利用DD-WRT OpenVPN "翻牆"

話說公司開始針對MSN Messenger，臉書等社交工具開始進行管制，從此小弟上班就少了一些"發洩"心中圈圈叉叉的地方啦！
這樣對心靈的健康會有極大的影響，是不可忍受的事實。
既然小弟先前是MIS，自然早就有了腹案，就是對岸同胞用來"翻牆"的絕頂兵器 - SSL VPN！
"恰巧"小弟家中的AP是TP-LinK WR1043ND，所以就準備開刷成DD-WRT之後，再加上OpenVPN功能開啟後，就成了跨越封鎖線的神兵利器啦！

前置動作是依照這篇DD-WRT Wiki進行設定，但設定完成後，卻怎麼也沒辦法從公司的電腦連回自家的NAS，更別提用家裏網路去紅杏出牆囉！
拜了Google大神好一段時間後，終於找到一位老外的設定，照著做之後果然就一切暢通無阻啦！
所以特別將這些設定紀錄下來，以備不時之需。

假設所有的網段如下：
Home LAN: 192.168.1.0/24
SSL VPN: 192.168.2.0/24
Office LAN: 10.0.0.0/16
Home WAN IP: 1.1.1.1

DD-WRT的Firewall command如下：
iptables -I INPUT 1 -p tcp --dport 443 -j ACCEPT
iptables -I FORWARD 1 --source 192.168.2.0/24 -j ACCEPT
iptables -I FORWARD -i br0 -o tun0 -j ACCEPT
iptables -I FORWARD -i tun0 -o br0 -j ACCEPT
iptables -t NAT -A POSTROUTING -s 192.168.2.0/24 -j MASQUERADE
(註: 因刷新版 DD-WRT V24 preSP2 Build 21061 於2013.05.30新增，嘗試後無效，保留此設定後退回Build 14896，則恢復正常)


OpenVPN Server設定如下：

註：進行設定前要先在Administration中將HTTPS反選，否則Port會衝突，OpenVPN Daemon就會無法正常啟動。若設定後仍有此現象發生，先重開Router一次後再確認OpenVPN Daemon是否正常啟動。



dev tun0
proto tcp-server
port 443 (預設是走UDP 1194，但多數公司都會封鎖非80, 443的埠，所以一定要改；但必須配合將DD-WRT管理界面中的HTTPS取消，否則OpenVPN一定起不來。
keepalive 10 120
comp-lzo yes
push "redirect-gateway def1"                 <====將default gateway轉向到DD-WRT上
push "route 192.168.1.0 255.255.255.0"  <====連上家中網段的Static Route
push "dhcp-option DNS 192.168.1.254" <====將DNS轉向到DD-WRT上，若需要連公司內部機器，建議不設此行。
server 192.168.1.0 255.255.255.0
client-to-client
duplicate-cn
dh /tmp/openvpn/dh.pem
ca /tmp/openvpn/ca.crt
cert /tmp/openvpn/cert.pem
key /tmp/openvpn/key.pem
verb 3
max-clients 5
management localhost 5001
# remote client LAN subnets
#push "route 192.168.0.0 255.255.0.0 net_gateway"(這部份設定是供Client端可連Office本地資源的路由，尚未啟動，仍待測試中)

OpenVPN的Client設定如下：
client
dev tun0
proto tcp
remote 1.1.1.1 443
resolv-retry infinite
nobind
persist-key
persist-tun
ca ca.crt
cert client1.crt
key client1.key
ns-cert-type server
comp-lzo
verb 3

連上後測一下tracert -d 168.95.1.1，確認走VPN tunnel無誤。
這樣上班時就用Openvpn client撥接上家裏的SSL VPN Server就大功告成啦！


除非公司用L7 Firewall進行Deep scan，不然的話，就算要過proxy，OpenVPN的Client端也能應付自如。若是長駐對岸的台幹，一樣可以在台灣的老家啟動OpenVPN Server後，再以SSL VPN方式連回來"翻牆"！

若是設定完之後沒辦法連線，試著檢查一下DD-WRT上的OpenVPN Daemon設定吧。
以SSH/Telnet連上DD-WRT後，先以底下的指令檢查OpenVPN的Daemon是否有啟動？
ps | grep openvpn

若沒有看見openvpn的服務正常啟動的話，先用底下的指令去檢查log中有無關於OpenVPN的錯誤訊息。
cat /var/log/messages | grep openvpn

最後，用以下指令確認防火牆有開啟HTTPS (TCP 443 Port)。
iptables -L |grep https

有出現的話就表示防火牆設定正確。