Projet

Général

Profil

VPN Client OpenWrt » Historique » Version 8

Julien Vaubourg, 29/08/2020 22:35

1 1 Julien Vaubourg
h1. VPN Client OpenWrt
2 1 Julien Vaubourg
3 4 Julien Vaubourg
h2. Introduction
4 4 Julien Vaubourg
5 1 Julien Vaubourg
Le routeur doit être assez puissant pour supporter les opérations de chiffrement de Wireguard (eg. TP-Link Archer C7).
6 1 Julien Vaubourg
7 1 Julien Vaubourg
Il doit avoir été préalablement flashé en OpenWrt.
8 1 Julien Vaubourg
9 2 Julien Vaubourg
Doc testée avec OpenWrt 19.07.3.
10 2 Julien Vaubourg
11 1 Julien Vaubourg
h2. Exemple de configuration
12 1 Julien Vaubourg
13 2 Julien Vaubourg
On suppose que votre service Wireguard a été configuré comme suit côté Tetaneutral :
14 1 Julien Vaubourg
15 1 Julien Vaubourg
* Réseau IPv6: <pre>2001:db8:dead:be00::/56</pre>
16 1 Julien Vaubourg
* Adresse IPv4: <pre>203.0.113.42/32</pre>
17 1 Julien Vaubourg
* Clé privée Wireguard: <pre>XF4wYSh/Ox9CoPl/YvFECu1DH6FQy7fLNUnur4sv9nM=</pre>
18 1 Julien Vaubourg
19 1 Julien Vaubourg
h2. Variables et commandes à copier-coller
20 1 Julien Vaubourg
21 1 Julien Vaubourg
Se connecter en SSH au routeur pour obtenir un terminal sur OpenWrt.
22 1 Julien Vaubourg
23 1 Julien Vaubourg
Variables *à personnaliser* puis copier-coller dans le terminal du OpenWrt :
24 1 Julien Vaubourg
25 1 Julien Vaubourg
<pre>
26 1 Julien Vaubourg
WG_ADH_NET6="2001:db8:dead:be00::"
27 1 Julien Vaubourg
WG_ADH_ADDR4="203.0.113.42"
28 1 Julien Vaubourg
WG_ADH_PRIV_KEY="XF4wYSh/Ox9CoPl/YvFECu1DH6FQy7fLNUnur4sv9nM="
29 1 Julien Vaubourg
</pre>
30 1 Julien Vaubourg
31 1 Julien Vaubourg
Variables et commandes à copier-coller ensuite *telles quelles* dans le terminal du OpenWrt (sauf expert·e) :
32 1 Julien Vaubourg
33 1 Julien Vaubourg
<pre>
34 2 Julien Vaubourg
# Change timezone
35 8 Julien Vaubourg
uci set system.system.zonename="Europe/Brussels"
36 8 Julien Vaubourg
uci set system.system.timezone="CET-1CEST,M3.5.0,M10.5.0/3"
37 8 Julien Vaubourg
uci set system.ntp="timeserver"
38 8 Julien Vaubourg
uci set system.ntp.enabled="1"
39 8 Julien Vaubourg
uci set system.ntp.enable_server="0"
40 1 Julien Vaubourg
uci commit system
41 7 Julien Vaubourg
/etc/init.d/sysntpd enable
42 2 Julien Vaubourg
/etc/init.d/sysntpd restart
43 2 Julien Vaubourg
44 1 Julien Vaubourg
# Install wireguard
45 1 Julien Vaubourg
opkg update
46 1 Julien Vaubourg
opkg install wireguard luci-proto-wireguard
47 1 Julien Vaubourg
48 1 Julien Vaubourg
# Global TTNN parameters
49 1 Julien Vaubourg
WG_SRV_ADDR="h10.tetaneutral.net"
50 1 Julien Vaubourg
WG_SRV_PORT="51820"
51 1 Julien Vaubourg
WG_SRV_PUB_KEY="DsIeOCRs/5uYdi8rLiBzRNmN4zUzKCQRqY3Sbl8NS0A="
52 6 Julien Vaubourg
WG_ADH_ADDR6_LAN="${WG_ADH_NET6}1/64"
53 1 Julien Vaubourg
WG_ADH_ADDR4_WAN="${WG_ADH_ADDR4}/32"
54 1 Julien Vaubourg
WG_LOCAL_IF="wg0"
55 1 Julien Vaubourg
56 1 Julien Vaubourg
# Configure firewall
57 1 Julien Vaubourg
uci rename firewall.@zone[0]="lan"
58 1 Julien Vaubourg
uci rename firewall.@zone[1]="wan"
59 1 Julien Vaubourg
uci rename firewall.@forwarding[0]="lan_wan"
60 1 Julien Vaubourg
uci del_list firewall.wan.network="${WG_LOCAL_IF}"
61 1 Julien Vaubourg
uci add_list firewall.wan.network="${WG_LOCAL_IF}"
62 1 Julien Vaubourg
uci commit firewall
63 1 Julien Vaubourg
/etc/init.d/firewall restart
64 1 Julien Vaubourg
65 1 Julien Vaubourg
# Configure network
66 1 Julien Vaubourg
uci -q delete network.${WG_LOCAL_IF}
67 1 Julien Vaubourg
uci set network.${WG_LOCAL_IF}="interface"
68 1 Julien Vaubourg
uci set network.${WG_LOCAL_IF}.proto="wireguard"
69 1 Julien Vaubourg
uci set network.${WG_LOCAL_IF}.private_key="${WG_ADH_PRIV_KEY}"
70 1 Julien Vaubourg
uci del network.lan.ip6assign
71 1 Julien Vaubourg
uci add_list network.lan.ip6addr="${WG_ADH_ADDR6_LAN}"
72 1 Julien Vaubourg
uci add_list network.${WG_LOCAL_IF}.addresses="${WG_ADH_ADDR4_WAN}"
73 1 Julien Vaubourg
74 1 Julien Vaubourg
# Add TTNN VPN peer
75 1 Julien Vaubourg
uci -q delete network.wgserver
76 1 Julien Vaubourg
uci set network.wgserver="wireguard_${WG_LOCAL_IF}"
77 1 Julien Vaubourg
uci set network.wgserver.public_key="${WG_SRV_PUB_KEY}"
78 1 Julien Vaubourg
uci set network.wgserver.endpoint_host="${WG_SRV_ADDR}"
79 1 Julien Vaubourg
uci set network.wgserver.endpoint_port="${WG_SRV_PORT}"
80 1 Julien Vaubourg
uci set network.wgserver.route_allowed_ips="1"
81 1 Julien Vaubourg
uci set network.wgserver.persistent_keepalive="25"
82 1 Julien Vaubourg
uci add_list network.wgserver.allowed_ips="::/0"
83 1 Julien Vaubourg
uci add_list network.wgserver.allowed_ips="0.0.0.0/0"
84 1 Julien Vaubourg
85 1 Julien Vaubourg
# Preserve default route
86 8 Julien Vaubourg
uci set network.wg0.metric="10"
87 1 Julien Vaubourg
uci set network.wan6.metric="100"
88 1 Julien Vaubourg
uci set network.wan.metric="100"
89 1 Julien Vaubourg
uci commit network
90 8 Julien Vaubourg
91 8 Julien Vaubourg
# Add a hook script to fix to clock before starting the tunnel
92 8 Julien Vaubourg
cat <<EOF> /etc/hotplug.d/iface/30-ntpclient-before-vpn
93 8 Julien Vaubourg
#!/bin/sh
94 8 Julien Vaubourg
95 8 Julien Vaubourg
[ "\${INTERFACE}" = wg0 -a "\${ACTION}" = ifup ] || exit 0
96 8 Julien Vaubourg
97 8 Julien Vaubourg
default_gw=\$(ip route | grep 'default via' | awk '{ print \$3 }')
98 8 Julien Vaubourg
99 8 Julien Vaubourg
ip route del default via "\${default_gw}"
100 8 Julien Vaubourg
ip route add default via "\${default_gw}" metric 0
101 8 Julien Vaubourg
102 8 Julien Vaubourg
ntpd -nqp 0.openwrt.pool.ntp.org 1.openwrt.pool.ntp.org 2.openwrt.pool.ntp.org 3.openwrt.pool.ntp.org
103 8 Julien Vaubourg
104 8 Julien Vaubourg
ip route del default via "\${default_gw}"
105 8 Julien Vaubourg
ip route add default via "\${default_gw}" metric 100
106 8 Julien Vaubourg
107 8 Julien Vaubourg
exit 0
108 8 Julien Vaubourg
EOF
109 8 Julien Vaubourg
110 8 Julien Vaubourg
# Restart the network and so mount the VPN
111 1 Julien Vaubourg
/etc/init.d/network restart
112 1 Julien Vaubourg
</pre>
113 1 Julien Vaubourg
114 1 Julien Vaubourg
h2. Tests
115 1 Julien Vaubourg
116 1 Julien Vaubourg
Se connecter en DHCP avec un Linux sur l'un des ports LAN du routeur.
117 1 Julien Vaubourg
118 1 Julien Vaubourg
Sur l'interface filaire du PC on devrait obtenir quelque chose qui ressemble à :
119 1 Julien Vaubourg
120 1 Julien Vaubourg
<pre>
121 1 Julien Vaubourg
# ip address
122 1 Julien Vaubourg
inet6 2001:db8:dead:be02:3e47:edd:f3cb:2e04/64 scope global dynamic mngtmpaddr
123 1 Julien Vaubourg
inet 192.168.1.201/24 brd 192.168.1.255 scope global dynamic enp0s25
124 1 Julien Vaubourg
125 1 Julien Vaubourg
# ip -6 route
126 1 Julien Vaubourg
default via fe80::4afe:7cde:fa1e:310b dev enp0s25 proto ra metric 1024 expires 1724sec hoplimit 64 pref medium
127 1 Julien Vaubourg
128 1 Julien Vaubourg
# ip -4 route
129 1 Julien Vaubourg
default via 192.168.1.1 dev enp0s25
130 1 Julien Vaubourg
</pre>
131 1 Julien Vaubourg
132 1 Julien Vaubourg
Les IP retournées par curl devraient ressembler à :
133 1 Julien Vaubourg
134 1 Julien Vaubourg
<pre>
135 1 Julien Vaubourg
# curl ip6.yunohost.org
136 1 Julien Vaubourg
2001:db8:dead:be02:3e47:edd:f3cb:2e04
137 1 Julien Vaubourg
138 1 Julien Vaubourg
# curl ip.yunohost.org
139 1 Julien Vaubourg
203.0.113.42
140 1 Julien Vaubourg
</pre>
141 1 Julien Vaubourg
142 1 Julien Vaubourg
h2. Notes sur IPv6
143 1 Julien Vaubourg
144 6 Julien Vaubourg
Avec cette configuration, le range IPv6 /56 fournit par Tetaneutral est réduit à un /64 pour satisfaire les pré-requis de l'autoconfiguration stateless (attribution des IP en fonction des adresses MAC).
145 1 Julien Vaubourg
146 6 Julien Vaubourg
Si vous souhaitez utiliser le range IPv6 pour faire des sous-réseaux, libre à vous d'ajouter des routes en utilisant ses sous-réseaux, par exemple avec les /64 restants :
147 1 Julien Vaubourg
148 1 Julien Vaubourg
<pre>
149 1 Julien Vaubourg
* 2001:db8:dead:be00::/56 -- range complet
150 6 Julien Vaubourg
  * 2001:db8:dead:be00::/64 -- sous-réseau utilisé pour l'interco du WAN (pourrait être lui-même réduit)
151 6 Julien Vaubourg
  * 2001:db8:dead:be01::/64 -- sous-réseau libre
152 6 Julien Vaubourg
    [...]
153 1 Julien Vaubourg
  * 2001:db8:dead:beff::/64 -- sous-réseau libre
154 3 Julien Vaubourg
</pre>
155 2 Julien Vaubourg
156 2 Julien Vaubourg
h2. Débits
157 1 Julien Vaubourg
158 4 Julien Vaubourg
Les tests de débit (genre avec _speedtest.net_) sont toujours un peu aléatoires, mais il n'est pas étonnant que le VPN écrase un peu les débits. Cependant, le CPU ne semble pas particulièrement sollicité durant le test...
159 2 Julien Vaubourg
160 4 Julien Vaubourg
Tests de débit avec un TP-Link Archer C7 :
161 2 Julien Vaubourg
162 2 Julien Vaubourg
* [Sans VPN] Down: 60 Mbps / Up: 40 Mbps
163 2 Julien Vaubourg
* [Avec VPN] Down: 25 Mbps / Up: 16 Mbps