OpenVPN
OpenVPN پروتکلی است که بیشترین پشتیبانی برنامه را دارد. اینباند OpenVPN روی UDP یا TCP اجرا می‌شود و هر کاربر یک فایل پروفایل را در یکی از برنامه‌های OpenVPN وارد می‌کند. این صفحه ساخت اینباند، حالت‌های ورود، تنظیمات شبکه و گزینه‌های بخش پیشرفته را پوشش می‌دهد.
به چه کاری می‌آید
- مشتری‌ها روی هر سیستم‌عاملی. OpenVPN Connect و برنامه‌های دیگر OpenVPN برای اندروید، iPhone و iPad، ویندوز، macOS و لینوکس هست.
- شبکه‌هایی که UDP در آن‌ها بسته است. همین نوع اینباند می‌تواند روی TCP هم گوش بدهد.
- ورود با گواهی، که کاربر چیزی برای تایپ کردن ندارد.
ساخت اینباند
- وارد اینباندها شوید و اینباند جدید را بزنید.
- در پروتکل، OpenVPN را انتخاب کنید. پروتکل بعد از ساخت اینباند قابل تغییر نیست.
- بخش پایه را پر کنید. فرم یک نام، UDP و پورت ۱۱۹۴ و شبکهٔ تونل
10.20.0.0/24پیشنهاد می‌دهد. - در دسترسی انتخاب کنید کدام گروه‌ها و کاربران فعلی این اینباند را بگیرند. گروه‌هایی که همهٔ اینباندها، از جمله اینباندهایی که بعداً اضافه می‌شوند را دارند، به‌هرحال آن را می‌گیرند.
- ساخت را بزنید. اینباند در بخش بدون نود ذخیره می‌شود و هنوز اجرا نمی‌شود.
- در نودها روی کارت نودی که باید آن را اجرا کند (از جمله همین سرور) اتصال اینباند را بزنید و اینباند را انتخاب کنید.
بررسی‌ها هنگام اتصال انجام می‌شود: پورت باید روی آن نود آزاد باشد و شبکهٔ تونل نباید با اینباند دیگر یا مسیری که نود از قبل دارد (WireGuard، Docker، VPN دیگر) هم‌پوشانی داشته باشد. اگر بررسی ناموفق باشد چیزی تغییر نمی‌کند و پنجره دلیل را نشان می‌دهد. نودها را ببینید.
دستگاه باید OpenVPN نسخهٔ ۲٫۵ یا بالاتر داشته باشد. نصب‌کننده آن را اضافه می‌کند و روی اوبونتو، اگر نسخهٔ بسته‌بندی‌شده قدیمی‌تر باشد، مخزن جامعهٔ OpenVPN را هم اضافه می‌کند.
پایه
| فیلد | کاربرد |
|---|---|
| نام | حروف کوچک انگلیسی، عدد و خط تیره. بخشی از نام سرویس می‌شود (ovira-ovpn@NAME). بعداً قابل تغییر نیست. |
| توضیح | در صفحهٔ کاربر نمایش داده می‌شود، مثلاً «روی اینترنت همراه از این استفاده کنید». |
| پروتکل | UDP، TCP، UDP (IPv4 + IPv6) یا TCP (IPv4 + IPv6). |
| پورت | پورتی که کاربران به آن وصل می‌شوند. باید روی نود آزاد باشد. |
| شبکه تونل | یک محدودهٔ IPv4 خصوصی برای آدرس کاربران، از /16 تا /28، داخل 10.0.0.0/8، 172.16.0.0/12، 192.168.0.0/16 یا 100.64.0.0/10. یک‌چهارم آخر برای آدرس‌های ثابت رزرو است. |
| آدرس عمومی جایگزین | نام میزبان یا آدرسی که در پروفایل‌ها نوشته می‌شود. خالی یعنی آدرس خود نود. |
| این اینباند اجرا شود | خاموش یعنی اینباند ذخیره می‌ماند ولی متوقف است. |
UDP هزینهٔ حمل یک اتصال TCP داخل TCP را ندارد، برای همین معمولاً اولین انتخاب است. TCP راه جایگزین برای شبکه‌هایی است که UDP را می‌بندند.
ورود
بخش ورود کاربران با سه حالت دارد.
| حالت | کاربر چه چیزی لازم دارد |
|---|---|
| گواهی (پیش‌فرض) | فقط پروفایل. |
| گواهی و رمز | پروفایل، به‌علاوهٔ نام کاربر و رمز VPN. نام باید با گواهی یکی باشد. |
| نام کاربری و رمز | نام کاربر و رمز VPN. گواهی کاربر استفاده نمی‌شود. |
وقتی اینباند نام و رمز می‌خواهد، کاربر آن‌ها را در صفحهٔ اشتراکش می‌بیند. رمز همان رمز VPN کاربر است که اگر فیلد را خالی بگذارید اویرا می‌سازد.
تغییر نام یک کاربر گواهی او را عوض می‌کند و اتصالش را قطع می‌کند. کاربر باید پروفایل تازه را وارد کند.
شبکه و مسیریابی
| فیلد | کاربرد |
|---|---|
| همه ترافیک از VPN عبور کند | به‌طور پیش‌فرض روشن است. خاموش یعنی تونل جزئی: فقط مسیرهای ارسالی از VPN رد می‌شوند. |
| مسیرهای ارسالی | هر خط یک CIDR، مثلاً 192.168.10.0/24. |
| NAT ترافیک کاربران به اینترنت | به‌طور پیش‌فرض روشن است. کاربران را از طریق سرور به اینترنت می‌رساند. فقط اگر شبکهٔ تونل را خودتان مسیریابی می‌کنید خاموشش کنید. |
| کاربران به هم دسترسی داشته باشند | ترافیک بین کاربران همین اینباند را مجاز می‌کند. |
| IPv6 داخل تونل و شبکه IPv6 | به کاربران از شبکه‌ای که انتخاب می‌کنید آدرس IPv6 می‌دهد. |
| حداکثر کاربر متصل | پیش‌فرض ۱۰۲۴. |
| سرورهای DNS | هر خط یکی، حداکثر چهار. پیش‌فرض 1.1.1.1 و 8.8.8.8. |
| دامنه جستجو | برای کاربران ارسال می‌شود. |
| مسدود کردن DNS بیرون تونل در ویندوز | پیش‌فرض روشن. جلوی نشت پرسش‌های DNS از کنار VPN در ویندوز را می‌گیرد. |
روی صفحهٔ هر کاربر می‌توان یک آدرس ثابت داخل تونل هم داد. این آدرس باید داخل یک‌چهارم آخر شبکهٔ اینباند باشد.
پیشرفته
بخش‌های پیشرفته تا وقتی تنظیمات پیشنهادی استفاده می‌شود بسته‌اند. برای باز کردن‌شان سفارشی‌سازی را بزنید.
| فیلد | پیش‌فرض | کاربرد |
|---|---|---|
| محافظت کانال کنترل | tls-crypt | tls-crypt دست‌دهی را پنهان می‌کند. tls-auth و هیچ برای کلاینت‌های قدیمی هستند. |
| رمزهای داده | AES-256-GCM، AES-128-GCM، CHACHA20-POLY1305 | رمزهایی که به کاربران پیشنهاد می‌شود. |
| رمز برای کلاینت‌های قدیمی | هیچ | رمز جایگزین برای کلاینت‌های قدیمی‌تر از OpenVPN 2.4. |
| الگوریتم HMAC | SHA256 | SHA384، SHA512 و SHA1 هم هست. |
| حداقل نسخه TLS | 1.2 | گزینهٔ دیگر TLS 1.3 است. |
| فشرده‌سازی | خاموش | فشرده‌سازی روی اتصال رمزشده اطلاعات نشت می‌دهد. فقط برای کلاینت‌های قدیمی که لازم دارند روشن کنید. |
| Keepalive | هر ۱۰ ثانیه، مهلت ۶۰ ثانیه | فاصلهٔ پینگ و مدت سکوتی که بعد از آن کاربر قطع می‌شود. |
| MTU تونل، MSS fix، Fragment، بافر سوکت | پیش‌فرض OpenVPN | برای شبکه‌هایی که بسته‌های کوچک‌تر می‌خواهند. |
| تعویض کلید | ۳۶۰۰ ثانیه | هر چند وقت یک‌بار کلیدهای داده تازه می‌شوند. |
| اشتراک پورت با وب‌سرور | خاموش | فقط TCP. بازدیدکننده‌هایی که کاربر VPN نیستند به میزبان و پورتی که وارد می‌کنید هدایت می‌شوند. به یک وب‌سرور سازگار پشت آن نیاز دارد و پورتی را که برنامهٔ دیگری گرفته به اشتراک نمی‌گذارد. |
| اطلاع قطع اتصال کاربران UDP به سرور | روشن | کاربران UDP هنگام قطع شدن به سرور خبر می‌دهند تا سرور منتظر مهلت keepalive نماند. |
| جزئیات لاگ | ۳ | |
| دستورات اضافه، دستورات اضافه کلاینت | خالی | هر خط یک دستور OpenVPN. دستورهایی که اسکریپت اجرا می‌کنند، فایل می‌نویسند یا به رابط مدیریت دست می‌زنند پذیرفته نمی‌شوند. |
تب فایل کانفیگ هر اینباند پیکربندی سروری را که ساخته شده نشان می‌دهد و تب لاگ‌ها آخرین خط‌های لاگ آن را.
تغییر پورت
اینباند را ویرایش کنید، پورت را عوض کنید و ذخیره کنید. اگر اینباند به نودی متصل باشد، اویرا پیکربندی را دوباره می‌نویسد، قانون‌های فایروال را جابه‌جا می‌کند و اینباند را از نو اجرا می‌کند؛ این کار کاربران آن را قطع می‌کند. کاربران پورت جدید را وقتی پروفایل را دوباره بگیرند می‌بینند، پس بگویید دوباره وارد کنند.
کاربر چه کار می‌کند
در صفحهٔ اشتراک، تب OpenVPN این‌ها را دارد:
- باز کردن در OpenVPN Connect، که روی موبایل با یک لمس پروفایل را وارد می‌کند.
- دانلود پروفایل، یک فایل
.ovpnبرای باز کردن با هر برنامهٔ OpenVPN. - همه سرورها در یک پروفایل، پروفایلی با چند خط
remote. برنامه اولین سروری را که پاسخ دهد استفاده می‌کند.
پروفایل «همه در یک فایل» فقط اینباندهایی را ترکیب می‌کند که تنظیمات OpenVPNشان با اولین اینباند سازگار باشد؛ پس حالت‌های ورود را با هم قاطی نمی‌کند. هر آدرس اتصال نود هم پروفایل جداگانهٔ خودش را می‌گیرد.
یک پروفایل روی همهٔ دستگاه‌های کاربر کار می‌کند. سقف دستگاه را اویرا اعمال می‌کند، نه OpenVPN؛ پس دو گوشی با یک پروفایل تا وقتی به سقف نرسیده‌اند همدیگر را قطع نمی‌کنند.
چه کارهایی از آن برنمی‌آید
- پروفایل OpenVPN در برنامه‌های سیسکو یا WireGuard کار نمی‌کند. برای آن‌ها اینباند OpenConnect یا WireGuard لازم است.
- پورت ۴۴۳ به‌تنهایی OpenVPN را از شبکه‌ای که ترافیک را بررسی می‌کند رد نمی‌کند. TCP روی ۴۴۳ فقط جایی کمک می‌کند که شبکه OpenVPN روی TCP را اجازه بدهد.
- تغییر نام یا پروتکل یعنی حذف اینباند و ساختن اینباند تازه.
صفحه‌های مرتبط
- اینباندها: صفحه‌ای که اینباندها در آن فهرست، ویرایش و اجرا می‌شوند.
- نودها: اتصال، جدا کردن و جابه‌جایی اینباند.
- چرخهٔ عمر یک اتصال: ورود چطور پذیرفته یا رد می‌شود.
- عیب‌یابی: کاربری که وصل می‌شود ولی اینترنت ندارد.