ZyXEL Keenetic OpenVPN: полное руководство по созданию и подключению

Эта статья прежде всего о самой технологии OpenVPN и ее использовании на роутерах Keetenic, например, для доступа к корпоративным частным сетям. Не следует путать ее с получением доступа к неправомерной информации!

Всех приветствую на нашем ламповом портале WiFiGid. Сегодня я расскажу вам, как настроить OpenVPN на роутерах Keenetic. Я рассмотрю два варианта. Первый – когда вы хотите организовать свою собственную сеть VPN между двумя Keenetic. Второй – когда вы хотите подключиться к выделенной VPN.

Материал содержит старую настройку OpenVPN на статическом общем ключе. Для нового соединения используйте поддерживаемый TLS-профиль и документацию своей версии KeeneticOS. Режим --secret устарел в OpenVPN 2.6, в 2.7 не включается обычным способом и предназначен к удалению; обходить это ослаблением защиты не следует.

Далее показаны прежние шаги и иллюстрации, с уточнениями для безопасного выбора конфигурации. Названия меню зависят от KeeneticOS. Статический пример не заменяет современный TLS-профиль; по его командам не нужно создавать новую рабочую сеть.

Хочу организовать сеть OpenVPN между двумя Keenetic

ШАГ 1: Запуск DDNS и проверка внешнего IP адреса

ПРИМЕЧАНИЕ! Если у вас белый и статический IP адрес, то пропустите эту главу.

Доступный извне адрес нужен стороне, принимающей входящие подключения. Клиент может находиться за NAT/CGNAT. Если сервер за CGNAT, уточните публичный адрес у провайдера или используйте разрешённый сервер-посредник; это не означает, что клиент обязан менять провайдера.

Кто-то сейчас может возразить – ведь мы будем использовать KeenDNS, который может связываться с роутером по облаку в обход серого IP. Да это так, но на официальном сайте сказано, что OpenVPN может работать с KeenDNS только в режиме «Прямого доступа» (когда IP белый), а не через «Облако» (когда IP серый). Дело в том, что с KeenDNS к роутеру можно иметь доступ только через HTTP и HTTPS. Даже TELNET не работает по KeenDNS, не говоря уже о VPN.

Проверьте WAN-адрес и режим KeenDNS: облачный доступ к веб-интерфейсу не превращается в проброс произвольного VPN-порта. Для прямого входящего VPN нужны подходящий адрес и правила доступа.

1. Перейдите в раздел «Доменное имя».
2. На первой вкладке введите любое наименование латинскими буквами.

3. Система автоматом подберет вам поддомен, выберите любой.

4. Помните, я говорил про два режима работы? В общем, если у вас белый IP, то выбираем «Прямой доступ». Режим «Через облако» работать с VPN не будет.

5. Чтобы проверить, что служба работает – запустите браузер и в адресной строке введите DDNS, который вы придумали.

ШАГ 2: Настройка сервера

У каждой локальной сети должны быть разные подсети, например 192.168.1.0/24 и 192.168.2.0/24. Туннель TUN маршрутизирует IP и не объединяет их автоматически в одну широковещательную LAN. Адреса 10.1.0.1/10.1.0.2 ниже — старый пример адресов туннеля, а не публичные WAN-адреса.

1. В первую очередь нужно установить нужный нам компонент. Идем в «Общие настройки» – «Обновления и компоненты» кликаем по кнопке «Изменить набор компонентов» и в списке находим «Клиент OpenVPN». Пусть вас не вводит в заблуждение название, этот компонент работает как сервер и как клиент.

2. Нам нужно скачать программу OpenVPN с официального сайта.

3. Инсталлируем программу к себе на комп.

4. Перезагружаем компьютер.

5. Запускаем командную строку с правами админа.

6. Ниже сохранена историческая команда генерации статического ключа. Для нового TLS-соединения она не подходит: получите уникальные CA/сертификат/ключ и поддерживаемый конфигурационный файл у администратора или по текущей документации своего сервера.

cd C:\Program Files\OpenVPN\bin (команда перехода в папку, с установленной программой)
openvpn.exe --genkey --secret static.key (команда генерирует секретный ключ)

ПРИМЕЧАНИЕ! Если у вас 64-битная система, и вы скачали OpenVPN для 32-х битной ОС, то программа будет лежать по пути: C:\Program Files (x86)\OpenVPN\bin

7. Старый static.key относился только к прежнему примеру. Не используйте один общий ключ из скачанного шаблона и не переносите этот способ в новый TLS-профиль.

8. Архивный шаблон из внешнего хранилища не следует импортировать без проверки. Для действующего соединения возьмите профиль из доверенного источника, с уникальными ключами и параметрами вашего сервера.

9. В действующей настройке добавьте OpenVPN-подключение и импортируйте доверенный TLS-профиль сервера, совместимый с KeeneticOS. Не импортируйте старый static-server как готовое новое решение. Выберите нужный исходящий интерфейс и сохраните резервную копию настроек.

ШАГ 3: Настройка клиента

1. Опять же нам нужно установить компонент «Клиент OpenVPN» – повторяем 1 шаг из прошлого шага.
2. Для клиента также нужен выданный ему современный профиль. Старый шаблон статического режима не гарантирует совместимость с текущим OpenVPN/KeeneticOS и не заменяет проверку сервера.

3. Находим строку, которая начинается со слова «remote», и после нее заменяем значение на свой DDNS или IP.

4. Добавляем OpenVPN подключение уже на клиенте. Все делается аналогично. Настройки файлика вставляем в «Конфигурацию OpenVPN».

5. Для командной настройки используйте веб-интерфейс CLI или SSH, если это поддерживает ваша версия KeeneticOS. Telnet ниже — старый пример незашифрованного доступа, не включайте его для работы через интернет.
6. Открываем «Панель управления».

7. Кликаем по разделу «Программы и компоненты».

8. Слева выбираем ссылку «Включение или отключение компонентов Windows».

9. TFTP для этого сценария не нужен. Не включайте дополнительные незашифрованные службы только ради старых снимков интерфейса.

10. Используйте поддерживаемую веб-консоль или SSH через доверенную локальную сеть. Команда Telnet ниже оставлена как старый пример; не включайте незашифрованный доступ наружу.

telnet 192.168.1.1

11. Далее вводим сначала логин (admin), а потом пароль от конфигуратора.

12. Для связи подсетей настройте только необходимые маршруты и узкие правила доступа. Старый блок no isolate-private снимает изоляцию гораздо шире одной VPN-сети: копировать его в рабочую конфигурацию нельзя.

interface OpenVPN0 no ip global
interface OpenVPN0 security-level private
# Старый no isolate-private не применять: нужны узкие правила доступа
ip nat 10.1.0.2 255.255.255.255 (Для того, чтобы устройства этой сети имели доступ к интернету)
system configuration save

13. Разрешайте на стороне сервера только фактический порт и протокол вашего профиля. 1194/UDP — пример, а не обязательный порт всех OpenVPN-соединений; при другом значении используйте его.

14. Установите настройки как на картинке ниже.

Хочу подключиться к OpenVPN сети

1. «Общие настройки» – «Обновления и компоненты» – «Изменить набор компонентов» – добавляем компонент, указанный на картинке ниже.

2. Используйте доверенный профиль своего VPN-сервера. VPN Gate из старого примера — добровольные сторонние узлы, а не ваш корпоративный сервер; для чувствительных рабочих данных такой маршрут не подходит без отдельной оценки доверия.

3. Ниже вы увидите два файла, в скобках указан протокол и порт, через который мы будем подключаться.

4. Скачайте файлик, откройте его в блокноте, выделите все и скопируйте в буфер с помощью клавиш (Ctrl + C).

5. В Web-интерфейсе роутера идем в «Другие подключения» – «VPN-подключения» добавляем новый коннект.
6. Указываем любое имя подключения и ниже указываем тип. В конфигурацию нужно будет скопировать содержимое файла.

7. Если помимо файла также выдается логин и пароль, то его нужно будет добавить в файл. Для этого находим строку «auth-user-pass».

8. И заменяем её на:

<auth-user-pass>
login
password
</auth-user-pass>

9. Между тегами вставляем сначала логин, а потом пароль.
10. Keenetic ожидает сертификаты и ключи внутри одного конфигурационного файла. Проверьте, что ca указывает на CA, cert — на сертификат клиента, key — на закрытый ключ .key. Профиль должен сохранять проверку удалённого сервера, а не отключать её.

ca ca.crt
cert xxxxxxxxxx.crt
key xxxxxxxxxx.key

11. И закомментировать, для этого в начале ставим значок решетки (#), так чтобы получилось:

#ca ca.crt
#cert xxxxxxxxxx.crt
#key xxxxxxxxxx.key

12. При переносе в блоки <ca>, <cert> и <key> копируйте весь PEM-файл вместе с его исходными BEGIN/END ровно один раз. Не добавляйте второй набор заголовков из схемы ниже. Тип закрытого ключа может отличаться от RSA; не переименовывайте его заголовок вручную.

<ca>
-----BEGIN CERTIFICATE-----
Копируем содержимое из ca.crt
-----END CERTIFICATE-----
</ca>
<cert>
-----BEGIN CERTIFICATE-----
Копируем содержимое из xxxx.crt
-----END CERTIFICATE-----
</cert>
<key>
-----BEGIN RSA PRIVATE KEY-----
Копируем содержимое из xxxx.key
-----END RSA PRIVATE KEY-----
</key>

13. Включаем бегунок.

14. Сохраняем настройки.

Проверьте журнал подключения, маршруты между разными подсетями и доступ только к нужным ресурсам. При публикации вопроса удалите ключи, пароли и сертификаты клиента из конфигурации. Сохраните резервную копию исходных настроек для отката.