h1. VPN Client OpenWrt

Le routeur doit être assez puissant pour supporter les opérations de chiffrement de Wireguard (eg. TP-Link Archer C7).

Il doit avoir été préalablement flashé en OpenWrt.

h2. Exemple de configuration

On suppose que le service Wireguard pour l'adhérent·e a été configuré comme suit côté Tetaneutral :

* Réseau IPv6: <pre>2001:db8:dead:be00::/56</pre>

* Adresse IPv4: <pre>203.0.113.42/32</pre>

* Clé privée Wireguard: <pre>XF4wYSh/Ox9CoPl/YvFECu1DH6FQy7fLNUnur4sv9nM=</pre>

h2. Variables et commandes à copier-coller

Se connecter en SSH au routeur pour obtenir un terminal sur OpenWrt.

Variables *à personnaliser* puis copier-coller dans le terminal du OpenWrt :

<pre>

WG_ADH_NET6="2001:db8:dead:be00::"

WG_ADH_ADDR4="203.0.113.42"

WG_ADH_PRIV_KEY="XF4wYSh/Ox9CoPl/YvFECu1DH6FQy7fLNUnur4sv9nM="

</pre>

Variables et commandes à copier-coller ensuite *telles quelles* dans le terminal du OpenWrt (sauf expert·e) :

<pre>

# Install wireguard

opkg update

opkg install wireguard luci-proto-wireguard

# Global TTNN parameters

WG_SRV_ADDR="h10.tetaneutral.net"

WG_SRV_PORT="51820"

WG_SRV_PUB_KEY="DsIeOCRs/5uYdi8rLiBzRNmN4zUzKCQRqY3Sbl8NS0A="

WG_ADH_ADDR6_WAN="${WG_ADH_NET6/0::/1::1}/64"

WG_ADH_ADDR6_LAN="${WG_ADH_NET6/0::/2::1}/64"

WG_ADH_ADDR4_WAN="${WG_ADH_ADDR4}/32"

WG_LOCAL_IF="wg0"

# Configure firewall

uci rename firewall.@zone[0]="lan"

uci rename firewall.@zone[1]="wan"

uci rename firewall.@forwarding[0]="lan_wan"

uci del_list firewall.wan.network="${WG_LOCAL_IF}"

uci add_list firewall.wan.network="${WG_LOCAL_IF}"

uci commit firewall

/etc/init.d/firewall restart

# Configure network

uci -q delete network.${WG_LOCAL_IF}

uci set network.${WG_LOCAL_IF}="interface"

uci set network.${WG_LOCAL_IF}.proto="wireguard"

uci set network.${WG_LOCAL_IF}.private_key="${WG_ADH_PRIV_KEY}"

uci del network.lan.ip6assign

uci add_list network.lan.ip6addr="${WG_ADH_ADDR6_LAN}"

uci add_list network.${WG_LOCAL_IF}.addresses="${WG_ADH_ADDR6_WAN}"

uci add_list network.${WG_LOCAL_IF}.addresses="${WG_ADH_ADDR4_WAN}"

# Add TTNN VPN peer

uci -q delete network.wgserver

uci set network.wgserver="wireguard_${WG_LOCAL_IF}"

uci set network.wgserver.public_key="${WG_SRV_PUB_KEY}"

uci set network.wgserver.endpoint_host="${WG_SRV_ADDR}"

uci set network.wgserver.endpoint_port="${WG_SRV_PORT}"

uci set network.wgserver.route_allowed_ips="1"

uci set network.wgserver.persistent_keepalive="25"

uci add_list network.wgserver.allowed_ips="::/0"

uci add_list network.wgserver.allowed_ips="0.0.0.0/0"

# Preserve default route

uci set network.wan6.metric="100"

uci set network.wan.metric="100"

uci commit network

/etc/init.d/network restart

</pre>

h2. Tests

Se connecter en DHCP avec un Linux sur l'un des ports LAN du routeur.

Sur l'interface filaire du PC on devrait obtenir quelque chose qui ressemble à :

<pre>

# ip address

inet6 2001:db8:dead:be02:3e47:edd:f3cb:2e04/64 scope global dynamic mngtmpaddr

inet 192.168.1.201/24 brd 192.168.1.255 scope global dynamic enp0s25

# ip -6 route

default via fe80::4afe:7cde:fa1e:310b dev enp0s25 proto ra metric 1024 expires 1724sec hoplimit 64 pref medium

# ip -4 route

default via 192.168.1.1 dev enp0s25

</pre>

Les IP retournées par curl devraient ressembler à :

<pre>

# curl ip6.yunohost.org

2001:db8:dead:be02:3e47:edd:f3cb:2e04

# curl ip.yunohost.org

203.0.113.42

</pre>

h2. Notes sur IPv6

Avec cette configuration, le range IPv6 /56 de l'adhérent·e est réduit à un /64.

Il y a deux explications à ça :

* Tetaneutral ne fournit pas de range d'interco IPv6, il est donc nécessaire d'utiliser une partie du /56 pour relier le routeur à l'infra de l'asso (port WAN).

* Sur le port LAN il est préférable d'avoir un /64 pour satisfaire les pré-requis de l'autoconfiguration stateless (attribution des IP en fonction des adresses MAC).

Si l'adhérent·e souhaite utiliser son range IPv6 pour faire des sous-réseaux, libre à ellui d'ajouter des routes en utilisant ses sous-réseaux :

<pre>

* 2001:db8:dead:be00::/56 -- range complet

  * 2001:db8:dead:be01::/64 -- sous-réseau utilisé pour l'interco du WAN (pourrait être réduit)

  * 2001:db8:dead:be02::/64 -- sous-réseau utilisé pour les clients du LAN

  * 2001:db8:dead:be03::/64 -- sous-réseau libre

    [...] -- il y en a 254 de libres

  * 2001:db8:dead:beff::/64 -- sous-réseau libre