xpen
Продвинутый юзер
- Сообщения
- 260
- Реакции
- 338
Настройка OpenWRT
(для работы в даркнете)
- Нет какого то единственно правильного способа настройки "роутера", но есть много разных вариантов... В этой статье я расскажу про один, который необязательно будет самым подходящим именно для ваших целей. Так что пока я пропущу тему для нескольких отдельных статей: выбор архитектуры (возможно, вместо OpenWRT вам лучше подойдёт например pfSense), выбор железа, перешивку "роутера". Так что для начала предположим, что у вас уже есть "роутер" со свежепрошитой OpenWRT. Некоторые детали настройки будут зависеть от его модели (например от количества ethernet портов), но в основном всё применимо в большинстве случаев.
- У OpenWRT есть 2 основных способа настройки: через ssh (консоль) и GUI (web интерфейс). SSH - универсальный, т.е. позволяет изменить всё что угодно, и зайти на роутер тоже можно откуда угодно где есть ssh клиент. GUI (через браузер) тоже хорош, но бывают настройки, которые через него поменять невозможно (потому что разработчики просто ещё не успели добавить такую возможность), Так что лучше всего освоить метод через ssh, это не так сложно как кажется. Здесь я буду пользоваться GUI, а продвинутые настойки оставим для следующей статьи.
- OpenWRT - не "готовое решение", в которое осталось "прописать ваши настройки" (как в обычных "роутерах" для домохозяек) а почти универсальный конструктор, из которого можно собрать много самых разных конфигураций. В свежепрошитом состоянии в нём минимум компонентов (самых часто используемых) и в большинстве случаев нужно устанавливать дополнительное ПО (например, там нет OpenVPN, и чтобы он появился его нужно скачать и установить). Это на самом деле хорошее решение, в дешёвых "роутерах" очень мало памяти, и всё полюбому не влезет, а большая часть имеющегося софта реально нужна очень небольшому проценту пользователей.
- Если вам кажется что в этой статье что-то не так, и можно сделать проще, удобнее или безопаснее - то вам не кажется. Есть десятки способов сделать нормально и я не претендую что этот - самый лучший.
- Такой настройки достаточно для большинства случаев. Однако, может оказаться что вы занимаетесь такими делами, что недостаточно, это только вы сами можете решить. Если недостатчно - то всегда есть что улучшить, например настроить VPN-TOR-VPN или установить v2ray...
- "роутеров" много разных моделей, со своими особенностями, которые просто невозможно все предусмотреть в одной статье. Может оказаться что именно на вашем роутере чтото не заработает (нехватит RAM, неподойдут драйвера, ...) это не значит что OpenWRT плохая или статья неправильная. Я использую железки от Mikrotik (как сбалансированые по критерию качество/цена), и устанавливаю OpenWRT на виртуалки (KVM, Virtualbox) там всё работает.
- Не на всё что тут описано будут скриншоты, для всех подробностей их понадобится слишком дофига. Если будет мотивированый запрос - могу запилить видео со всем процессом настройки.
- Если вы раньше не занимались настройкой нормальных устройств (хотя бы mikrotik) то с первого раза может не получиться. Это не потому что OpenWRT кривой, а просто нужно потренироваться и изучить матчасть. Несколько неудачных попыток и всё станет понятно, после чего наоборот обычные "роутеры" с заводскими прошивками будут казаться убожеством для тупых (как оно по факту и есть).
Начнём:
- Подключаем роутер (лучше проводом), заходим браузером на web интерфейс
Пожалуйста Войдите или Зарегистрируйтесь чтобы видеть скрытые ссылки.и для начала делаем минимальные очевидные настойки (все необязательные, можно пропустить): Sysem -> hostname, description - название вашего роутера. Имеет смысл, если у вас их много, для того чтобы было сразу понятно на который из них вы только что зашли. System -> local time - время на роутере. Почти никогда не нужно, единственный известный мне случай когда надо - это TOR, он требует правильной установки времени. System -> language and style - выбор языка и темы оформления, я не вижу смысла изменять, на английском там всё понятно, а переводы не для всего есть и бывают кривые.
- Меняем IP адрес LAN Идём в Network -> Interfaces. В интерфейсе LAN имеет смысл изменить IP с дефолтного192.168.1.1 на другой. Этот шаг необязателен, если у вас один роутер и больше не планируется. Но если роутеров у вас больше одного (например дома, на даче, и с собой в рюкзаке, запитаный от повербанка) то это нужно для того, чтобы была возможность объединить сети, то есть находясь на даче скачать файл с NAS из дома, или едя в метро посмотреть камеры на даче. Процесс немного хитрый, т.к. если изменить криво, то можно потерять доступ к роутеру и останется только factory reset. Поэтому, после того как настройка изменена, у вас есть 2 минуты чтобы зайти браузером по новому IP, и если это не происходит, то настройка отменяется и минуты через 3 IP вернётся обратно. Новый IP в принципе может быть каким угодно, но общепринятая практика такая: назначить 192.168.x.1 маска подсети 255.255.255.0 где x - любое число от 0 до 255. Кроме того, на каждом роутере у нас будет несколько подсетей для разных целей, поэтому имеет смысл придумать некоторый способ нумерации, чисто для своего удобства. Я делаю так: на каждый роутер выделяется 10 подсетей и адреса 192.168.10.1-192.168.19.1 это роутер дома, 192.168.20.1-192.168.29.1 это на даче, и т.д. Ещё бывают случаи, когда один роутер соединяется с другим в цепочку (то есть своим WAN портом втыкается в LAN другого), тогда окажется что одна и та же подсеть (192.168.1.x) будет сразу на 2-х интерфейсах, и в итоге будут чудовищные глюки. Пока предположим что вы забили это делать, и оставили дефолтный IP, если на моих скриншотах вы видите другой - забейте.
- Настойка WAN (доступ в инет). Обычно настроено на подключение проводом к провайдеру с WAN порта. Бывает что нет, если например в роутере всего один ethernet порт. Мы всё равно будем настраивать несколько WAN, но чтобы начать нужно скачать из интернета пакеты, а для этого надо иметь рабочий WAN. Не надо сразу втыкать провод от провайдера, хотя бы чтобы не светить MAC, сначала возможно стоит его сменить. В разных версиях OpenWRT это делается по разному, до версии 20 это Network -> Intarfaces -> WAN -> Advanced settings -> Override MAC address а начиная с 21 это Network -> Intarfaces -> Devices -> eth0 (может отличаться, смотреть в настройках WAN) -> Configure -> MAC Address. Может оказаться, что провайдер дурацкий, и вместо того, чтобы как все нормальные выдать IP по DHCP (дефолтная настройка) хочет какого нибудь сраного PPPoE (с паролем) или чего ещё похуже. Некоторые особо пидерастические делают ещё и привязку к MAC роутера, тогда хорошим решением будет взять MAC от старого "роутера" который уже работает, и прописать в OpenWRT такой же. Другой вариант - воткнуть WAN от OpenWRT в LAN уже имеющегося "роутера" пусть даже с заводской прошивкой. Всё что собственно требуется - это чтобы на другом конце провода было устройство, которое умеет выдать IP по DHCP и дать доступ в интернет. В случае, если вышестоящий роутер выдаёт 192.168.1.x то надо всё таки менять IP LAN, см. п. 2.
- Критерий успешности - наличие доступа в инет с компа, подключеного к LAN. Если вы смогли зайти на какой нибудь сайт - значит всё готово, можно переходить к следующей части.
Установка драйверов
(необязательно, можно не устанавливать если не планируете использовать эти возможности)
- Скачиваем список пакетов. Идём в System -> software и нажимаем Update lists. Подождать пока оно скачает список имеющихся пакетов.
- Устанавливаем драйвер для USB-LTE модема. Поскольку производители "модемов" - конченые пидарасы, подобрать нужный может быть непросто (не все модемы вообще работают с OpwnWRT). Это не потому что OpenWRT плохая, а потому что "модемы" как правило гавно, большинство из них предназначено чтобы втыкать в ноутбук с виндой, и то что они работают гдето ещё - случайность. В этой статье я буду использовать модем huawei e3372 (довольно распространённый, есть куча такихже только перемаркированых под опсосов (типа "модем от МТС") которые после перешивки работают точно также. При этом, в этих e3372 бывает 2 разновидности прошивок: Stick и HiLink. Stick встречается редко и неподходит (обычно она на "МТС модемах" из магазина), перешитые (разлоченые) модемы в большинстве случаев с HiLink, которая нам и нужна. Когда будете покупать надо спростить у продавца: "нужен модем e3372 разлоченый с прошивкой HiLink с фиксацией TTL и сменой IMEI". Это несложно найти, пункты про TTL и IMEI нужны чтобы в них работали SIM карты с тарифами для смартфонов (да, опсосы - пидары и некоторые (дешёвые) тарифы "не предназначены для модемов" и такая симка не будет работать в обычном модеме, нужен именно перешитый). Если у вас какой то - другой, то конечно есть шанс что он заработает, но это не точно, и возможно понадобится другой "драйвер" (модуль ядра если точнее). Для e3372 нужно скачать модуль kmod-usb-net-cdc-ether (просто забиваем это название в строчку Filter и нажимаем кнопку "Install". Но это еще всё, пидарасы сделали ещё одну подлянку. Дело в том, что когда "модем" втыкается в винду он (внезапно) работает как CD-ROM ! Это разумеется всё для удобства пользователя, чтобы ему было откуда установить драйвера... Поэтому, нужна ещё переключалка, чтобы после втыкания в OpwnWRT перевести его в режим модема. Для этого нужно установить ещё пакет usb-modeswitch (это не для всех модемов нужно, некоторые сразу работают в режиме модема). Проверить что всё получилось можно в Status -> Kernel Log, там ближе к концу должно появиться примерно так:
- Добавляем интерфейс. Network -> Interfaces -> Add new interface Выбираем название (LTE), протокол DHCP, интерфейс (обычно это eth2, но может отличаться, смотреть в kernel log как правильно). Нажимаем Create interface
- Настройка: нажимаем Edit -> Firewall settings -> Create / Assign firewall-zone выбираем там зону WAN (объяснение про фаерволл и его зоны будет дальше).
- Проверка: теперь можно выдернуть провод к провайдеру и доступ в интернет должен быть через модем.
- Добавим WiFi Client (он жа STA). Бывает удобно подключить сам роутер к интернету через WiFi, например если вы "случайно угадали" пароль от соседского WiFi, или например в кафе или в парке подключились к публичной WiFi сети. Это можно сделать и без дополнительного USB-WiFi адаптера, в некоторых роутрерах встроенный умеет одновременно подключаться к WiFi сети в режиме клиента и раздавать WiFi для других устройств (быть точной доступа). Но не все роутеры поддерживают, и вообще это чревато разными непонятными глюками, так что не стоит, USB-WiFi это недорого. Можно даже воткнуть USB HUB и в него несколько WiFi и LTE модемов.
- Устанавливаем драйвер для USB-WiFi. Сначала надо узнать какой нужен. Удобно это сделать если сначала воткнуть в комп или ноутбук и посмотреть (в dmesg или lsusb) какой чипсет там установлен и какой драйвер нужен. Или можно найти тоже самое в гугле, если вбить модель устройства. В отличие от USB-LTE тут всё намного проще, проблемы (отсутсвие драйвера или глючный) могут быть если железка совсем новая и навороченая, в большинстве случаев всё работает сразу.
- Добавляем WiFi Client: Идём в Network -> Wireless, там должен появиться адаптер radio1 (или radio0 если в роутере нет встроенного wifi). Нажимаем Edit и выбираем: канал - auto, режим - client, Network - Create new (вписываем название)
- Настраиваем интерфейс: В Network -> Interfaces выбираем свежепоявившийся STA, нажимает Edit и выбираем: протокол - DHCP, Assign firewall-zone - WAN, Override MAC address - придумываем случайный MAC.
- Проверка: Выдернуть провод от провайдера, выдернуть USB-LTE, втыкнуть USB-WiFi адаптер. Должен быть интернет через соседский WiFi.
Настройка WiFi
Будем делать 2 WiFi сети: основную и гостевую (без пароля). Если вам нужно больше - можно аналогично сделать сколько угодно.
- Сделаем 2 WiFi сети: Как обычно Network -> Wireless -> radio0 -> Add. Но не спешим, сначала надо придумать SSID (имя сети) и BSSID (MAC адрес точки доступа). Можно конечно оставить как есть, но лучше сначала зайти на
Пожалуйста Войдите или Зарегистрируйтесь чтобы видеть скрытые ссылки.(там надо зарегаться, это легко), нажать View -> Basic search и выбрать место на карте, где желаете "оказаться" (нужно сильно приблизить чтобы wifi точек на карте было не слишком много) и нажать Query. В списке точек выбрать подходящую (зелёненькую), её название прописать в поле ESSID. С MAC адресом чутка сложнее, раньше (в старых версиях OpenWRT (до 19)) надо было заходить по SSH и вписывать вручную в конфиг, сейчас всё проще: Network -> Wireless -> Edit -> Advanced settings -> MAC address. Весь прикол с выбором MAC на сайте wigle - что если постараться то трубы подключеные к вашему wifi будут определять геолокацию того места, которое у оригинальной точки (при условии если GPS выключен или не ловит) (ну и заодно незачем светить своим MAC адресом лишний раз). При добавлении WiFi сети в Network каждый раз указываем Create new (custom) чтобы получились отдельные интерфейсы (с разными IP адресами). Жмём Save & Apply и смотрим список WiFi сетей (на ноутбуке или телефоне), должны появиться те которые мы добавили (подключиться к ним не пока получится, т.к. у них ещё нет IP адресов). Необязательно конечно делать 2 сети, можно обойтись одной, но так удобнее если нужно комуто дать доступ в инет и не давать при этом ключ сети. Делаем одну сеть с паролем, другую открытую.
- Назначим на них IP адреса: В Network -> Interfaces видим наши новые сети, жмём Edit. В general settings пишем IP адрес 192.168.x.1 (где x - любое число от 1 до 255, удобно нумеровать их по порядку, т.е. если LAN это 192.168.11.1 делаем WiFi 192.168.12.1 маска подсети 255.255.255.0 остальное не трогаем (пока). В Firewall Settings надо создать новую зону (выбрать custom и назвать), в DHCP server снять галочку Ignore interface (включить DHCP сервер на этом интерфейсе). Теперь к этому WiFi уже можно подключиться телефоном.
Установка и настройка OpenVPN
- Установим пакеты: (так же как при установке драйверов). Нужны пакеты openvpn-openssl и luci-app-openvpn. Возможно, придётся сделать logout и снова зайти чтобы появилось меню VPN.
- Добавляем конфиг: Заходим VPN -> OpenVPN удаляем примеры конфигов, добавляем свои. Тут всё непросто, и вообще то это тема отдельной статьи (правильная настройка OpenVPN). В целом есть 2 разных случая: у вас свой VPN сервер (то есть вы можете менять конфиг OpenVPN сервера) и покупной (вам дали готовый конфиг). Тут пока не будет подробного разбора, просто предположим что правильный конфиг уже есть. Его можно загнать в OpenWRT "вручную" - нажать Template based configuration и затем вбить все нужные параметры (удобно, если конфиг планируется менять), или нажать OVPN configuration file upload и залить готовый конфиг (но тогда если надо его поменять то придётся удалить и залить новый, или зайти по SSH и исправить вручную в редакторе).
- Проверяем: Идём в Status -> System Log там должно быть примерно так:
- Добавляем второй VPN: (если надо). А идея полезная по нескольким причинам: VPN имеют свойство переставать работать в неподходящий момент, а чтобы завести новый придётся сначала полезть в инет мимо VPN... если же у вас их два и один из них сдох, то через второй всё ещё есть доступ в инет и можно спокойно купить новый и подключить вместо сдохшего. А ещё VPN бывают тормозные (медленне чем инет от провайдера) и можно увеличить скорость таким способом. Или можно разные устройства пропустить каждое через свой VPN например если нужно чтобы IP были из разных стран. Можно и больше двух сделать, ограничено только количеством RAM и CPU на роутере.
- Добавляем интерфейсы для VPN: В Network -> Interfaces нажимаем Add new interface. Даём название (VPN1). Device - выбираем устройство которое появилось при запуске OpenVPN (можно посмотреть в логе, это tap0 или tun0 (цифра будет другая если их несколько). Если VPN купленый - то IP адрес на него назначает сервер, и тогда выбираем Protocol - Unmanaged. Если сервер ваш, то удобнее адреса назначить самому, тогда выбираем Protocol - Static address (нужно настроить так же на сервере). В Firewall settnigs создаём новую зону (VPN) в которую добавляем все VPN интерфейсы.
- Проверка: Зависит от настроек OpenVPN. Как минимум, должен пингаться VPN сервер с самого роутера, заходим Network -> Diagnostics -> IPv4 Ping, пишем IP адрес OpenVPN сервера (смотрим в System Log). Если в конфиге OpenVPN прописано заворачивать весь трафик (опция redirect-gateway), то с подключённых устройств инет будет через VPN, проверять на сайтах для проверки IP (whoer.net 2ip.ru).
Настройка firewall
- Идём в Network -> firewall. Там видим наши ранее назначеные зоны: LAN, WAN, WiFi, GUEST, VPN (могут быть ещё если вам нужно).
- Из LAN (подключение проводом) стоит разрешить всё, хотя пользоваться им придётся редко. Он нужен чтобы был способ выйти в инет мимо VPN, например чтобы зайти в личный кабинет провайдера (опсоса) который скорее всего недоступен через VPN, а если баланс кончился, то сам VPN не приконнектится... Или в случае с халявным WiFi инет сразу обычно не дают, а надо зайти на captive portal и посмотреть рекламу. Кроме того, стоит ограничить доступ к самому роутеру только с LAN или хотя бы запретить с гостевой сети.
- Из Wifi следует разрешить трафик везде, кроме WAN, чтобы девайсы полюбому никак не могли полезть в инет мимо VPN, например если сервер недоступен или ещё чтото случилось. WiFi -> LAN может пригодиться если в LAN есть какие то полезные устройства (NAS, видеорегистратор, ...) на которые удобно лазить с телефона.
- Из Guest можно только в VPN и никуда больше, нефиг непонятно кому видеть что у нас в локалке есть.
- Из WAN всё запретить, это полностью недовереные интерфейсы, на них висят подключения к опсосам от которых можно ожидать любой подлянки.
- Из VPN если он не на вашем сервере - тоже всё запретить. Если сервер вы сами настраивали - то разрешить, чтобы с удалёнки (другого такого же роутера) можно было лазить по LAN (например скачать что-то с NAS который дома сидя на даче).
И теперь самое интересное: MWAN
Эта часть в общем то необязательна, ибо уже на этом шаге всё вроде бы работает. Но есть и недостатки, например будет использоваться одновременно только 1 провайдер и только 1 VPN. То есть, если подключить несколько провайдеров то их скорости не суммируются, а из нескольких VPN реально будет работать только один. Кроме того, оно не умеет определять наличие интернета, то есть если например на счету ноль, будет доступна только страница провайдера для оплаты, но для OpenWRT без MWAN это ничего не значит: IP адрес есть, default gateway есть, значит инет тоже типа есть... И ещё, оно будет отправлять весь трафик в какой то VPN, то есть не получится пропустить 2 разных телефона через разные VPN даже если оба настроены. Обычно, этого дела почему то стараются избегать, типа потому что сложно. Но нет, 2-3 окирпиченых роутера и всё станет просто и понятно (про окирпичивание - шутка, это таким способом не сделать).
- Установим пакеты: mwan3, luci-app-mwan3, httping. Появится пункт меню Network -> Load Balancing, в нём несколько разделов, нам нужны: Interfaces, Members, Policies, Rules.
- Настроим интерфейсы: Сначала идём в Network -> Interfaces, и на каждом интерфейсе из WAN и VPN задаём метрику. Нужно нажать Edit -> Advanced settings -> Use gateway metric. Нужно установить на всех разные значения. Метрика (в этом контексте) это приоритет в котором будут использоваться интерфейсы, например на WAN установлена метрика 10 а на LTE 20. Это значит, что если одновременно подключены оба (в смысле на них есть линк, назначен IP адрес и default gateway, но не проверяется есть ли доступ в инет) то использоваться будет тот у которого метрика меньше. Затем идём в Network -> Load Balancing -> Interfaces (это другое, называется так же). Там сначала удаляем всё что есть, дефолтные настройки нам не нужны, они для другой цели. И добавляем все интерфейсы из WAN и VPN, обязательно с теми же названиями что указаны в Network -> Interfaces. В настройках ставим: Internet protocol - IPv4, Tracking hostname - список IP адресов, доступность которых означает что на этом интерфейсе есть инет. На WAN лучше настраивать Tracking method - httping и выбрать 3-4 распространённых сервера (yandex.ru, google.com, mail.ru), на VPN достаточно метода ping и одного IP адреса (самого VPN сервера). Остальное можно не трогать (пока).
- Members: Этот раздел нужен для распределения трафика на несколько провайдеров (балансировка нагрузки). Нам сейчас не надо, поэтому заводим по 1 member для каждого интерфейса, c метрикой 1 и весом 1. Да, метрика которая тут имеет смысл аналогичный Network -> Interfaces -> Advanced settings -> Use gateway metric, но при этом сама по себе и действует независимо. В нашем случае не испольуется и можно оставить все 1.
- Policies: Тут список правил, которые можно примениь на следующем шаге. Например есть правило lte_only - в нём 1 member (LTE), и last resort - unreachable, это значит, что трафик попадающий под это правило отправлять только в LTE, а если на нём нет инета то отвечать что хост недоступен. Или правило vpns_all - в нём оба наших VPN и last resort тоже unreachable. Это значит, отправлять трафик в VPN, неважно в какой именно (если при этом метрика и вес одинаковы (мы установили 1) и VPN 2 штуки то делить трафик поровну (50/50). Удобно создать по 1 правилу на каждый интерфейс и ещё 1 на все WAN и 1 на все VPN.
- Rules: Тут определяется какой трафик куда слать. В отличие от предъидущих разделов, порядок правил важен, они просматриваются сверху вниз, первое подходящее правило применяется. Для начала первые несколько правил должны отправлять трафик самого OpenVPN через WAN. Затем пара правил которые отправляют локальный (192.168.x.x) трафик в default таблицу. Затем правила from_wifi и from_guest отправляют трафик от WiFi устройств в VPN. Последнее правило используется если все остальные не подошли.
И это ещё не всё ! OpenWRT умеет:
- web камеры (можно воткнуть в USB и смотреть удалённо)
- дофигищи протоколов VPN
- блокировка рекламы и следилок
- adb (можно воткнуть трубу в USB и мучать её по протоколу adb)
- aircrack-ng (ломать соседские WiFi)
- Asterisk и Freeswitch (VOIP телефония)
- Можно писать самому на lua, python, php, erlang, и ещё десятке разных языков
- Captive portal
- LXC (контейнеры)
- Print Server (можно воткнуть принтер и расшарить по сети, чтобы печатать откуда угодно)
- и ещё длинный список всякой всячины, что я не совсем в курсе что это и зачем...
