«Железный» OpenVPN шлюз, какой роутер поддерживает VPN клиент в режиме моста?
Добрый день.
Хочу сделать роутер, со встроенным OpenVPN клиентом, который можно было бы брать с собой и подключать к различным беспроводным Wi-FI сетям в режиме Моста и использовать как хардварный VPN шлюз. Т.е. задача, что бы на роутере можно было подключиться к какой-либо чужой Wi-FI сети и на своём роутере запускался OpenVPN клиент, а свои устройства уже подключать к своему роутеру. Задача получить «прозрачный» VPN туннель, не используя ПО на устройствах, а только на роутере.
Вопрос:
Может кто-нибудь подскажет роутер, который УМЕЕТ использовать OpenVPN клиент не в режиме точки доступа, а в режиме моста (при подключении по Wi-FI к другим роутерам).
Средний 7 комментариев
На микротике можно запустить EoIP поверх почти любого VPN.
Но я бы юзал Mikrotik + ZeroTier + Bridge.
Andrey Barbolin, а зачем мне туннель между двумя роутерами?
Мой OpenVPN сервер в Германии. Я хочу на роутере настроить клиент с подключением к моему серверу, и этот роутер в поездках цеплять по Wi-Fi ко всяким Вай-фаям в отелях и на своих устройствах подключаться к своему роутеру.
HazySonic,
> в режиме Моста
Че-то я подумал про VPN и мост.
> Wi-FI сетям в режиме Моста
Мост это когда сети объединяются как одна. Мне кажется имелся ввиду режим WIFI клиента.
Ответ все равно тот же — Mikrotik. Есть hap mini, можно от USB запитать.
Т.е. вместо того, чтобы просто ткнуть в иконку VPN клиента на ноутбуке, ты будешь возить с собой лишнюю железку, которая без розетки рядом не работает? Месье знает толк в извращениях.
AlexVWill, вы же контекста не знаете. Например корпоративный ноут не позволяет использовать сторонне ПО и средства виртуализации. Работа возможна только с определённой территории. Я не спрашивал как удобнее, я спрашивал как сделать именно так, как мне нужно. 🙂
какой такой мост? судя по описанию это просто клиент. кроме микротиков это умеют еще кинетики
если нужен именно мост через впн когда клиенты роутер пробрасываются на l2 уровне то на микротиках для этого лучше использовать eoip, это точно будет нормально работать
Я бы взял что-то из серии Zyxel Keenetic, предварительно уточнив в техподдержке Zyxel — работает ли OpenVPN клиент в режиме WIFI-маршрутизатора или WIFI клиента.
Mikrotik в запрашиваемом контексте будет менее удобен.
HazySonic — про режим моста — в данном случае вам это не нужно и вы вероятно не очень понимаете, что такое режим моста. Режим моста — это пришел пакет на входящий интерфейс-без изменений передан на исходящий и наоборот.
чем Микротик, кроме сложности вхождения, будет сложен?)
Alexey Dmitriev да, речь по факту не про мост. Просто я на старом роутере DIR615 пытался в DD-WRT такое реализовать, не вышло. Там максимально подходящий режим — это Client Bridge, режим Client вообще работает только с LAN портами. В этих прошивках по разному называется всё. А так нужен по факту маршрутизатор. Дома на Linux я могу это реализовать, но мне надо мини устройство по факту, роутер само-то. Ещё думал вариант с Малинкой, но это уже перебор заморачиваться.
HazySonic, берете Keenetic, он умеет Wireless ISP (то есть типа подключиться к провайдеру по WIFI), настраиваете и получаете готовый маршрутизатор с мобильным приложением для управления и OpenVPN клиентом. Все что нужно при переезде в другое место-подключить роутер к другому провайдеру по WIFI, ваши настройки вашего локального WIFI и всего остального будут всегда с вами.
Вот официальная дока
https://help.keenetic.com/hc/ru/articles/360000384.
Drno, а они уже исправили всё проблемы с ovpn по udp?
Что касается сабжа — в принципе любой, на который можно залить openwrt(и микротики в том числе)
WitER, хз исправили или нет, я пользуюсь исключительно по TCP на 443 порту, потому что всяких фаерволов везде развелось — ужасть
но в 7 версии прошивок у микротов udp добавили
Alexey Dmitriev спасибо! посмотрел. В этой доке только не увидел, возможно ли в режиме Wireless ISP поднять OpenVPN?
По поводу Keenetik — в этом случае лучше настроить не OpenVPN, а WireGuard. По факту он стабильнее, лучше держит канал при потере пакетов и при высокой нагрузке на роутер, а при наличии нужной пропускной способности канала — выдает туннель до 150 мегабит.
На OpenVPN вы таких скоростей не получите, только на IPSec. А на IPSec и меньше скорость и сильно больше минимальный кадр передачи, чем в WireGuard, что в целом снижает применимость IPSec в ряде сценариев.
С Wireless ISP не пробовал, но там достаточно высокий уровень абстракции настроек, проблем не должно возникнуть.
Кроме того есть неочевидный плюс WireGuard — с ним часто незнакомы системы анализа трафика некоторых нехороших провайдеров, которые режут OpenVPN и IPSec в своих сетях.
Какой роутер с поддержкой OpenWrt купить в 2023 году
Сколько помню домашние роутеры, всегда была возможность установить на них какую-нибудь неофициальную прошивку, и роутер начинал работать стабильнее (не всегда). Потом появилась возможность добавлять пакеты, расширяющие функциональность роутера.
Сейчас, благодаря бурному развитию микропроцессоров, мы можем приобрести довольно мощные, компактные железки за адекватную стоимость. А производители начали расширять функциональность прошивок. Если, например, вам нужна только поддержка USB модема, то многие роутеры могут предоставить это из коробки.
А если фукционала из коробки не хватает и хочется большего, то нужно как раньше смотреть в сторону неофициальных прошивок.
В последние 8 лет мой фаворит — это OpenWrt, прошивка на базе ядра Linux. Это полноценная операционка, в которой есть свой менеджер пакетов и туда до сих пор не проник systemd.
У OpenWrt куча возможностей и большое комьюнити. Но если говорить более конкретно, то на OpenWrt можно:
- Блокировать рекламу
- Обходить блокировки роскомнадзора
- Долго сидеть и не понимать почему блокировки не обходятся
- Говорить всем, что у тебя Linux на домашнем роутере и ты пишешь об этом статьи на Хабре
И это только часть возможностей. OpenWrt поддерживает далеко не все роутеры, и поэтому найти в продаже подходящие не всегда просто. Благодаря энтузиастам, сейчас можно купить новый роутер, который поддерживается OpenWrt. Есть, кстати, роутеры, продающиеся с установленной OpenWrt, но там оверпрайс + слабая начинка.
Мои критерии отбора
Если вы задаёте вопрос «какой бы мне роутер для OpenWrt купить», то вам явно нужен роутер с нормальными размерами чипов, а не 4/32 (4MB диска и 32MB оперативной памяти). Кстати, сами разработчики OpenWrt перестали поддерживать уже давно такие роутеры, и минимальное требование к роутеру это 8/64.
Я со своей стороны рекомендую взять максимум из доступного. Если вам нужен OpenWrt роутер, значит вы явно хотите что-то установить туда, и если мы говорим про обход блокировок и nftables, оперативной памяти много не бывает.
Представленные тут роутеры являются золотой серединой. Они стоят умеренных денег, но при этом имеют хорошую начинку. И, соответственно, этими роутерами пользуется больше энтузиастов, что означает лучшую поддержку и меньшее количество багов.
Ситуация такая, что в России под критерии «побольше размеры чипов бы» попадает только два вендора — это Xioami и Asus. Помимо России, эти роутеры продаются также в соседних странах.
Роутеры, которые можно купить в магазине
Xiaomi Redmi AX6S
На данный момент — это лучший вариант. Плюсы следующие:
- Его можно купить на российских и китайских маркетплейсах, диапазон цен 4500-5500р
- У него 128MB ROM, 256MB RAM
- Его можно прошить без вскрытия, но придётся малость повозиться
- WiFi 6
Здесь сразу надо оговориться, OpenWrt на любые Xiaomi ставить непросто. Чтобы ещё усложнить жизнь, мы имеем два роутера с одинаковым железом, но разными названиями и прошивкой — это Redmi AX6S и Xiaomi AX3200. У Redmi AX6S включен telnet и благодаря этому можно без вскрывания коробки прошить Openwrt. А вот в прошивке Xiaomi AX3200 telnet отключен и его нельзя так «просто» прошить. Поэтому покупайте именно Xiaomi Redmi AX6S. Главное внешнее отличие: у Xioami европейская вилка, а у Redmi американского стандарта.
Вскрывать крышку не нужно, но нужно сделать downgrade прошивки и с помощью скрипта на питоне сгенерировать пароль из серийника, чтобы получить пароль для telnet.
Asus RT-AX53U
Роутеры Asus всегда были хороши тем, что их было легко перепрошить. И этим в первую очередь он отличается от предыдущего. Включайте в WebGUI SSH и вуаля. Ещё у него есть USB порт.
Находится в том же диапазоне цен, но железо чуть слабее. MediaTek MT7621AT у RT-AX53U против MT7622B у Redmi AX6S.
У Redmi выше тактовая частота, а значит, он в теории будет лучше справляться с шифрованием данных. Для роутера в наших реалиях — это в первую очередь туннели OpenVPN, Wireguard итд.
Есть синтетические бенчмарки, в которых можно сравнить как процессоры, так и даже сами роутеры. Для пояснения в столбике OS — это версия OpenWrt, например, r19803 — это 22.03. А окончание -multi означает количество ядер, задействованных при тесте. Обе модели нужно смотреть с окончанием «-multi 2», т.к. оба процессора двухъядерные. По этим бенчмаркам MT7622B лучше почти в два раза, но реальных тестов производительности туннелей нет.
Ну и на этом роутеры, которые можно купить в магазине заканчиваются. Конечно, есть и другие устройства, но у них либо меньше размер чипов (не надо покупать новый роутер для OpenWrt с маленькими чипами — пожалеете), либо это оверпрайс в районе 15 000р.
Роутеры на вторичном рынке
Если средства ограничены или вы идейный человек, топящий за разумное потребление, или просто любите насиловать трупы оживлять старые устройства, то рынок БУ устройств ждёт вас.
Xiaomi 3G v1
Это народный роутер и мой личный любимец. Народным он стал благодаря:
- MediaTek MT7621AT, под который можно адаптировать прошивки
- Огромным, по меркам 2018 года, чипам 128/256
- Гигабитным портам и USB 3.0
- И главное при таких данных цена составляла 1500-2500р
На фото мой роутер, который я купил в 2018 году и использую до сих пор. Он поддерживается начиная с 18.06. В самом начале были проблемы с wifi модулем, но на 19ой версии уже было всё ок.
Важно знать, что речь идёт именно о Xiaomi 3G v1. Его вторую версию стоит обходить стороной. Главное внешнее отличие второй от первой: у первого есть USB порт.
Помимо второй версии, было выпущено ещё куча mi3 с разными окончаниями. За ними пошли mi4 с такой же историей. Все эти роутеры имеют маленькие размеры чипов, многие не имеют поддержку OpenWrt — покупать их не стоит (кроме Pro, о нём ниже). Разве что можно обратить внимание на сам mi4 с 128/128.
Xiaomi Mi 3 Pro
Проапгрейдженная версия Xiaomi 3G v1. Чипы 256/512, имеет 4 гигабитных порта и более вкачанный wifi чип.
Но есть нюанс: вам может попасться чип памяти от Micron, у которого будут bad blocks. Про это написано на странице устройства.
Лучше заранее спросить у продавца были ли у него проблемы с перепрошивкой, ставил ли он OpenWrt, может он вообще в курсе, какой у него там чип стоит. Если вам всё-таки не повезёт и решите продавать, то, пожалуйста, продавайте с пометкой об этом. Облегчите жизнь другим людям. Тем более, не всем нужен openwrt, покупатель найдётся.
Это всё?
Есть ещё другие роутеры, которые не вписываются в мои критерии отбора. Их можно найти в табличке, ссылка сразу с фильтром по 22.03 версии, покупать роутер с закончившейся поддержкой смысла нет.
Здесь можно отсортировать по объёму Flash MB (имейте в виду, что сортировка там по первой цифре, а не общему объёму), рядом открыть вкладку с сайтом продажи БУ техники и смотреть, что есть в наличии. Существует вероятность найти норм роутер по приятной цене.
Но большая часть роутеров из этой базы с американского и европейского рынков, в России и соседних странах не продаются.
Проверить поддержку уже имеющегося роутера можно здесь.
Знаете ещё варианты? Есть опыт с приведёнными тут роутерами? Пишите в комментарии или личные сообщения.
Если тема интересна, подписывайтесь на мой телеграм-канал.