OpenVPN-сервер на OpenWRT - Форум обсуждения систем "Умный дом", проектов Ардуино, OpenWRT и других DIY устройств

stD · 19.09.2015, 02:19

Устанавливаем:

PHP код:


			
opkg update



opkg install openvpn openvpn-easy-rsa

Переходим в папку /etc/easy-rsa для создания ключей:

PHP код:


			
cd /etc/easy-rsa

Очищаем:

PHP код:


			
clean-all

Создаём сертификат, на все вопросы отвечайте нажатием Enter:

PHP код:


			
build-ca

Файл Диффи-Хеллмана:

PHP код:


			
build-dh

Ключи для сервера, надо будет несколько раз нажать Enter и два раза y:

PHP код:


			
build-key-server server

Ключи для клиента:

PHP код:


			
build-key client1

Для каждого клиента надо создавать свои ключи. Поэтому в зависимости от количества планируемых клиентов создайте необходимое число ключей.

Для второго клиента:

PHP код:


			
build-key client2

И так далее… Если в дальнейшем появятся ещё клиенты, то просто выполните эту команду.

Если что-то нажали не так, то сделайте clean-all и создайте ключи заново.

TLS-ключ:

PHP код:


			
openvpn --genkey --secret /etc/openvpn/ta.key

PHP код:


			
cd /etc/easy-rsa/keys

И копируем ключи для сервера в папку /etc/openvpn/

PHP код:


			
cp ca.crt ca.key dh1024.pem server.crt server.key /etc/openvpn/

Сохраняем дефолтный конфиг openvpn:

PHP код:


			
mv /etc/config/openvpn /etc/config/openvpn.bak

Создаём свой:

PHP код:


			
nano /etc/config/openvpn

PHP код:


			
package openvpn



config openvpn custom_config

# Set to 1 to enable this instance:

option enable 1

# Include OpenVPN configuration

option config /etc/openvpn/server.conf

Переходим в папку /etc/openvpn

PHP код:


			
cd /etc/openvpn

Конфиг сервера server.conf

PHP код:


			
nano /etc/openvpn/server.conf

Вставляем:

PHP код:


			
port 1194



proto udp



dev tun



topology subnet



server 10.25.0.0 255.255.255.0



keepalive 10 30



comp-lzo



persist-key

persist-tun



ca /etc/openvpn/ca.crt

cert /etc/openvpn/server.crt

key /etc/openvpn/server.key

dh /etc/openvpn/dh1024.pem



tls-auth /etc/openvpn/ta.key 0 



log-append /var/log/openvpn.log



#status /var/log/openvpn.status



#client-to-client



verb 3

Сервер OpenVPN получит адрес 10.25.0.1, а клиенты будут получать адреса 10.25.0.2 и т.д.

Команды и параметры.

Конфиг файрвола:

PHP код:


			
nano /etc/config/firewall

после опции:

PHP код:


			
config include

        option path /etc/firewall.user

Добавим правило:

PHP код:


			
config 'rule'

        option 'target' 'ACCEPT'

        option 'name' 'VPN'

        option 'src' 'wan'

        option 'proto' 'udp'

        option 'dest_port' '1194'

Получится вот так:

PHP код:


			
...

# include a file with users custom iptables rules

config include

        option path /etc/firewall.user



config 'rule'

        option 'target' 'ACCEPT'

        option 'name' 'VPN'

        option 'src' 'wan'

        option 'proto' 'udp'

        option 'dest_port' '1194'

...

Сохраняем.

Открываем файл /etc/firewall.user

PHP код:


			
nano /etc/firewall.user

Заполняем:

PHP код:


			
iptables -t nat -A prerouting_wan -p udp --dport 1194 -j ACCEPT

iptables -A input_wan -p udp --dport 1194 -j ACCEPT



iptables -I INPUT -i tun+ -j ACCEPT

iptables -I FORWARD -i tun+ -j ACCEPT

iptables -I OUTPUT -o tun+ -j ACCEPT

iptables -I FORWARD -o tun+ -j ACCEPT



iptables -t nat -A POSTROUTING -s 10.25.0.0/24 -o br-lan -j MASQUERADE

Где br-lan — интерфей смотрящий в интернет. Проверить можно командой ifconfig

PHP код:


			
reboot

Запустим сервер:

PHP код:


			
/etc/init.d/openvpn restart

Ничего не должно отображаться.

Смотрим лог:

PHP код:


			
tail -f /var/log/openvpn.log

В автозагрузку:

PHP код:


			
/etc/init.d/openvpn enable

Настройка клиентов для различных ОС описана здесь.

paulerr · 23.09.2015, 18:04

Вместо использования на клиентах 3-х раздельных файлов (ca, cert, key) можно использовать единый файл формата PKCS12. Для генерации ключей клиента пользовать вместо build-key client1

PHP код:


			
build-key-pkcs12 client1

Будет создан и обычный комплект файлов, и файл .p12 - это и есть комбинированный файл ключей. Строка в конфиге будет

PHP код:


			
.....

pkcs12 /etc/openvpn/client1.p12

.....

ogurez · 17.11.2015, 15:05

Пересмотрел все вышеизложенное - челюсть отпала. Я бы сам бы никогда не настроил. Мне настраивал один знакомый программист. Хорошо что меня рядом небыло, а то я при виде всего этого в обморок упал бы. Подключал себе https://finevpn.org . Сервисом доволен, не слетает.

kalina_vet · 01.02.2019, 13:38

помогите разобратса что нетак

Код HTML:

root@OpenWrt:/etc/easy-rsa# cd /etc/easy-rsa
root@OpenWrt:/etc/easy-rsa# clean-all
-ash: clean-all: not found
root@OpenWrt:/etc/easy-rsa# build-ca
-ash: build-ca: not found
root@OpenWrt:/etc/easy-rsa#

наетом завис я.Незнаю чо дальше делать направте на путь правельный.

Admin · 02.02.2019, 11:16

clean-all: not found
build-ca: not found
not found - не найдено
Установите пакеты с этими командами

kalina_vet · 04.02.2019, 10:08

Делал всё по инструкции выше.напишыте пожалуйста строчку команду которые нужно доустановить.

kalina_vet · 06.02.2019, 23:12

чего здесь нехватает?Как исправить?

Код HTML:

BusyBox v1.28.3 () built-in shell (ash)

  _______                     ________        __
 |       |.-----.-----.-----.|  |  |  |.----.|  |_
 |   -   ||  _  |  -__|     ||  |  |  ||   _||   _|
 |_______||   __|_____|__|__||________||__|  |____|
          |__| W I R E L E S S   F R E E D O M
 -----------------------------------------------------
 OpenWrt 18.06.1, r7258-5eb055306f
 -----------------------------------------------------
root@OpenWrt:~# opkg update
Downloading http://shikuk.rbb.org/615E4_8M/tiny/packages/Packages.gz
Updated list of available packages in /var/opkg-lists/openwrt_core
Downloading http://shikuk.rbb.org/615E4_8M/tiny/packages/Packages.sig
Signature check passed.
Downloading http://shikuk.rbb.org/615E4_8M/packages/mips_24kc/base/Packages.gz
Updated list of available packages in /var/opkg-lists/openwrt_base
Downloading http://shikuk.rbb.org/615E4_8M/packages/mips_24kc/base/Packages.sig
Signature check passed.
Downloading http://shikuk.rbb.org/615E4_8M/packages/mips_24kc/luci/Packages.gz
Updated list of available packages in /var/opkg-lists/openwrt_luci
Downloading http://shikuk.rbb.org/615E4_8M/packages/mips_24kc/luci/Packages.sig
Signature check passed.
Downloading http://shikuk.rbb.org/615E4_8M/packages/mips_24kc/packages/Packages.gz
Updated list of available packages in /var/opkg-lists/openwrt_packages
Downloading http://shikuk.rbb.org/615E4_8M/packages/mips_24kc/packages/Packages.sig
Signature check passed.
Downloading http://shikuk.rbb.org/615E4_8M/packages/mips_24kc/routing/Packages.gz
Updated list of available packages in /var/opkg-lists/openwrt_routing
Downloading http://shikuk.rbb.org/615E4_8M/packages/mips_24kc/routing/Packages.sig
Signature check passed.
root@OpenWrt:~# opkg install openvpn openvpn-easy-rsa
Package openvpn-openssl is already installed on root.
Installing openvpn-easy-rsa (3.0.1-1) to root...
Downloading http://shikuk.rbb.org/615E4_8M/packages/mips_24kc/base/openvpn-easy-rsa_3.0.1-1_mips_24kc.ipk
Installing openssl-util (1.0.2p-1) to root...
Downloading http://shikuk.rbb.org/615E4_8M/packages/mips_24kc/base/openssl-util_1.0.2p-1_mips_24kc.ipk
Configuring openssl-util.
Configuring openvpn-easy-rsa.
root@OpenWrt:~# cd /etc/easy-rsa
root@OpenWrt:/etc/easy-rsa# clean-all
-ash: clean-all: not found
root@OpenWrt:/etc/easy-rsa# build-ca
-ash: build-ca: not found
root@OpenWrt:/etc/easy-rsa# build-ca
-ash: build-ca: not found
root@OpenWrt:/etc/easy-rsa#

Admin · 07.02.2019, 01:23

Проверьте наличие скрипта

Код:

cd /etc/easy-rsa/ && ls -la

17.06.2019, 22:58

с этого места можно поподробнее? Чем это OpenVPN ограничен для использования при DNAT destination?

19.09.2015, 02:19	#1
stD Senior Member Регистрация: 02.04.2012 Адрес: Питер Сообщений: 1,125 Вес репутации: 1311	OpenVPN-сервер на OpenWRT Устанавливаем: PHP код: `opkg update opkg install openvpn openvpn-easy-rsa` Переходим в папку /etc/easy-rsa для создания ключей: PHP код: `cd /etc/easy-rsa` Очищаем: PHP код: `clean-all` Создаём сертификат, на все вопросы отвечайте нажатием Enter: PHP код: `build-ca` Файл Диффи-Хеллмана: PHP код: `build-dh` Ключи для сервера, надо будет несколько раз нажать Enter и два раза y: PHP код: `build-key-server server` Ключи для клиента: PHP код: `build-key client1` Для каждого клиента надо создавать свои ключи. Поэтому в зависимости от количества планируемых клиентов создайте необходимое число ключей. Для второго клиента: PHP код: `build-key client2` И так далее… Если в дальнейшем появятся ещё клиенты, то просто выполните эту команду. Если что-то нажали не так, то сделайте clean-all и создайте ключи заново. TLS-ключ: PHP код: `openvpn --genkey --secret /etc/openvpn/ta.key` PHP код: `cd /etc/easy-rsa/keys` И копируем ключи для сервера в папку /etc/openvpn/ PHP код: `cp ca.crt ca.key dh1024.pem server.crt server.key /etc/openvpn/` Сохраняем дефолтный конфиг openvpn: PHP код: `mv /etc/config/openvpn /etc/config/openvpn.bak` Создаём свой: PHP код: `nano /etc/config/openvpn` PHP код: `package openvpn config openvpn custom_config # Set to 1 to enable this instance: option enable 1 # Include OpenVPN configuration option config /etc/openvpn/server.conf` Переходим в папку /etc/openvpn PHP код: `cd /etc/openvpn` Конфиг сервера server.conf PHP код: `nano /etc/openvpn/server.conf` Вставляем: PHP код: `port 1194 proto udp dev tun topology subnet server 10.25.0.0 255.255.255.0 keepalive 10 30 comp-lzo persist-key persist-tun ca /etc/openvpn/ca.crt cert /etc/openvpn/server.crt key /etc/openvpn/server.key dh /etc/openvpn/dh1024.pem tls-auth /etc/openvpn/ta.key 0 log-append /var/log/openvpn.log #status /var/log/openvpn.status #client-to-client verb 3` Сервер OpenVPN получит адрес 10.25.0.1, а клиенты будут получать адреса 10.25.0.2 и т.д. Команды и параметры. Конфиг файрвола: PHP код: `nano /etc/config/firewall` после опции: PHP код: `config include option path /etc/firewall.user` Добавим правило: PHP код: `config 'rule' option 'target' 'ACCEPT' option 'name' 'VPN' option 'src' 'wan' option 'proto' 'udp' option 'dest_port' '1194'` Получится вот так: PHP код: `... # include a file with users custom iptables rules config include option path /etc/firewall.user config 'rule' option 'target' 'ACCEPT' option 'name' 'VPN' option 'src' 'wan' option 'proto' 'udp' option 'dest_port' '1194' ...` Сохраняем. Открываем файл /etc/firewall.user PHP код: `nano /etc/firewall.user` Заполняем: PHP код: `iptables -t nat -A prerouting_wan -p udp --dport 1194 -j ACCEPT iptables -A input_wan -p udp --dport 1194 -j ACCEPT iptables -I INPUT -i tun+ -j ACCEPT iptables -I FORWARD -i tun+ -j ACCEPT iptables -I OUTPUT -o tun+ -j ACCEPT iptables -I FORWARD -o tun+ -j ACCEPT iptables -t nat -A POSTROUTING -s 10.25.0.0/24 -o br-lan -j MASQUERADE` Где br-lan — интерфей смотрящий в интернет. Проверить можно командой ifconfig PHP код: `reboot` Запустим сервер: PHP код: `/etc/init.d/openvpn restart` Ничего не должно отображаться. Смотрим лог: PHP код: `tail -f /var/log/openvpn.log` В автозагрузку: PHP код: `/etc/init.d/openvpn enable` Настройка клиентов для различных ОС описана здесь. __________________ istarik.ru

23.09.2015, 18:04	#2
paulerr Senior Member Регистрация: 04.01.2013 Адрес: Москва Сообщений: 461 Вес репутации: 1152	Re: OpenVPN-сервер на OpenWRT Вместо использования на клиентах 3-х раздельных файлов (ca, cert, key) можно использовать единый файл формата PKCS12. Для генерации ключей клиента пользовать вместо build-key client1 PHP код: `build-key-pkcs12 client1` Будет создан и обычный комплект файлов, и файл .p12 - это и есть комбинированный файл ключей. Строка в конфиге будет PHP код: `..... pkcs12 /etc/openvpn/client1.p12 .....`

17.11.2015, 15:05	#3
ogurez Junior Member Регистрация: 17.11.2015 Возраст: 37 Сообщений: 6 Вес репутации: 0	Re: OpenVPN-сервер на OpenWRT Пересмотрел все вышеизложенное - челюсть отпала. Я бы сам бы никогда не настроил. Мне настраивал один знакомый программист. Хорошо что меня рядом небыло, а то я при виде всего этого в обморок упал бы. Подключал себе https://finevpn.org . Сервисом доволен, не слетает.

01.02.2019, 13:38	#4
kalina_vet Senior Member Регистрация: 19.07.2014 Сообщений: 117 Вес репутации: 0	помогите разобратса что нетак Код HTML: root@OpenWrt:/etc/easy-rsa# cd /etc/easy-rsa root@OpenWrt:/etc/easy-rsa# clean-all -ash: clean-all: not found root@OpenWrt:/etc/easy-rsa# build-ca -ash: build-ca: not found root@OpenWrt:/etc/easy-rsa# наетом завис я.Незнаю чо дальше делать направте на путь правельный.

02.02.2019, 11:16	#5
Admin Administrator Регистрация: 12.04.2010 Адрес: Москва Сообщений: 9,618 Вес репутации: 9823	clean-all: not found build-ca: not found not found - не найдено Установите пакеты с этими командами __________________ Интернет магазин электронных компонентов.

04.02.2019, 10:08	#6
kalina_vet Senior Member Регистрация: 19.07.2014 Сообщений: 117 Вес репутации: 0	Делал всё по инструкции выше.напишыте пожалуйста строчку команду которые нужно доустановить.

07.02.2019, 01:23	#8
Admin Administrator Регистрация: 12.04.2010 Адрес: Москва Сообщений: 9,618 Вес репутации: 9823	Проверьте наличие скрипта Код: cd /etc/easy-rsa/ && ls -la __________________ Интернет магазин электронных компонентов.

17.06.2019, 22:58	#9
VladEi Guest Сообщений: n/a	OpenVPN сервер на OpenWRT с этого места можно поподробнее? Чем это OpenVPN ограничен для использования при DNAT destination?

Здесь присутствуют: 1 (пользователей: 0 , гостей: 1)