Cách biến mọi thứ thành bộ định tuyến

Tôi không muốn đưa tin nhiều về “các sự kiện thời sự”, nhưng chính phủ Mỹ vừa tiết lộ một thực sự gây hoang mang chính sách cấm nhập khẩu các mẫu bộ định tuyến tiêu dùng mới một cách hiệu quả. Điều này thật nực cười vì nhiều lý do, nhưng nếu điều này thực sự xảy ra thì bạn có thể tìm hiểu cách “homebrew” bộ định tuyến.

May mắn thay, về cơ bản, bạn có thể tạo ra bộ định tuyến từ bất kỳ thứ gì giống với máy tính.

Tôi đã sử dụng máy tính mini chạy bằng linux làm bộ định tuyến của riêng mình trong nhiều năm và đã đăng vài lần trước đây về cách tạo bộ định tuyến và tường lửa cho linux vào thời điểm đó. Nó hoạt động rất ổn định và vấn đề duy nhất tôi gặp phải trong nhiều năm qua là ổ mSATA trị giá 20 USD bị hao mòn. Mặc dù tôi thường sử dụng Debian nhưng Alpine linux có lẽ cũng hoạt động tốt, có lẽ tốt hơn nếu bạn quen với nó. Miễn là thiết bị chạy Linux tốt và có một vài cổng USB, bạn sẽ ổn. Máy tính mini, máy tính để bàn, SBC, máy chủ rackmount, máy tính xách tay cũ hoặc thiết bị được thiết kế chuyên dụng đều sẽ hoạt động.

Nói rõ hơn, đây không phải là một “giải pháp” thực tế cho chính sách của Hoa Kỳ mà là để cho mọi người thấy một “hack” gọn gàng mà bạn có thể làm để khai thác thêm khả năng từ phần cứng mà bạn có thể đã sở hữu và để chứng minh rằng không có gì đặc biệt về bộ định tuyến - Suy cho cùng thì chúng cũng chỉ là máy tính.

Lựa chọn phần cứng

Sở thích cá nhân của tôi là một chiếc PC mini chuyên dụng với thiết kế được làm mát thụ động.

Tuy nhiên, về cơ bản thì mọi thứ sẽ ổn. Nó phải có hai giao diện Ethernet, nhưng một dongle USB-Ethernet tiêu chuẩn cũng sẽ thực hiện được thủ thuật này. Nó sẽ không đáng tin cậy như giao diện tích hợp nhưng có lẽ sẽ đủ tốt. Ví dụ: đống phụ tùng lộn xộn này có thể dễ dàng đẩy tốc độ 820-850mbps trên mạng LAN có dây và ~300 mbps trên mạng không dây:

Thiết bị cụ thể này là lõi kép Celeron 3205U chạy ở tốc độ 1,5 GHz cực nhanh. Ngay cả con chip sởi đó cũng có khả năng định tuyến lưu lượng truy cập cho toàn bộ ngôi nhà hoặc doanh nghiệp nhỏ.

Quay lại xa hơn, đây là thiết lập của tôi trong vài tuần đầu tiên của học kỳ mùa thu năm 2016:

Có thể khó để biết điều gì đang xảy ra ở đây bằng cách nhìn, vì vậy hãy để tôi chia nhỏ:

• Một chiếc ThinkPad T60, thứ rác rưởi được nhặt từ công việc trước đây của tôi
• Cầu nối ExpressCard-PCIe trong khoang mở rộng của ThinkPad
• Thẻ Ethernet không tên được chọn trong thùng rác trong khe cắm PCIe, thiếu khung gắn
• Một bộ chuyển mạch Cisco 2960 100 mbit cổ, được mua với giá 10 USD từ trường đại học của tôi
• Bộ định tuyến D-Link hoạt động như một điểm truy cập (“tìm cửa hàng tiết kiệm” có cổng WAN kém)

Vâng, đây thực sự là một bộ định tuyến! Bởi vì nó có thể trông giống như một đống rác, nhưng nó là rác hoàn toàn có khả năng thực hiện công việc mà tôi giao cho nó!

Nó được định cấu hình như thế nào?

Khi thiết lập, hệ thống sẽ có cấu hình như sau:

Cả hai giao diện LAN sẽ được kết nối với nhau, nghĩa là các thiết bị trên mạng có dây và không dây sẽ có thể giao tiếp bình thường. Nếu một cổng LAN không đủ, bạn có thể cắm bao nhiêu khóa USB Ethernet tùy thích và kết nối tất cả chúng lại với nhau. Nó sẽ không nhanh bằng một switch “thực sự”, nhưng nếu bạn đang tìm kiếm hiệu suất thì hôm nay bạn có thể đã đến nhầm chỗ.

Như đã đề cập trước đó, phiên bản này sẽ chạy Debian làm hệ điều hành và sử dụng rất ít phần không đi kèm với bản cài đặt cơ bản:

• Mọi đốm màu chương trình cơ sở không có trong cài đặt mặc định
• hostapd - Để tạo mạng Wi-Fi
• dnsmasq - Dành cho DNS & DHCP
• bridge-utils - Để kết hợp các cổng vào một mạng chung

Ngoài ra, tôi cũng nên đề cập rằng tôi sẽ chỉ thiết lập IPv4 tại đây. IPv6 hoạt động rất tốt cho những thứ như thiết bị di động, nhưng tôi vẫn thấy nó quá khó chịu trong mạng LAN. Có lẽ não tôi đã bị vôi hóa quá nhiều rồi, nhưng hiện tại tôi vẫn vui vẻ sử dụng IPv4.

Cài đặt và thiết lập

Nhìn chung, đây là một bản cài đặt Debian khá chuẩn. Một vài điều tôi nên đề cập:

• Tắt khả năng khởi động qua mạng PXE trong thiết lập BIOS/UEFI.
• Nếu có thể, hãy đặt thiết bị ở tốc độ xung nhịp thấp nhất nhưng tắt mọi quản lý nguồn điện cho thiết bị USB hoặc PCI.
• Tìm tùy chọn như “Khôi phục sau khi mất nguồn AC” và BẬT tùy chọn này.
• Một số thiết bị sẽ không bật nguồn đúng cách nếu không có màn hình nào được kết nối. Nếu thiết bị của bạn gặp tình trạng như vậy, hãy cắm một "khóa điện tử giả" vào cổng HDMI.
• Rất nhiều phần cứng sẽ chỉ hoạt động chính xác khi bật kho lưu trữ không có chương trình cơ sở miễn phí

Tùy thuộc vào phần cứng không dây của bạn, bạn có thể cần cài đặt gói chương trình cơ sở bổ sung.

Đối với thiết bị Intel:

sudo apt cài đặt firmware-iwlwifi

Đối với thiết bị Realtek:

sudo apt cài đặt firmware-atheros

sudo apt cài đặt bridge-utils hostingapd dnsmasq

[Trận đấu]
Địa chỉ MAC=AA:BB:CC:DD:00:11
[Liên kết]
Tên=ethX

sudo systemctl vạch mặt Hostapd
sudo systemctl kích hoạt --now Hostapd

cho phép-hotplug eth0
cho phép hotplug eth1
tự động wlan0
tự động br0
iface eth0 inet dhcp
iface br0 inet tĩnh
    bridge_ports eth1 wlan0
    địa chỉ 192.168.1.1/24

net.ipv4.ip_forward=1

#!/usr/sbin/nft -f
bộ quy tắc tuôn ra
bộ lọc bảng inet {
    đầu vào chuỗi {
        loại móc lọc ưu tiên đầu vào 0; giảm chính sách;
        trạng thái ct { đã thành lập, có liên quan } chấp nhận phản đối
        giao thức ip bộ đếm icmp chấp nhận
        iifname "br0" tcp dport { 22, 53 } chấp nhận bộ đếm
        iifname "br0" udp dport { 53, 67, 68 } chấp nhận bộ đếm quầy tính tiền
    }
    chuỗi về phía trước {
        loại móc lọc ưu tiên chuyển tiếp 0; giảm chính sách;
        iifname "eth0" oifname "br0" ct state { đã thành lập, liên quan } chấp nhận phản đối 
        iifname "br0" oifname "eth0" ct state { mới, đã thành lập, có liên quan } chấp nhận truy cập
        quầy tính tiền
    }
    đầu ra chuỗi {
        loại móc lọc ưu tiên đầu ra 0; chính sách chấp nhận;
        quầy tính tiền
    }
}
bảng ip nat {
    định tuyến sau chuỗi {
        gõ tự nhiên hook postrouting ưu tiên 100; chính sách chấp nhận;
        giả trang truy cập oifname "eth0"
    }
}

sudo systemctl kích hoạt nftables.service

giao diện=br0
địa chỉ nghe=0.0.0.0
dhcp-range=192.168.1.50,192.168.1.250,255.255.255.0,6h
dhcp-option=option:router,192.168.1.1
dhcp-option=option:dns-server,192.168.1.1
kích thước bộ đệm = 10000

sudo systemctl kích hoạt dnsmasq

GRUB_CMDLINE_LINUX='console=tty0 console=ttyS0,115200n8'
GRUB_TERMINAL=nối tiếp
GRUB_SERIAL_COMMAND="serial --speed=115200 --unit=0 --word=8 --parity=no --stop=1"

sudo cập nhật-grub

$ bộ quy tắc danh sách sudo nft
bộ lọc bảng inet {
	đầu vào chuỗi {
		loại bộ lọc móc lọc ưu tiên đầu vào; giảm chính sách;
		trạng thái ct { đã thiết lập, có liên quan } gói truy cập 1546 byte 138508 chấp nhận
		giao thức ip bộ đếm icmp gói 1 byte 84 chấp nhận
		iifname "br0" tcp dport { 22, 53 } gói truy cập 4 byte 240 chấp nhận
		iifname "br0" udp dport { 53, 67, 68 } gói truy cập 92 byte 6658 chấp nhận
		gói truy cập 2110 byte 128536
	}
	chuỗi về phía trước {
		loại bộ lọc móc ưu tiên bộ lọc chuyển tiếp; giảm chính sách;
		iifname "eth0" oifname "br0" trạng thái ct { đã thiết lập, có liên quan } gói truy cập 52964 byte 479878687 chấp nhận
		iifname "br0" oifname "eth0" ct state { đã thiết lập, liên quan, mới } gói truy cập 78017 byte 54802223 chấp nhận
		gói truy cập 0 byte 0
	}
	đầu ra chuỗi {
		loại bộ lọc móc lọc ưu tiên đầu ra; chính sách chấp nhận;
		gói truy cập 1650 byte 155966
	}
}
bảng ip nat {
	định tuyến sau chuỗi {
		gõ nat hook postrouting ưu tiên srcnat; chính sách chấp nhận;
		gói truy cập oifname "eth0" 101 byte 15882 giả trang
	}
}

sudo nft -c -f /etc/nftables.conf

sudo systemctl tải lại nftables.service

sudo less /var/lib/misc/dnsmasq.leases
sudo tạp chí -eu dnsmasq.service