avalonsec Jul 22 at 15:47

Ч. 2 — Дальнобойный Wi-Fi. Реализация интернет шлюза на базе Debian 12

Easy

11 min

4.7K

Development for Linux *

Review

Ч. 1 — Дальнобойный Wi-Fi. Выбор аппаратного обеспечения.

Статья ещё не дописана!!!

В моём сценарии WPA2 отключен, для аутентификации пользователей и выдачи доступа к интернету используется openvpn, но при этом пользователи имеют доступ к локальным ресурсам и могут взаимодействовать внутри локальной сети.

На точке необходимо отключить встроенные функции dhcp и dns.

Настройка сетевых интерфейсов

При нескольких сетевых картах возникает ситуация когда система не понимает к какому интерфейсу обращаться за интернетом. Для того что бы исправить это нам надо указать маршрут и метрику. Чем больше число метрики, тем меньше приоритет интерфейса. В данном случае для WAN он 10, а для LAN 5000.

Узнаём имена интерфейсов с помощью команды

ip a

Команда post-up выполняет действие после подключения интерфейса.

## /etc/network/interfaces

source /etc/network/interfaces.d/*

auto lo
iface lo inet loopback

# WAN
allow-hotplug enp1s0
iface enp1s0 inet dhcp
        post-up sh -c 'ip route del default || true; ip route add default via 192.168.1.1 dev enp1s0 metric 10' 
        post-up sh -c 'echo "nameserver 9.9.9.9" > /etc/resolv.conf'  # Фикс перезаписи resolv долбанным systemd-resolved

# LAN
auto enp3s0
iface enp3s0 inet static
        address 192.168.2.1
        netmask 255.255.255.0
        dns-nameservers 192.168.2.1
        metric 5000

Настройка SSH

Генерация ключей ssh

sudo ssh-keygen -t ed25519 -f /etc/ssh/ssh_host_ed25519_key -N ''
sudo ssh-keygen -t ecdsa -b 521 -f /etc/ssh/ssh_host_ecdsa_key -N ''
sudo ssh-keygen -t rsa -b 4096 -f /etc/ssh/ssh_host_rsa_key -N ''

## /etc/ssh/sshd_config

Port 2222
ListenAddress 0.0.0.0

# Ключи хоста (серверные)
HostKey /etc/ssh/ssh_host_ed25519_key
HostKey /etc/ssh/ssh_host_ecdsa_key
HostKey /etc/ssh/ssh_host_rsa_key  # RSA 4096

# Аутентификация
#PubkeyAuthentication yes        
PubkeyAuthentication no           # Явное отключение аутентификации по ключам

PasswordAuthentication yes        # Разрешаем только парольную аутентификацию

#ChallengeResponseAuthentication yes
ChallengeResponseAuthentication no  # Отключаем интерактивные вызовы

#KbdInteractiveAuthentication yes
KbdInteractiveAuthentication no     # Отключаем интерактивную аутентификацию (kbd-interactive)

PermitRootLogin no                  # Запрет входа под root по SSH

# Шифры (ciphers) — баланс безопасности и совместимости
Ciphers chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes256-ctr,aes192-ctr,aes128-ctr

# MAC алгоритмы
MACs hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-sha1-etm@openssh.com

# Алгоритмы обмена ключами (Kex)
KexAlgorithms curve25519-sha256,curve25519-sha256@libssh.org,diffie-hellman-group-exchange-sha256,diffie-hellman-group14-sha1

# Ограничение по времени и объёму для смены ключа сессии (Forward Secrecy)
RekeyLimit 1G 1h

# Логирование
SyslogFacility AUTH
LogLevel VERBOSE

# Отключаем DNS-обратные запросы для ускорения и безопасности
UseDNS no

# Разрешаем форвардинг TCP и порты
AllowTcpForwarding yes
GatewayPorts yes

# Отключаем X11 форвардинг — снижает риск атак
X11Forwarding no

# Подсистема SFTP отключена
#Subsystem sftp /usr/lib/openssh/sftp-server
Subsystem sftp /bin/false

# Сжатие данных отключено (лучше для безопасности)
Compression no

# Удержание живого соединения и таймауты
TCPKeepAlive yes
ClientAliveInterval 300
ClientAliveCountMax 3

# Использовать PAM (при необходимости)
UsePAM yes

Настройка параметров ядра

## /etc/sysctl.conf

# --- Основное (маршрутизация, NAT, производительность) ---
net.ipv4.ip_forward = 1

# --- Надежность TCP и защита ---
net.ipv4.tcp_syncookies = 1                               # Защита от SYN flood
net.ipv4.tcp_rfc1337 = 1                                  # Защита от TIME_WAIT spoofing
net.ipv4.tcp_fin_timeout = 10

# --- Быстрое открытие TCP-соединений (TFO) ---
net.ipv4.tcp_fastopen = 3                                 # Клиент и сервер


# --- Безопасность и фильтрация ---
net.ipv4.conf.all.rp_filter = 2                            # Усиленный антиспуфинг (strict mode)
net.ipv4.conf.default.rp_filter = 2

net.ipv4.conf.all.accept_redirects = 0                     # Отключаем ICMP redirect
net.ipv4.conf.default.accept_redirects = 0

net.ipv4.conf.all.send_redirects = 0                       # Не отправлять ICMP redirect
net.ipv4.conf.default.send_redirects = 0

net.ipv4.conf.all.accept_source_route = 0                  # Отключаем source routing
net.ipv4.conf.default.accept_source_route = 0


# --- Ограничение ICMP (защита от DoS) ---
net.ipv4.icmp_echo_ignore_broadcasts = 1                   # Игнорирование broadcast ping

# --- Оптимизация TCP ---
net.ipv4.tcp_abort_on_overflow = 1                          # Быстро сбрасывать соединения при переполнении очереди
net.ipv4.tcp_mtu_probing = 1                                # Автоматическое определение MTU (помогает проблемам с VPN/NAT)
net.ipv4.tcp_timestamps = 1                                 # Включить TCP timestamps (улучшенная производительность)


# --- Современный congestion control
net.core.default_qdisc = fq                                 
net.ipv4.tcp_congestion_control = bbr

Настройка DHCP (выдача ip-адресов)

Установка

apt install isc-dhcp-server

Конфигурация

## /etc/dhcp/dhcpd.conf

option captive-portal code 160 = text;
option captive-portal "http://freedom.local";

default-lease-time 600;
max-lease-time 7200;

ddns-update-style none;

subnet 192.168.2.0 netmask 255.255.255.0 {
  range 192.168.2.1 192.168.2.254;
  option domain-name-servers 192.168.2.1;
  option domain-name "freedom.local";
  option routers 192.168.2.1;
  option broadcast-address 192.168.2.255;
  default-lease-time 600;
  max-lease-time 7200;
}

Выбор интерфейса раздачи адресов

## /etc/default/isc-dhcp-server

INTERFACESv4="enp3s0"
INTERFACESv6=""

Настройка простого DNS сервера с апстримом dnscrypt (DoH)

Установка

apt install dnsmasq

Актуальный билд dnscrypt можно взять тут

Возьмите за привычку пользовательские программы которые были установлены вручную размещать либо в /usr/local, либо в /opt

Конфигурация dnsmasq

## /etc/dnsmasq.conf

port=53

# Не пересылать запросы без доменного имени (например, просто "localhost")
domain-needed

# Привязывать dnsmasq только к указанным интерфейсам, чтобы не слушать на всех
bind-interfaces

# Не использовать системный файл /etc/resolv.conf для поиска upstream DNS-серверов
no-resolv

# Защита от DNS rebind-атак — блокирует ответы с подозрительными IP-адресами
stop-dns-rebind

# Жёстко назначить домен freedom.net на IP-адрес 192.168.2.1
address=/freedom.net/192.168.2.1

# Жёстко назначить домен freedom.local на IP-адрес 192.168.2.1
address=/freedom.local/192.168.2.1

# Использовать локальный DNSCrypt сервер на 127.0.0.1:5353 как upstream DNS
server=127.0.0.1#5353

# Вариант: использовать публичный DNS-сервер Quad9
# server=9.9.9.9

# Слушать DNS-запросы на сетевом интерфейсе enp3s0
interface=enp3s0

# dnsmasq работает только как DNS
no-dhcp-interface=*

Конфигурация DNSCrypt

//

Вопрос знающим: С чем связано падение сервиса dnscrypt 2.1.12 при подключении опции использования ODoH? Раньше такого не наблюдалось.

Настройка OpenVPN для аутентификации

apt install openvpn

Свежий билд EasyRSA качаем тут

Переименовываем vars.example в vars

Изменяем параметр set_var EASYRSA_KEY_SIZE на 4096

Даём права EasyRSA на исполнение:

chmod +x easyrsa

./easy-rsa init-pki
./easy-rsa build-ca
./easy-rsa gen-req server nopass
./easy-rsa sign-req server server
./easy-rsa gen-dh
openvpn --genkey secret /etc/openvpn/server/pki/ta.key

## /etc/openvpn/server серверная часть

port 1192
proto tcp

# Виртуальный сетевой интерфейс TUN (уровень IP)
dev tun

# Сертификат центра сертификации (CA)
ca /etc/openvpn/server/pki/ca.crt

# Сертификат сервера
cert /etc/openvpn/server/pki/issued/server.crt

# Закрытый ключ сервера
key /etc/openvpn/server/pki/private/server.key

# Параметры Диффи-Хеллмана для ключевого обмена
dh /etc/openvpn/server/pki/dh.pem

# Подсеть VPN и маска подсети (выдача IP клиентам)
server 10.8.0.0 255.255.255.0

# Использовать топологию подсети (одинаковый пул IP для всех клиентов)
topology subnet

# Перенаправлять весь трафик клиента через VPN (default route через VPN-сервер)
push "redirect-gateway def1"

# Настроить DNS клиента
push "dhcp-option DNS 192.168.2.1"

# Минимальная версия TLS для обеспечения безопасности
tls-version-min 1.2

# TLS-crypt ключ для защиты
tls-crypt /etc/openvpn/server/pki/ta.key

# Специфический набор TLS-шифров для безопасности
tls-cipher TLS-ECDHE-ECDSA-WITH-AES-256-GCM-SHA384

# Качественные современные шифры для данных
data-ciphers AES-256-GCM:CHACHA20-POLY1305

# Алгоритм хэширования (аутентификация сообщений)
auth SHA256

# Сохранять ключи между перезапусками туннеля
persist-key

# Сохранять туннельное устройство между рестартами
persist-tun

# Использовать имя пользователя как common name клиента
username-as-common-name

# Не проверять сертификаты клиента (аутентификация через username/password)
verify-client-cert none

# Скрипт для проверки логина и пароля пользователя
auth-user-pass-verify "/usr/bin/php /etc/openvpn/server/verify.php" via-file

# Позволяет выполнять скрипты с максимальным уровнем безопасности
script-security 3

# Без логов
verb

Даём права на исполнение скрипту

chmod +x verify.php

// тут должно быть про MariaDB и SQL

Установка и настройка СУБД MariaDB

apt install apt-transport-https curl
mkdir -p /etc/apt/keyrings

curl -o /etc/apt/keyrings/mariadb-keyring.pgp 'https://mariadb.org/mariadb_release_signing_key.pgp'
echo "deb [signed-by=/etc/apt/keyrings/mariadb-keyring.pgp] https://mirror.mariadb.org/repo/11.8/debian bookworm main" > /etc/apt/sources.list.d/mariadb118.list

apt install mariadb-server mariadb-client

Базовая настройка безопасности. При настройке не забудьте отключить unix auth иначе скрипт не сможет присоединиться.

mysql_secure_installation

Подготовка таблицы

-- Хост: localhost
-- Время создания: Июл 26 2025 г., 08:25
-- Версия сервера: 11.8.2-MariaDB-deb12
-- Версия PHP: 8.2.28

SET SQL_MODE = "NO_AUTO_VALUE_ON_ZERO";
START TRANSACTION;
SET time_zone = "+00:00";


/*!40101 SET @OLD_CHARACTER_SET_CLIENT=@@CHARACTER_SET_CLIENT */;
/*!40101 SET @OLD_CHARACTER_SET_RESULTS=@@CHARACTER_SET_RESULTS */;
/*!40101 SET @OLD_COLLATION_CONNECTION=@@COLLATION_CONNECTION */;
/*!40101 SET NAMES utf8mb4 */;

--
-- База данных: `openvpn`
--

-- --------------------------------------------------------

--
-- Структура таблицы `users`
--

CREATE TABLE `users` (
  `id` bigint(255) NOT NULL,
  `username` varchar(120) NOT NULL,
  `password_hash` varchar(255) NOT NULL,
  `start_date` date NOT NULL,
  `next_date` date NOT NULL
) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COLLATE=utf8mb4_unicode_ci;

--
-- Индексы сохранённых таблиц
--

--
-- Индексы таблицы `users`
--
ALTER TABLE `users`
  ADD PRIMARY KEY (`id`),
  ADD UNIQUE KEY `username` (`username`);

--
-- AUTO_INCREMENT для сохранённых таблиц
--

--
-- AUTO_INCREMENT для таблицы `users`
--
ALTER TABLE `users`
  MODIFY `id` bigint(255) NOT NULL AUTO_INCREMENT;
COMMIT;

/*!40101 SET CHARACTER_SET_CLIENT=@OLD_CHARACTER_SET_CLIENT */;
/*!40101 SET CHARACTER_SET_RESULTS=@OLD_CHARACTER_SET_RESULTS */;
/*!40101 SET COLLATION_CONNECTION=@OLD_COLLATION_CONNECTION */;

#!/usr/bin/php
<?php
declare(strict_types=1);

class Database {
    private $pdo;

    /**
     * Конструктор класса Database.
     * 
     * @param array $config Массив конфигурации подключения к БД.
     * @throws PDOException Если подключение к БД не удалось.
     */
    public function __construct(array $config) {
        if (!isset($config['host'], $config['dbname'], $config['user'], $config['password'])) {
            throw new InvalidArgumentException("Недостаточно данных для подключения к БД");
        }

        try {
            $options = [
                PDO::MYSQL_ATTR_INIT_COMMAND => 'SET NAMES utf8mb4',
                PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
                PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
                PDO::ATTR_EMULATE_PREPARES => false,
            ];
            $this->pdo = new PDO(
                "mysql:host={$config['host']};dbname={$config['dbname']};charset=utf8mb4",
                $config['user'],
                $config['password'],
                $options
            );
        } catch (PDOException $e) {
            throw new PDOException("Database connection failed: " . $e->getMessage());
        }
    }

    /**
     * Подготавливает и выполняет SQL-запрос.
     * 
     * @param string $sql SQL-запрос.
     * @param array $params Параметры запроса.
     * @return PDOStatement Подготовленный и выполненный запрос.
     */
    public function query(string $sql, array $params = []): PDOStatement {
        $stmt = $this->pdo->prepare($sql);
        $stmt->execute($params);
        return $stmt;
    }

    /**
     * Выполняет SQL-запрос и возвращает все результаты.
     * 
     * @param string $sql SQL-запрос.
     * @param array $params Параметры запроса.
     * @return array Массив результатов.
     */
    public function getAll(string $sql, array $params = []): array {
        $stmt = $this->query($sql, $params);
        return $stmt->fetchAll(PDO::FETCH_ASSOC);
    }
}

// Рекомендуется хранить конфиг подключения в отдельном файле с ограниченным доступом
$dbConfig = [
    'host'     => 'localhost',
    'dbname'   => 'openvpn_auth',
    'user'     => 'openvpn_user',
    'password' => 'strongpassword',
];

// Проверка, что передан ровно один аргумент (путь к файлу с учётными данными)
if ($argc !== 2) {
    error_log("OpenVPN auth error: expected exactly 1 argument, got " . ($argc - 1));
    exit(1);
}

$credentialsFile = $argv[1];

// Проверка существования и читаемости файла с учетными данными
if (!is_file($credentialsFile) || !is_readable($credentialsFile)) {
    error_log("OpenVPN auth error: credentials file '$credentialsFile' not found or unreadable");
    exit(1);
}

// Чтение строк: первая — username, вторая — пароль
$lines = file($credentialsFile, FILE_IGNORE_NEW_LINES | FILE_SKIP_EMPTY_LINES);
if (count($lines) < 2) {
    error_log("OpenVPN auth error: invalid credentials file format");
    exit(1);
}

$username = trim($lines[0]);
$password = trim($lines[1]);

try {
    $db = new Database($dbConfig);

    // Получаем хеш пароля по username
    $stmt = $db->query('SELECT password_hash FROM users WHERE username = :username LIMIT 1', ['username' => $username]);
    $user = $stmt->fetch();

    if (!$user || !password_verify($password, $user['password_hash'])) {
        error_log("OpenVPN auth failed for user '{$username}'");
        exit(1);
    }

    // Успешная аутентификация
    exit(0);

} catch (Throwable $e) {
    error_log("OpenVPN auth error: " . $e->getMessage());
    exit(1);
}

# openvpn клиентская часть

client
dev tun
proto tcp
remote 192.168.2.1 1192

resolv-retry infinite
nobind

# Встроенный сертификат CA
<ca>
-----BEGIN CERTIFICATE-----
(текст вашего ca.crt)
-----END CERTIFICATE-----
</ca>

remote-cert-tls server

persist-key
persist-tun

auth-user-pass

tls-version-min 1.2

# Встроенный TLS-crypt ключ
<tls-crypt>
-----BEGIN OpenVPN Static key V1-----
(текст вашего ta.key)
-----END OpenVPN Static key V1-----
</tls-crypt>

tls-cipher TLS-ECDHE-ECDSA-WITH-AES-256-GCM-SHA384
data-ciphers AES-256-GCM:CHACHA20-POLY1305
auth SHA256

verb 0

Обход шизоидной блокировки РосКомПозора

Свежие билды ByeDPI для linux тут

Создаём файл byedpi.service по пути /etc/systemd/system/

[Unit]
Description=byedpi daemon service
After=network.target

[Service]
# Type=simple для приложений исполняющихся в основном (родительском) процессе.

# Если исполняется в дочернем процессе
Type=forking
ExecStart=/usr/local/bin/ciadpi -D --transparent --tfo -s1 -q1 -Y -Ar -s5 -o1+s -At -f-1 -r1+s -As --tlsrec 3+s -b+300 --fake-sni "www.vk.com" --ttl 65

Restart=on-failure
RestartSec=5s

# При необходимости использовать неполные права (запуск не от root):
# User=someuser
# Group=somegroup

# Автоматический рестарт при сбоях
Restart=on-failure
RestartSec=5s

# Логирование в журнал systemd
StandardOutput=journal
StandardError=journal

[Install]
WantedBy=multi-user.target

Перечитываем список сервисов и запускаем

systemctl daemon-reload
systemctl enable byedpi
systemctl start byedpi
systemctl status byedpi

Вопрос знающим: Как указать список сайтов к чему применять обход? Если глобально, то некоторые сервисы с IPS/IDS начинают откидывать "аномальные" пакеты.

Настройка правил nftables

#!/usr/sbin/nft -f

flush ruleset

define VPN = "tun0"
define WAN = "enp1s0"
define LAN = "enp3s0"

table inet filter {
    chain input {
        type filter hook input priority filter; policy drop;

        # Разрешаем весь трафик с loopback интерфейса
        iifname "lo" accept;

        # Разрешаем установленные и связанные соединения
        ct state {established, related} accept;

        # ICMP echo-request (ping) с LAN с rate limit
        iifname $LAN icmp type echo-request limit rate 5/second burst 10 packets accept;

        # # OpenVPN TCP 1194
        iifname $LAN tcp dport 1194 accept;

        # # SSH TCP 2222 с WAN с rate limiting и только новые соединения
        iifname $WAN tcp dport 2222 ct state new limit rate 20/second burst 30 packets accept;

        # # HTTP и HTTPS TCP (80, 443)
        tcp dport {80, 443} ct state new limit rate 30/second burst 40 packets accept;

        # # UDP 443 (QUIC)
        udp dport 443 ct state new limit rate 40/second burst 50 packets accept;

        # # DNS UDP 53 на LAN и VPN с ограничением
        iifname { $VPN, $LAN } udp dport 53 limit rate 30/second burst 40 packets accept;
		
        # # DNSCrypt-proxy UDP 5353 с lo и LAN
        iifname { "lo", $LAN } udp dport 5353 accept;

        # # ByeDPI - SOCKS5. В режиме transparent не нужен, трафик идёт напрямую.
        # iifname $VPN tcp dport 1080 accept;
    }
	
    chain output {
        type filter hook output priority filter; policy accept;
    }
	
    chain forward {
        type filter hook forward priority filter; policy drop;

        # Разрешаем установленные и связанные соединения
        ct state {established, related} accept;

        # Трафик VPN -> WAN (интернет)
        iifname $VPN oifname $WAN accept;

        # Трафик WAN -> VPN
        iifname $WAN oifname $VPN accept;
    }


}

table ip nat {
    chain prerouting {
        type nat hook prerouting priority -100; policy accept;
        # captive portal - перенаправление неавторизованных пользователей, на домашний сайт
        ip saddr 192.168.2.0/24 tcp dport 80 redirect to 80;
    }

    chain postrouting {
        type nat hook postrouting priority 100; policy accept;
        # Доступ в интернет авторизированным
        iifname $VPN oifname $WAN masquerade;
    }
}

Если требуется смотрим какие порты используют приложения

ss -tulnp или ss -tulnp | grep :PORT если требуется конкретный порт

Hubs:

Development for Linux