nimaš definiranega. Daj poglej kaj vse imaš v /etc/easy-rsa/keys/ in ustrezno popravi.

Ahhh n00b sem...ko sem kopiral ukaz sem samo spremenil koncnico in ne samega ukaza. Ok bom popravil, pa javim stanje.

Prvotno tezavo sem zgleda odpravil, edino tale warning mi ni jasen. EDIT: sem popravil s chmod

Sun Apr  3 17:05:07 2016 OpenVPN 2.3.6 mips-openwrt-linux-gnu [SSL (OpenSSL)] [LZO] [EPOLL] [MH] [IPv6] built on Jan 31 2016
Sun Apr  3 17:05:07 2016 library versions: OpenSSL 1.0.2g  1 Mar 2016, LZO 2.08
Sun Apr  3 17:05:07 2016 Diffie-Hellman initialized with 2048 bit key
Sun Apr  3 17:05:07 2016 WARNING: file '/etc/easy-rsa/keys/vpn_home.key' is group or others accessible
Sun Apr  3 17:05:07 2016 Socket Buffers: R=[87380->131072] S=[16384->131072]
Sun Apr  3 17:05:07 2016 TUN/TAP device tun0 opened
Sun Apr  3 17:05:07 2016 TUN/TAP TX queue length set to 100
Sun Apr  3 17:05:07 2016 do_ifconfig, tt->ipv6=0, tt->did_ifconfig_ipv6_setup=0
Sun Apr  3 17:05:07 2016 /sbin/ifconfig tun0 192.168.2.1 netmask 255.255.255.0 mtu 1500 broadcast 192.168.2.255
Sun Apr  3 17:05:07 2016 GID set to nogroup
Sun Apr  3 17:05:07 2016 UID set to nobody
Sun Apr  3 17:05:07 2016 Listening for incoming TCP connection on [undef]
Sun Apr  3 17:05:07 2016 TCPv4_SERVER link local (bound): [undef]
Sun Apr  3 17:05:07 2016 TCPv4_SERVER link remote: [undef]
Sun Apr  3 17:05:07 2016 MULTI: multi_init called, r=256 v=256
Sun Apr  3 17:05:07 2016 IFCONFIG POOL: base=192.168.2.2 size=252, ipv6=0
Sun Apr  3 17:05:07 2016 MULTI: TCP INIT maxclients=1024 maxevents=1028
Sun Apr  3 17:05:07 2016 Initialization Sequence Completed

Subnet sem nazaj dal na 192.168.2.0/24, tako kot si mi rekel. Kje se pa nastavi rezervacija za VPN?

Bom pogledal. Ja, sem opazil, da ima device "tun0" isti IP. Moram naredit pavzo. Prejle sem bil prehiter in sem hotel nekaj spremeniti in sem lan interface dal iz static na dhcp ter tako posledicno sam sebe zaklenil (nisem imel dostopa ne do luci, ne do ssh).

Sem potem kabel potegnu direkt iz modema v lan port ruterja, tako da je "ruter" dobil dinamicni IP od modema preko katerega sem se potem lahko povezal.

Verjamem, da ti je uspelo. Jaz se sele ucim (manjka mi praksa) in upam, da bom kmalu tudi jaz rekel simpl k pasulj. :)

Preden grem naprej bi najprej rad razcistil nekaj stvari oziroma bi rad vedel, ce je tole sploh pravilna konfiguracija na ruterju.

a) LAN (gateway je modem)

config interface 'lan'
        option ifname 'eth1'
        option type 'bridge'
        option _orig_ifname 'eth1 radio0.network1 wlan1'
        option _orig_bridge 'true'
        option proto 'static'
        option ipaddr '192.168.2.1'
        option netmask '255.255.255.0'
        option gateway '192.168.178.1'

b) WAN (ip preko dhcp od modema)

config interface 'wan'
        option _orig_ifname 'eth0'
        option _orig_bridge 'false'
        option proto 'dhcp'
        option ifname 'eth0'

Ne, nisem nic fiksiral. wan dobi vedno drugacen IP. Je bolj pravilno 'wan' na ruterju nastaviti na static, pred tem pa seveda fiksno dolociti na modemu IP za wan? Na lan sem izklopil gateway.

A ni ze 'lan' interface bridge?

option type 'bridge'
option _orig_ifname 'eth1 radio0.network1 wlan1'

oziroma preko LuCI-ja: