Почему именно L2?

Технологии

• Например, протокол Layer 2 Tunneling Protocol (L2TP) должен, судя по названию, обеспечивать поддержку OSI L2 и в том числе проброс broadcast'a. Но нет, общепринятая связка L2TP + IPsec не позволяет бриджевать сети на уровне L2!
• PPTP стал мемом из-за крупных уязвимостей, сейчас кое-как починен, но к L2 уже не имеет отношения.
• MPLS жутко запутанный промышленный протокол на основе меток. Изучить его сложно, а поднять можно только на специализированном железе или RouterOS (с ограничениями, куда ж без них).
• PPPoE и феерический PPPoEoE тоже работают, но на проприетарных железках. Режим PPPoE вообще есть на многих роутерах, но как его правильно готовить известно по большей части только на фирменном оборудовании типа Cisco.
• EoIP должен быть стать тем самым L2VPN made right, но он тоже работает только на микротиках, что существенно сужает круг применения. Как и PPTP, использует GRE, не проходит через NAT.

Настройка

Установка

apt update && apt -y install ca-certificates wget net-tools gnupgwget -qO - https://as-repository.openvpn.net/as-repo-public.gpg | apt-key add -echo "deb http://as-repository.openvpn.net/as/debian bionic main">/etc/apt/sources.list.d/openvpn-as-repo.listapt update && apt -y install openvpn-as

+++++++++++++++++++++++++++++++++++++++++++++++Access Server 2.8.4 has been successfully installed in /usr/local/openvpn_asConfiguration log file has been written to /usr/local/openvpn_as/init.logAccess Server Web UIs are available here:Admin  UI: https://185.209.31.165:943/adminClient UI: https://185.209.31.165:943/+++++++++++++++++++++++++++++++++++++++++++++++

passwd openvpn

Возвращаем бриджинг

cd /usr/local/openvpn_as/scripts./sacli --key "von.general.osi_layer" --value "2" ConfigPut./sacli start

{ "errors": {}, "last_restarted": "Thu Jul  2 00:07:37 2020", "service_status": {   "api": "on",   "auth": "on",   "bridge": "on",        ...    }}

NB: в последних версиях может оставаться информация о L3 при включённом bridge. Почему не разбирался, безопасные в этом плане версии около 2.4

Can I just once again state my love for it and hope it gets merged soon? Maybe the code isnt perfect, but Ive skimmed it, and compared to the horrors that are OpenVPN and IPSec, its a work of art.

Шифрование: отличия Wireguard от OpenVPN

Протоколы шифрования Wireguard

• Краткость сестра таланта 4000 строк кода стало чуть ли не визитной карточкой Wireguard.
• Детерминированный набор современных криптографических алгоритмов:
• ChaCha20 для симметричного шифрования также используется в AEAD структуре RFC7539;
• Poly1305 для аутентификация, также используется в AEAD структуре RFC7539;
• Curve25519 эллиптическая кривая для протокола безопасного обмена ключей Diffie-Hellman;
• Blake2 в RFC7693 соответствующая хеш-функция;
• SipHash2-4 псевдослучайная функция для поиска расшифрованных открытых ключей инициатора сессии установления связи;
• HKDF для извлечения ключей;
• UDP в качестве протокола транспортного уровня;
• Perfect forward secrecy принцип предотвращения компрометации сессионных ключей.

Протоколы шифрования OpenVPN

• UDP/TCP в качестве протокола транспортного уровня;
• Perfect forward secrecy принцип предотвращения компрометации сессионных ключей.

Выводы по стандартам шифрования и безопасности

Сравнение производительности

• Технологии IPSEC, OpenVPN и Wireguard;
• Процессоры IntelCore i7-3820QM и Intel Core i7-5200U;
• Сетевые карты Intel 82579LM и Intel I218LM gigabit Ethernet;

Выводы по скорости VPN-соединения

Конфиденциальность данных

(1:530)$ sudo emerge -av wireguard-modules wireguard-toolsThese are the packages that would be merged, in order:Calculating dependencies... done![binary  N     ] net-dns/openresolv-3.11.0  USE="(-selinux)" [binary  N     ] virtual/resolvconf-1 [ebuild  N     ] net-vpn/wireguard-modules-1.0.20201221  USE="module -debug -module-src" [binary  N     ] net-vpn/wireguard-tools-1.0.20200827  USE="wg-quick" Would you like to merge these packages? [Yes/No] 

(1:531)$ wg genkey | tee privatekey | wg pubkey > publickey

/etc/wireguard/wg0.conf[Interface]Address = 10.0.0.1/24, fdc9:1f28:04d7:9ee9::1/64SaveConfig = trueListenPort = 51820PrivateKey = 2JtKAUFzecmgIVzbscQh3iUZrZanxIzvbejcIkvC5Hk= #PEER_A_PRIVATE_KEY[Peer]PublicKey = rgqd1cHKgRWX3IkYYSlrKA/SW3qZUhSJMqwTq4+3eFs= #PEER_B_PUBLIC_KEYPresharedKey = PEER_A-PEER_B-PRESHARED_KEYAllowedIPs = 10.0.0.2/32, fdc9:1f28:04d7:9ee9::2/128Endpoint = pb.example.com:51280

Выводы по конфиденциальности данных

Итоги: какой же VPN выбрать?

• Если вы обычный пользователь;
• VPN вам нужен для обхода всяких нелепых ограничений РКН;
• скорость для вас имеет значение, например для файлообмена, или работы вашего приложения;

• Бизнес пользователи средней и крупной компании использующие VPN для удаленного доступа к внутренней сети;
• бизнес пользователи, предоставляющие удаленный доступ по VPN к ИТ ресурсам, содержащим конфиденциальные данные, или коммерческую тайну;
• все, кому нужно надежное и проверенное временем решение для VPN;

• для удостоверения надежности (происходит двойное рукопожатие) клиент и сервер убеждаются в том кто они, можно ли друг другу доверять и устанавливают соединение;
• шифрования/дешифрования;
• исключения Man in the middle (MITM) дабы быть уверенным, что кто-то не перехватывает сообщения/трафик;
• для создания зашифрованных паролей, что повышает безопасность и усложняет доступ злоумышленников на хост.

# su - root# apt-get install sudo -y# usermod -aG sudo username# exit

# sudo apt-get update# sudo apt-get upgrade# sudo apt-get install wget curl net-tools ufw vim -y# cd ~# wget -P ~/ https://github.com/OpenVPN/easy-rsa/releases/download/v3.0.4/EasyRSA-3.0.4.tgz# tar xvf EasyRSA-3.0.4.tgz

# sudo apt-get install openvpn -y

# mv ~/EasyRSA-3.0.4 ~/easyrsa/# cd ~/easyrsa/# cp vars.example vars# vim vars

#set_var EASYRSA_REQ_COUNTRY"US"#set_var EASYRSA_REQ_PROVINCE"California"#set_var EASYRSA_REQ_CITY"San Francisco"#set_var EASYRSA_REQ_ORG"Copyleft Certificate Co"#set_var EASYRSA_REQ_EMAIL"me@example.net"#set_var EASYRSA_REQ_OU"My Organizational Unit"

#set_var EASYRSA_CA_EXPIRE3650         #-->  3650#set_var EASYRSA_CERT_EXPIRE3650         #-->  1825

# ./easyrsa init-pki

# ./easyrsa build-ca nopass

# mv ~/EasyRSA-3.0.4 ~/easyrsa/# cd ~/easyrsa/# cp vars.example vars# vim vars

#set_var EASYRSA_REQ_COUNTRY"US"#set_var EASYRSA_REQ_PROVINCE"California"#set_var EASYRSA_REQ_CITY"San Francisco"#set_var EASYRSA_REQ_ORG"Copyleft Certificate Co"#set_var EASYRSA_REQ_EMAIL"me@example.net"#set_var EASYRSA_REQ_OU"My Organizational Unit"

#set_var EASYRSA_CA_EXPIRE3650         #-->  1825#set_var EASYRSA_CERT_EXPIRE3650         #-->  365

# ./easyrsa init-pki

# ./easyrsa build-ca subca nopass

# scp ~/easyrsa/pki/reqs/ca.req user@ip_RootCA:/tmp

# cd ~/easyrsa/# ./easyrsa import-req /tmp/ca.req SubCA# ./easyrsa sign-req ca SubCA

# scp ~/easyrsa/pki/issued/SubCA.crt user@ip_SubCA:/tmp

# mv /tmp/SubCA.crt ~/easyrsa/pki/ca.crt

# cd ~/easyrsa/# ./easyrsa init-pki

# mkdir -p ~/client-configs/files/# mkdir ~/client-configs/keys/# chmod 700 ~/client-configs/# sudo mkdir /etc/openvpn/vpnsrv1/# ./easyrsa gen-req vpnsrv1 nopass# ./easyrsa gen-req dumasti nopass# ./easyrsa gen-dh# sudo openvpn --genkey --secret ta.key# cp /home/dumasti/easyrsa/pki/private/dumasti.key ~/client-configs/keys/# sudo cp /home/dumasti/easyrsa/pki/dh.pem /etc/openvpn/vpnsrv1/# sudo cp /home/dumasti/easyrsa/ta.key /etc/openvpn/vpnsrv1/# sudo cp /home/dumasti/easyrsa/ta.key ~/client-configs/keys/# sudo cp /home/dumasti/easyrsa/pki/private/vpnsrv1.key /etc/openvpn/vpnsrv1/# scp ~/easyrsa/pki/reqs/vpnsrv1.req user@ip_RootCA:/tmp# scp ~/easyrsa/pki/reqs/dumasti.req user@ip_SubCA:/tmp

# cd ~/easyrsa/# ./easyrsa import-req /tmp/vpnsrv1.req vpnsrv1# ./easyrsa sign-req server vpnsrv1

# scp ~/easyrsa/pki/issued/vpnsrv1.crt user@ip_OpenVPN:/tmp# scp ~/easyrsa/pki/ca.crt user@ip_OpenVPN:/tmp/RootCA.crt

# cd ~/easyrsa/# ./easyrsa import-req /tmp/dumasti.req dumasti# ./easyrsa sign-req client dumasti

# scp ~/easyrsa/pki/issued/dumasti.crt user@ip_OpenVPN:/tmp# scp ~/easyrsa/pki/ca.crt user@ip_OpenVPN:/tmp/SubCA.crt

# cd /tmp

# cat dumasti.crt SubCA.crt > ~/client-configs/keys/dumasti.crt# cp /tmp/RootCA.crt ~/client-configs/keys/ca.crt# sudo mv /tmp/RootCA.crt /etc/openvpn/vpnsrv1/# sudo mv /tmp/vpnsrv1.crt /etc/openvpn/vpnsrv1/

# sudo cp /usr/share/doc/openvpn/examples/sample-config-files/server.conf.gz /etc/openvpn/# sudo gzip -d /etc/openvpn/server.conf.gz# cp /usr/share/doc/openvpn/examples/sample-config-files/client.conf ~/client-configs/base.conf

# sudo cat /etc/openvpn/vpnsrv1.confport 1194proto udpdev tunca vpnsrv1/RootCA.crtcert vpnsrv1/vpnsrv1.crtkey vpnsrv1/vpnsrv1.keydh vpnsrv1/dh.pemserver 10.8.0.0 255.255.255.0ifconfig-pool-persist ipp.txt;push "route 192.168.10.0 255.255.255.0";push "route 192.168.20.0 255.255.255.0";client-config-dir ccd;client-config-dir ccdpush "redirect-gateway def1 bypass-dhcp"push "dhcp-option DNS 208.67.222.222"push "dhcp-option DNS 208.67.220.220"client-to-client;duplicate-cnkeepalive 10 120tls-auth vpnsrv1/ta.key 0key-direction 0cipher AES-256-CBCauth SHA256max-clients 100user nobodygroup nogrouppersist-keypersist-tunstatus /var/log/openvpn/openvpn-status.loglog-append /var/log/openvpn/openvpn.logverb 3;mute 20explicit-exit-notify 1# cat ~/client-configs/base.confclientdev tunproto udpremote your_server_ip 1194;remote my-server-2 1194;remote-randomresolv-retry infinitenobinduser nobodygroup nogrouppersist-keypersist-tunremote-cert-tls server;tls-auth ta.key 1cipher AES-256-CBCauth SHA256key-direction 1verb 3;mute 20# script-security 2# up /etc/openvpn/update-resolv-conf# down /etc/openvpn/update-resolv-conf

# ip addr 

# sudo ufw allow 1194# sudo ufw allow 22

# sudo vim /etc/ufw/before.rules# START OPENVPN RULES# NAT table rules*nat:POSTROUTING ACCEPT [0:0]# Allow traffic from OpenVPN client to eth0 (change to the interface you discovered!)-A POSTROUTING -s 10.8.0.0/8 -o ens192 -j MASQUERADECOMMIT# END OPENVPN RULES

# Don't delete these required lines, otherwise there will be errors*filter

# sudo vim /etc/default/ufwDEFAULT_FORWARD_POLICY="ACCEPT"

# sudo vim /etc/sysctl.confnet.ipv4.ip_forward=1# sudo sysctl -p# sudo ufw enable

# sudo systemctl start openvpn@vpnsrv1

# ip addr

# sudo systemctl status openvpn@vpnsrv1

# sudo systemctl enable openvpn@vpnsrv1

# cd ~/client-configs/# vim configs-maker.sh#!/bin/bash# First argument: Client identifierKEY_DIR=/home/dumasti/client-configs/keysOUTPUT_DIR=/home/dumasti/client-configs/filesBASE_CONFIG=/home/dumasti/client-configs/base.confcat ${BASE_CONFIG} \<(echo -e '<ca>') \${KEY_DIR}/ca.crt \<(echo -e '</ca>\n<cert>') \${KEY_DIR}/${1}.crt \<(echo -e '</cert>\n<key>') \${KEY_DIR}/${1}.key \<(echo -e '</key>\n<tls-auth>') \${KEY_DIR}/ta.key \<(echo -e '</tls-auth>') \> ${OUTPUT_DIR}/${1}.ovpn

# chmod +x configs-maker.sh

# sudo ./configs-maker.sh dumasti

# cd ~/easyrsa/# ./easyrsa revoke dumasti

# ./easyrsa gen-crl

# scp ~/easyrsa/pki/crl.pem user@ip_OpenVPN:/tmp

# sudo mv /tmp/crl.pem /etc/openvpn/vpnsrv1/# sudo vim /etc/openvpn/vpnsrv1.conf

crl-verify vpnsrv1/crl.pem

# sudo systemctl restart openvpn@vpnsrv1

Поддерживаемые устройства и ОС

RaspAP

• Графический интерфейс для настройки и отображения графиков активности клиентских устройств;
• Поддержка сертификатов SSL;
• Интеграция с Captive portal;
• Управление DHCP-сервером;
• Поддержка адаптеров 802.11ac 5 ГГц;
• Автоопределение внешних беспроводных адаптеров.

Точка доступа

• Interface: wlan0
• SSID: raspi-webgui
• Wireless Mode: 802.11n 2.4GHz
• Channel: 1
• Security Type: WPA2
• Encryption Type: CCMP
• Passphrase: ChangeMe

Блокировщик рекламы (Ad blocking)

Captive portal

Поддержка дисплея для вывода состояния работы

Поддержка различных сетевых устройств в качестве WAN-интерфейса (Insiders Edition)

• Ethernet interface (eth);
• Wireless adapter (wlan);
• Mobile data modem (ppp);
• Mobile data adapter with built-in router;
• USB connected smartphone (USB tethering);

OpenVPN

WireGuard (Insiders Edition)

Доступ к Web-интересу настроек через SSL

Постановка задачи

• IP конфигурация для wlan0: address 192.168.43.12 netmask 255.255.255.0 gateway 92.168.43.1.
• IP конфигурация для wlan1: address 10.3.141.1 netmask 255.255.255.0 gateway 10.3.141.1.

• Диапазон выдаваемых IP-адресов 10.3.141.50 10.3.141.254;
• Шлюз/DNS-сервер: 10.3.141.1.

Как будет выглядеть Web-интерфейс RaspAP и подключение к Hotspot

Конфигурационные файлы RaspAP

• hostapd.conf служба hostapd
• default_hostapd служба hostapd
• 090_raspap.conf служба dnsmasq.d
• 090_wlan1.conf служба dnsmasq.d
• defaults.json служба raspap
• dhcpcd.conf служба raspap
• config.php портал конфигурации RaspAP

driver=nl80211ctrl_interface=/var/run/hostapdctrl_interface_group=0beacon_int=100auth_algs=1wpa_key_mgmt=WPA-PSKssid=raspi-webguichannel=1hw_mode=gwpa_passphrase=ChangeMeinterface=wlan1wpa=2wpa_pairwise=CCMPcountry_code=RU## Rapberry Pi 3 specific to on board WLAN/WiFi#ieee80211n=1 # 802.11n support (Raspberry Pi 3)#wmm_enabled=1 # QoS support (Raspberry Pi 3)#ht_capab=[HT40][SHORT-GI-20][DSSS_CCK-40] # (Raspberry Pi 3)## RaspAP wireless client AP mode#interface=uap0## RaspAP bridge AP mode (disabled by default)#bridge=br0

# Location of hostapd configuration fileDAEMON_CONF="/etc/hostapd/hostapd.conf"

# RaspAP default configlog-facility=/tmp/dnsmasq.logconf-dir=/etc/dnsmasq.d

# RaspAP wlan0 configuration for wired (ethernet) AP modeinterface=wlan1domain-neededdhcp-range=10.3.141.50,10.3.141.255,255.255.255.0,12hdhcp-option=6,10.3.141.1

{  "dhcp": {    "wlan1": {       "static ip_address": [ "10.3.141.1/24" ],      "static routers": [ "10.3.141.1" ],      "static domain_name_server": [ "10.3.141.1" ],      "subnetmask": [ "255.255.255.0" ]    },    "wlan0": {      "static ip_address": [ "192.168.43.12/24" ],      "static routers": [ "192.168.43.1" ],      "static domain_name_server": [ "1.1.1.1 8.8.8.8" ],      "subnetmask": [ "255.255.255.0" ]    },    "options": {      "# RaspAP default configuration": null,      "hostname": null,      "clientid": null,      "persistent": null,      "option rapid_commit": null,      "option domain_name_servers, domain_name, domain_search, host_name": null,      "option classless_static_routes": null,      "option ntp_servers": null,      "require dhcp_server_identifier": null,      "slaac private": null,      "nohook lookup-hostname": null    }  },  "dnsmasq": {    "wlan1": {      "dhcp-range": [ "10.3.141.50,10.3.141.255,255.255.255.0,12h" ]    },    "wlan0": {      "dhcp-range": [ "192.168.43.50,192.168.50.150,12h" ]    }  }}

# RaspAP default configurationhostnameclientidpersistentoption rapid_commitoption domain_name_servers, domain_name, domain_search, host_nameoption classless_static_routesoption ntp_serversrequire dhcp_server_identifierslaac privatenohook lookup-hostname# RaspAP wlan0 configurationinterface wlan0static ip_address=192.168.43.12/24static routers=192.168.43.1static domain_name_server=1.1.1.1 8.8.8.8

...define('RASPI_WIFI_AP_INTERFACE', 'wlan1');...define('RASPI_ADBLOCK_ENABLED', true);define('RASPI_OPENVPN_ENABLED', false);...

Пошаговая установкаRaspAP

Шаг 1 Подключение адаптера USB WiFi RTL8188

root@bananapim64:~# lsusbBus 004 Device 001: ID 1d6b:0001 Linux Foundation 1.1 root hubBus 003 Device 004: ID 0bda:c811 Realtek Semiconductor Corp.Bus 003 Device 002: ID 1a40:0101 Terminus Technology Inc. HubBus 003 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hubBus 002 Device 001: ID 1d6b:0001 Linux Foundation 1.1 root hubBus 001 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hubBus 005 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hubroot@bananapim64:~#

$ sudo ln -s /dev/null /etc/udev/rules.d/80-net-setup-link.rules$ sudo reboot

Шаг 2 Настройка сетевых интерфейсов

# Network is managed by Network managerauto loiface lo inet loopback# WANauto wlan0allow-hotplug wlan0iface wlan0 inet dhcp# Wi-Fi APauto wlan1iface wlan1 inet static    address 10.3.141.1    netmask 255.255.255.0    gateway 10.3.141.1

Шаг 3 Установка RaspAP

sudo apt-get updatesudo apt-get full-upgrade

sudo apt-get install software-properties-common sudo add-apt-repository ppa:ondrej/phpsudo apt-get install dhcpcd5

sudo apt-get install -y lighttpd git hostapd dnsmasq iptables-persistent vnstat qrencode php7.3-cgi

sudo lighttpd-enable-mod fastcgi-php    sudo service lighttpd force-reloadsudo systemctl restart lighttpd.service

sudo rm -rf /var/www/htmlsudo git clone https://github.com/RaspAP/raspap-webgui /var/www/htmlWEBROOT="/var/www/html"CONFSRC="$WEBROOT/config/50-raspap-router.conf"LTROOT=$(grep "server.document-root" /etc/lighttpd/lighttpd.conf | awk -F '=' '{print $2}' | tr -d " \"")HTROOT=${WEBROOT/$LTROOT}HTROOT=$(echo "$HTROOT" | sed -e 's/\/$//')awk "{gsub(\"/REPLACE_ME\",\"$HTROOT\")}1" $CONFSRC > /tmp/50-raspap-router.confsudo cp /tmp/50-raspap-router.conf /etc/lighttpd/conf-available/sudo ln -s /etc/lighttpd/conf-available/50-raspap-router.conf /etc/lighttpd/conf-enabled/50-raspap-router.confsudo systemctl restart lighttpd.servicecd /var/www/htmlsudo cp installers/raspap.sudoers /etc/sudoers.d/090_raspap

sudo mkdir /etc/raspap/sudo mkdir /etc/raspap/backupssudo mkdir /etc/raspap/networkingsudo mkdir /etc/raspap/hostapdsudo mkdir /etc/raspap/lighttpdsudo cp raspap.php /etc/raspap 

sudo chown -R www-data:www-data /var/www/htmlsudo chown -R www-data:www-data /etc/raspap

sudo mv installers/*log.sh /etc/raspap/hostapd sudo mv installers/service*.sh /etc/raspap/hostapdsudo chown -c root:www-data /etc/raspap/hostapd/*.sh sudo chmod 750 /etc/raspap/hostapd/*.sh sudo cp installers/configport.sh /etc/raspap/lighttpdsudo chown -c root:www-data /etc/raspap/lighttpd/*.shsudo mv installers/raspapd.service /lib/systemd/systemsudo systemctl daemon-reloadsudo systemctl enable raspapd.service

sudo apt-get install -y curl unzipmkdir -p ~/tempcurl -SL --output ~/temp/config_ct.zip https://github.com/devdotnetorg/Site/raw/master/Uploads/files/config_ct.zipunzip ~/temp/config_ct.zip -d ~/temprm ~/temp/config_ct.zipесли есть: sudo mv /etc/default/hostapd ~/default_hostapd.oldесли есть: sudo cp /etc/hostapd/hostapd.conf ~/hostapd.conf.oldsudo cp ~/temp/default_hostapd /etc/default/hostapdsudo cp ~/temp/hostapd.conf /etc/hostapd/hostapd.confsudo cp config/090_raspap.conf /etc/dnsmasq.d/090_raspap.confsudo cp ~/temp/090_wlan1.conf /etc/dnsmasq.d/090_wlan1.confsudo cp ~/temp/dhcpcd.conf /etc/dhcpcd.confsudo cp ~/temp/config.php /var/www/html/includes/sudo cp ~/temp/defaults.json /etc/raspap/networking/sudo systemctl stop systemd-networkdsudo systemctl disable systemd-networkdsudo cp config/raspap-bridge-br0.netdev /etc/systemd/network/raspap-bridge-br0.netdevsudo cp config/raspap-br0-member-eth0.network /etc/systemd/network/raspap-br0-member-eth0.network 

sudo sed -i -E 's/^session\.cookie_httponly\s*=\s*(0|([O|o]ff)|([F|f]alse)|([N|n]o))\s*$/session.cookie_httponly = 1/' /etc/php/7.3/cgi/php.inisudo sed -i -E 's/^;?opcache\.enable\s*=\s*(0|([O|o]ff)|([F|f]alse)|([N|n]o))\s*$/opcache.enable = 1/' /etc/php/7.3/cgi/php.inisudo phpenmod opcache

echo "net.ipv4.ip_forward=1" | sudo tee /etc/sysctl.d/90_raspap.conf > /dev/nullsudo sysctl -p /etc/sysctl.d/90_raspap.confsudo /etc/init.d/procps restartsudo iptables -t nat -A POSTROUTING -j MASQUERADEsudo iptables -t nat -A POSTROUTING -s 192.168.43.0/24 ! -d 192.168.43.0/24 -j MASQUERADEsudo iptables-save | sudo tee /etc/iptables/rules.v4

sudo systemctl unmask hostapd.servicesudo systemctl enable hostapd.service

sudo apt-get install openvpnsudo sed -i "s/\('RASPI_OPENVPN_ENABLED', \)false/\1true/g" /var/www/html/includes/config.phpsudo systemctl enable openvpn-client@clientsudo mkdir /etc/raspap/openvpn/sudo cp installers/configauth.sh /etc/raspap/openvpn/sudo chown -c root:www-data /etc/raspap/openvpn/*.sh sudo chmod 750 /etc/raspap/openvpn/*.sh

sudo mkdir /etc/raspap/adblockwget https://raw.githubusercontent.com/notracking/hosts-blocklists/master/hostnames.txt -O /tmp/hostnames.txtwget https://raw.githubusercontent.com/notracking/hosts-blocklists/master/domains.txt -O /tmp/domains.txtsudo cp /tmp/hostnames.txt /etc/raspap/adblocksudo cp /tmp/domains.txt /etc/raspap/adblock sudo cp installers/update_blocklist.sh /etc/raspap/adblock/sudo chown -c root:www-data /etc/raspap/adblock/*.*sudo chmod 750 /etc/raspap/adblock/*.shsudo touch /etc/dnsmasq.d/090_adblock.confecho "conf-file=/etc/raspap/adblock/domains.txt" | sudo tee -a /etc/dnsmasq.d/090_adblock.conf > /dev/null echo "addn-hosts=/etc/raspap/adblock/hostnames.txt" | sudo tee -a /etc/dnsmasq.d/090_adblock.conf > /dev/nullsudo sed -i '/dhcp-option=6/d' /etc/dnsmasq.d/090_raspap.confsudo sed -i "s/\('RASPI_ADBLOCK_ENABLED', \)false/\1true/g" includes/config.php

sudo chattr +i /etc/dnsmasq.d/090_wlan1.conf

sudo reboot now

Установка SoftEther VPN Server на VPS сервер

Создание сети для Docker контейнеров

• Название сети: vpnnetwork;
• Subnet: 172.22.0.0/24;
• Driver: bridge;
• Range: 172.22.0.0/25;
• gateway: 172.22.0.127;
• HostMin: 172.22.0.1;
• HostMax: 172.22.0.126;
• Hosts/Net: 126.

$ docker network create --driver bridge --subnet 172.22.0.0/24 --ip-range=172.22.0.0/25 --gateway 172.22.0.127 vpnnetwork

Создание контейнера с SoftEther VPN Server

$ mkdir -p /usr/vpnserver$ docker run --name vpnconf -e "SPW={PASSWORD}" -e "HPW={PASSWORD}" siomiz/softethervpn echo$ docker cp vpnconf:/usr/vpnserver/vpn_server.config /usr/vpnserver/vpn_server.config$ docker rm vpnconf

$ docker run --name vps-server-softethervpn -d --cap-add NET_ADMIN --restart always --net vpnnetwork --ip 172.22.0.2 -p 443:443/tcp -p 992:992/tcp \-p 1194:1194/udp -p 5555:5555/tcp -v /usr/vpnserver/vpn_server.config:/usr/vpnserver/vpn_server.config \-v /dev/null:/usr/vpnserver/server_log -v /dev/null:/usr/vpnserver/packet_log -v /dev/null:/usr/vpnserver/security_log siomiz/softethervpn:alpine

Настройка SoftEther VPN Server

• Setting Name: VDSina_ru_main_server
• Host Name: v636096.hosted-by-vdsina.ru
• Port Number: 443
• Password: пароль который был указан в переменной SPW при создание конфигурационного файла vpn_server.config

Получение файлов конфигурации *.ovpn

Настройка OpenVPN на RaspAP

sudo iptables -t nat -A POSTROUTING -o tun0 -j MASQUERADEsudo iptables -A FORWARD -i tun0 -o wlan1 -m state --state RELATED,ESTABLISHED -j ACCEPTsudo iptables -A FORWARD -i wlan1 -o tun0 -j ACCEPT

cp /etc/iptables/rules.v4 /etc/iptables/rules.v4.baksudo iptables-save | sudo tee /etc/iptables/rules.v4

• Username: officeuser1
• Password: указанный для officeuser1 в SoftEther VPN Server
• Для конфигурационного файла выбираем файл f1167ecd086e_openvpn_remote_access_l3.ovpn.

Настройка Captive portal

sudo apt-get updatesudo apt-get install -y libmicrohttpd-devcd ~/git clone https://github.com/nodogsplash/nodogsplash.gitcd nodogsplashmakesudo make install

...GatewayInterface wlan1...GatewayAddress 10.3.141.1...

sudo cp ~/nodogsplash/debian/nodogsplash.service /lib/systemd/system/sudo systemctl enable nodogsplash.servicesudo systemctl start nodogsplash.service sudo systemctl status nodogsplash.service

Устранение проблем

netstat -ntlp | grep LISTENlsof -i | grep LISTENlsof -nP -i | grep LISTEN

sudo systemctl status hostapd.servicesudo systemctl status dnsmasq.servicesudo systemctl status lighttpd.servicesudo systemctl status openvpn-client@clientsudo systemctl status nodogsplash.servicesudo systemctl status raspapd.service

Что дальше?

Итог

На правах рекламы

С чего начать?

Network Extension

import NetworkExtensionimport OpenVPNAdapterextension NEPacketTunnelFlow: OpenVPNAdapterPacketFlow {}class PacketTunnelProvider: NEPacketTunnelProvider {    lazy var vpnAdapter: OpenVPNAdapter = {        let adapter = OpenVPNAdapter()        adapter.delegate = self        return adapter    }()    let vpnReachability = OpenVPNReachability()    var startHandler: ((Error?) -> Void)?    var stopHandler: (() -> Void)?    override func startTunnel(options: [String : NSObject]?, completionHandler: @escaping (Error?) -> Void) {        guard            let protocolConfiguration = protocolConfiguration as? NETunnelProviderProtocol,            let providerConfiguration = protocolConfiguration.providerConfiguration        else {            fatalError()        }        guard let ovpnContent = providerConfiguration["ovpn"] as? String else {            fatalError()        }        let configuration = OpenVPNConfiguration()        configuration.fileContent = ovpnContent.data(using: .utf8)        configuration.settings = [:]        configuration.tunPersist = true        let evaluation: OpenVPNConfigurationEvaluation        do {            evaluation = try vpnAdapter.apply(configuration: configuration)        } catch {            completionHandler(error)            return        }        if !evaluation.autologin {            guard let username: String = protocolConfiguration.username else {                fatalError()            }            guard let password: String = providerConfiguration["password"] as? String else {                fatalError()            }            let credentials = OpenVPNCredentials()            credentials.username = username            credentials.password = password            do {                try vpnAdapter.provide(credentials: credentials)            } catch {                completionHandler(error)                return            }        }        vpnReachability.startTracking { [weak self] status in            guard status == .reachableViaWiFi else { return }            self?.vpnAdapter.reconnect(afterTimeInterval: 5)        }        startHandler = completionHandler        vpnAdapter.connect(using: packetFlow)    }    override func stopTunnel(with reason: NEProviderStopReason, completionHandler: @escaping () -> Void) {        stopHandler = completionHandler        if vpnReachability.isTracking {            vpnReachability.stopTracking()        }        vpnAdapter.disconnect()    }}extension PacketTunnelProvider: OpenVPNAdapterDelegate {        func openVPNAdapter(_ openVPNAdapter: OpenVPNAdapter, configureTunnelWithNetworkSettings networkSettings: NEPacketTunnelNetworkSettings?, completionHandler: @escaping (Error?) -> Void) {        networkSettings?.dnsSettings?.matchDomains = [""]        setTunnelNetworkSettings(networkSettings, completionHandler: completionHandler)    }    func openVPNAdapter(_ openVPNAdapter: OpenVPNAdapter, handleEvent event: OpenVPNAdapterEvent, message: String?) {        switch event {        case .connected:            if reasserting {                reasserting = false            }            guard let startHandler = startHandler else { return }            startHandler(nil)            self.startHandler = nil        case .disconnected:            guard let stopHandler = stopHandler else { return }            if vpnReachability.isTracking {                vpnReachability.stopTracking()            }            stopHandler()            self.stopHandler = nil        case .reconnecting:            reasserting = true        default:            break        }    }    func openVPNAdapter(_ openVPNAdapter: OpenVPNAdapter, handleError error: Error) {        guard let fatal = (error as NSError).userInfo[OpenVPNAdapterErrorFatalKey] as? Bool, fatal == true else {            return        }        if vpnReachability.isTracking {            vpnReachability.stopTracking()        }        if let startHandler = startHandler {            startHandler(error)            self.startHandler = nil        } else {            cancelTunnelWithError(error)        }    }    func openVPNAdapter(_ openVPNAdapter: OpenVPNAdapter, handleLogMessage logMessage: String) {    }}

И снова код

var providerManager: NETunnelProviderManager!    override func viewDidLoad() {        super.viewDidLoad()        loadProviderManager {            self.configureVPN(serverAddress: "127.0.0.1", username: "", password: "")        }     }    func loadProviderManager(completion:@escaping () -> Void) {       NETunnelProviderManager.loadAllFromPreferences { (managers, error) in           if error == nil {               self.providerManager = managers?.first ?? NETunnelProviderManager()               completion()           }       }    }    func configureVPN(serverAddress: String, username: String, password: String) {      providerManager?.loadFromPreferences { error in         if error == nil {            let tunnelProtocol = NETunnelProviderProtocol()            tunnelProtocol.username = username            tunnelProtocol.serverAddress = serverAddress            tunnelProtocol.providerBundleIdentifier = "com.myBundle.myApp"             tunnelProtocol.providerConfiguration = ["ovpn": configData, "username": username, "password": password]            tunnelProtocol.disconnectOnSleep = false            self.providerManager.protocolConfiguration = tunnelProtocol            self.providerManager.localizedDescription = "Light VPN"            self.providerManager.isEnabled = true            self.providerManager.saveToPreferences(completionHandler: { (error) in                  if error == nil  {                     self.providerManager.loadFromPreferences(completionHandler: { (error) in                         do {                           try self.providerManager.connection.startVPNTunnel()                         } catch let error {                             print(error.localizedDescription)                         }                                                                   })                  }            })          }       }    }

do {            try providerManager?.connection.stopVPNTunnel()            completion()        } catch let error {            print(error.localizedDescription)        }

if providerManager.connection.status == .connected {      defaults.set(true, forKey: "serverIsOn")}

@available(iOS 8.0, *)public enum NEVPNStatus : Int {    /** @const NEVPNStatusInvalid The VPN is not configured. */    case invalid = 0    /** @const NEVPNStatusDisconnected The VPN is disconnected. */    case disconnected = 1    /** @const NEVPNStatusConnecting The VPN is connecting. */    case connecting = 2    /** @const NEVPNStatusConnected The VPN is connected. */    case connected = 3    /** @const NEVPNStatusReasserting The VPN is reconnecting following loss of underlying network connectivity. */    case reasserting = 4    /** @const NEVPNStatusDisconnecting The VPN is disconnecting. */    case disconnecting = 5}