LINUX.ORG.RU
ФорумAdmin

Локалка между двумя квартирами

 , , ,


0

1

Возможно, если копать все форумы рф/снг в течение 10-15 часов, то ответ на мой вопрос найдётся (по поиску по ключевым словам что-то не получилось, может я просто глупый), но я всё же рискну спросить.

Ситуация: Живу в крупном городе-миллионнике, сейчас живу в квартире №1, где есть провайдер А и не подключена услуга белого IP

Скоро собираюсь переезжать в квартиру №2, которая находится на расстоянии, по которому никакими антеннами/проводами не добить (да и незаконно это, не то что неудобно), и которая имеет провайдера Б

На квартире №1 я могу и хочу оставить сервер (просто NAS на самбе), и иметь к нему доступ из квартиры №2 (чтобы была возможность накатить torrserv и смотреть кино с сервака на телевизоре, и был доступ к хранилищу т.к. там фото и прочее-прочее)

Что есть:

  • 2 роутера на openWRT (Archer C6 v2);
  • мало денег;
  • навыки эникея;
  • возможность белого ip на квартире №1;
  • возможность уникального домена на квартире №2.

Вопрос: Какими средствами можно реализовать данную потребность, чтобы подключение было достаточно безопасным и никто со стороны не смог влезть ни в одну из квартир? (разве что можно пробросить доступ с телефона по моб. сети, дабы тоже можно было смотреть/загружать файлы на сервер)

Поскольку я глупый, пока что на примете есть лишь белый ip, WireGuard, OpenVPN, VPS.

Что из этого выбрать и как это собрать чтобы оно работало - пока не понимаю, но в моём случае прошу подсказку по пути наименьшего сопротивления, просто кратко пояснить логику, если это возможно


UPD.

Наверное, кривовато написал, поясню простым языком:

  • на 1 квартире будет стоять сервер в качестве файловой помойки, и всё что нужно - иметь доступ к этому серверу на второй квартире, только в таком виде, будто это всё находится в одной локальной сети, либо в соседней, не суть важно, главное чтобы до неё можно было достучаться что с компов, что с телевизора которому надо прописать статику

дело всё в том, что у меня телек с тв приставкой перешитой от провайдера (андроид, но там чё-то 4.3 версия что-ли), ей надо скормить локальный айпишник и не спалить выход в инет, иначе она обновит свою голую прошивку до прекрасной провайдерской

Суть в том, чтобы я мог телеку прописать айпишник типа 192.168.., и он увидел файловую помойку с фильмами и фотками так, будто это всё дело к одному роутеру подключено

Перемещено hobbit из general



Последнее исправление: mitahich123 (всего исправлений: 8)
Ответ на: комментарий от mx__

Да я в курсе, в чем это реально выражается то? В чем неудобства?

Для меня ни в чем, но вот «люди-то не в курсе» :) Хотя конечно вру, помниться было дело когда это всё занесли именно в ip, раньше было привычно рулить командами ipsec, а тут «фигак» и оно не работает, пришлось поднапрячься изучая новое :)

anc ★★★★★
()
Ответ на: комментарий от firkax

Причём тут гуи?

Это отсылка к вашему конфигу, вариация в виде «мне большего и не нужно». Но когда понадобиться соединить н-цать территориально разбросанных сетей по принципу все-ко-всем, то вот этот гуй уже перестанет быть таким простым. А когда железки на точках будут разные, то «этот гуй» уже может стать «вот совсем не простым». В этих гуях встречается, что написанное не соответствует действительности и это не на совсем ноунэмах, а на вполне известных названиях.

anc ★★★★★
()
Ответ на: комментарий от anc

Но когда понадобиться соединить н-цать территориально разбросанных сетей по принципу все-ко-всем

Так это другая задача. У автора задача очень простая - соединить два места, и «куча сетей без выделенного сервера» ему вряд ли когда-то понадобится. А если вдруг всё-таки понадобится - он сможет изучить более сложный инструмент тогда, а не заранее.

Тут можно было бы возразить в виде «зачем изучать два инструмента, когда можно изучить один который подойдёт везде» (и вроде бы это единственный аргумент). Возражу: прога в том виде, как её описал я, изучается за 5 минут, эти затраты времени можно не учитывать. То есть выбор между двумя вариантами:

1) для решения тривиальной задачи муторно изучаем сложный инструмент, в предположении что когда-то он нам понадобится, а потом прикостыливаем этот сложный инструмент к своей тривиальной задаче (примерно как получать права самой сложной категории для того чтобы сесть на мопед - а вдруг потом захочется фуры водить?)

2) за 5 минут решаем тривиальную задачу тривиальным способом и скорее всего больше ничего делать не надо, а если выпадет тот <1% где нужен сложный инстурмент - хорошо, изучим его для сложной задачи

И ещё добавлю. Для случая распределённого децентрализованного впн конфиг, конечно, придётся делать более сложный, но его всё равно можно сделать в едином стиле, без легаси и графомании, присущих упомянутой в начале дискусии конструкции.

А когда железки на точках будут разные

Ну это да, если железки не пойми какие, хорошие способы не поддерживают и придётся извращаться и подсовывать им то что они умеют. Но по-моему это надо не целью ставить а наоборот тем, от чего надо избавляться.

firkax ★★★★★
()
Последнее исправление: firkax (всего исправлений: 1)
Ответ на: комментарий от mx__

Да я в курсе и сразу спрашивал зачем это может понадбится и как это можно применить?

fw имхо для файрволинга усю жизнь было :) Да и обратите внимание волшебное "--dir in" это важный нюанс для ipsec, оно умеет разными маршрутами входящий и исходящий гнать.

anc ★★★★★
()
Ответ на: комментарий от firkax

Но когда понадобиться соединить н-цать территориально разбросанных сетей по принципу все-ко-всем

Так это другая задача. У автора задача очень простая - соединить два места

Ну и где в ваших конфигах хоть намек на эти «два места»?

anc ★★★★★
()

К спору выше: насколько просто поднять L2tp/ipsec на OpenWRT? Помню нагугливал, что там что-то не тривиальное.

А так как у ТС:

Что есть: 2 роутера на openWRT (Archer C6 v2); мало денег;

То ориентируемся на то, что работает на OpenWRT

https://openwrt.org/docs/guide-user/services/vpn/libreswan/openswanxl2tpvpn#deprecation_note

ТС молчит. Наверно, уже давно всё настроил.

NyXzOr ★★★★
()
Последнее исправление: NyXzOr (всего исправлений: 2)
Ответ на: комментарий от anc

Причём тут «гнало весь трафик через другое»? Не надо default route прописывать и всё, и я там даже такую опцию написал. Но это был не проект готового конфига а пример, если что.

firkax ★★★★★
()
Последнее исправление: firkax (всего исправлений: 1)
Ответ на: комментарий от watchcat382

yggdrasil

1. Не умеет прокидывать локальные сети без туннелей поверх

2. Нет автоматического поиска пиров. Будет отваливаться периодически

3. Нет механизма пробития NAT

4. Меньшая безопасность, чем у других решений с аутентификацией на основе ключей. Т.к. ключ обрезается до длины ipv6 адреса

5. При использовании публичных пиров надо корректно настраивать firewall

По итогу не надо натягивать сову на глобус. Этот проект хорош как публичная меш сеть.

Для создания приватных сетей для своих устройств полно решений типа zerotier, tailscale и ещё кучи самохостящихся

trulydeclarative
()
Ответ на: комментарий от s-warus

Тут только жаловаться провайдерам и в ркн. У меня все работает. Wireguard это просто протокол, ничем не хуже других. Внутри России его не должны блокировать, в этом нет смысла

trulydeclarative
()
Ответ на: комментарий от firkax

Не надо default route прописывать и всё, и я там даже такую опцию написал.

Написали:

и клиента типа такого
...
default_route yes

Но это был не проект готового конфига а пример, если что.

Видимо это пример из какой-то другой темы.

anc ★★★★★
()
Ответ на: комментарий от trulydeclarative

Нет механизма пробития NAT

А как у меня через сотового оператора работает?

Меньшая безопасность,

Можно подумать безопасность так сильно нужна для доступа к файлопомойке с фильмами.

Нет автоматического поиска пиров. Будет отваливаться периодически

Двух-трех штук прописывают явно,остальные вроде как сами ищутся.

watchcat382
()

В OpenWrt для связи между маршрутизаторами есть программа unetd - https://openwrt.org/docs/techref/unetd Описание возможностей выглядит очень интересно - работа через двойной NAT, автоматическая репликация настроек, но у меня не получилось с ее помощью сделать надежную связь между двумя сетями.

No ★★
()
Ответ на: комментарий от watchcat382

А как у меня через сотового оператора работает?

Через чужую ноду которую ты прописал в пирах. И две машины с серыми ip в разных географических точках напрямую у тебя трафик гонять не будут, только через публичных пиров.

В zero trust сетях типа zerotier/tailscale в первую очередь пробивается NAT, и только если это невозможно, то связь идёт через сторонний шлюз.

trulydeclarative
()
Ответ на: комментарий от unclestephen

Сложно доверять ChatGPT в нынешних реалиях, если он даже при написании курсача не помог мне с MySQL, поэтому сидел и методично сам разбирался Здесь решил просто поступить чуть проще и спросить знающих людей, ибо с VPN кроме как аппки на телефоне не сталкивался в принципе (и на работе тоже не используем, нет необходимости, всё довольно консервативно и на WinServ2003-2008 вообще)

В общем всё равно пришёл к выводу что стоит проштудировать всё самостоятельно, и понял что в моём случае лучшим вариантом будет заменить хотя бы один роутер на что-нибудь, поддерживающее OpenVPN клиент, ибо на арчере можно реализовать только сервер, и лучше даже делать это на родной прошивке по всей видимости

Поскольку квартиры в рамках одного города, вроде как и не блокирует никто и ничего, то OpenVPN подойдёт

Если будут какие-то проблемы, то наверное займусь L2TP/ipsec, это как минимум интересно и познавательно

Дикой необходимости в реализации описанной мною забавы в данный момент - нет, поскольку сам сервер ещё в состоянии апгрейда и переформирования под полноценный NAS, так что и на подумать время есть, и на разобраться, в целом, тоже, а в моём случае так это вообще дико полезно, ибо двигаться как-то всё-таки надо

Всем спасибо!

mitahich123
() автор топика
Ответ на: комментарий от anc

Что за дурацкие придирки? Это был пример того, как бы мог выглядеть (в плане синтаксиса) конфиг-файл нормальной реализации нужной проги. Я нигде не писал что вот конкретно этот конфиг - посимвольно - это решение проблемы автора, это был ответ исключительно на вопрос, почему плох l2tp/ipsec. Ты ещё скажи что у автора айпи-адрес не 1.2.3.4 и соответственно этот конфиг не подойдёт. Разумеется, там могут быть и другие настройки опций, и другие названия опций, и даже какие-то другие опции которые я не написал, но в рамках общей показанной идеологии. Да и программы, которая принимает конфиг а таком формате, если что, не существует, повторю, это пример как бы она могла выглядеть.

firkax ★★★★★
()
Ответ на: комментарий от a1ba

Ну не скажи. МГТС например по дефолту даёт.

Не знаю что там у вас МГТС дает, у меня было вот так:

После пяти звонков в ТП, наконец-то соединили хоть с кем-то кто знал что такое ipv6. Остальные говорили что у них такого нет, и быть не может. На шестой раз ответили что у них эта услуга тестовая, и что они, внезапно, НАТят ipv6 (выдают адреса fe80::) и не дают реальных адресов. И более того, они заявляют что если я у них покупаю белый ipv4, то ipv6 мне не положен. Как это связано никто в ТП так и не смог ответить.

З.Ы. Было это примерно полгода назад.

mergood
()
Ответ на: комментарий от anonymous

Чтобы ты не надрывался подумай что такое «серый» айпи. По сути это тот же белый из списка адресов, которые выкупил провайдер под свой домен, вот только тебе его дают динамически и требуют денег за ничегонеделание с белым айпишником. Вот тебе и бред с манерами каннибалов. За белый айпи заплати, за раздачу заплати - это выдумки каннибалов, а не людей.

anonymous
()
Ответ на: комментарий от no-such-file

Начать с провайдера. Дальше в роскомнадзор, внезапно.

ISP справедливо ответит, что проблемы на удаленном узле (обращайтесь туда).
Хорошо, возьмем ТП хостера: на основании какого документа или закона они обязаны решать проблемы, потенциально связанные с РКН? AFAIK такой обязанности регулятор ни на хостеров, ни на ISP не наложил.

Дальше в роскомнадзор, внезапно.

Очень внезапно. Представим себе, что каждый пользователь интернета при любых неполадках будет обращаться в РКН. Очевидно это неработоспособное решение. Пользователю следует обращаться к поставщику услуг, где квалифицированный специалист произведет первичный анализ проблемы и при необходимости сформирует запрос в РКН. Но если у поставщика услуг такой обязанности (по договору или закону) нет, то заниматься таким он не будет.

MirandaUser2
()
Ответ на: комментарий от MirandaUser2

каждый пользователь интернета при любых неполадках будет обращаться в РКН

А в чём проблема? Это такое же ведомство как и любое другое. И почему при любых? Ты тупой или специально передёргиваешь? Я тебе русским языком сказал сначала к провайдеру. Но вроде бы эту часть ты понял, значит не совсем тупой.

Пользователю следует обращаться к поставщику услуг

ISP справедливо ответит

Ты уже как-то определись в какую сторону воюешь. То у тебя провайдер пошлёт подальше, то через абзац ты повторяешь ровно то, что я и предложил.

если у поставщика услуг такой обязанности (по договору или закону) нет

А что, другие формы управления и взаимодействия кроме как из-под палки тебе не знакомы?

no-such-file ★★★★★
()
Ответ на: комментарий от firkax

Что за дурацкие придирки? Это был пример того, как бы мог выглядеть (в плане синтаксиса) конфиг-файл нормальной реализации нужной проги.

Я художник, я так вижу...
Ясно.

anc ★★★★★
()
Ответ на: комментарий от NyXzOr

L2TP/ipsec, это как минимум интересно и познавательно

и устарело несколько лет назад

Устарело в каком именно месте? Вот беру в руки смаратафон одной фруктовой компании произведенный 4-е года назад, варианты VPN: IKEv2, IPsec и L2TP, на этом как бэ всё.

anc ★★★★★
()
Ответ на: комментарий от MagicMirror

Чего нет? Айпи адреса закупаются в определенном диапазоне и в нем же и выдаются, а не просто от балды - именно так банят к примеру китайские ботнеты. Просто кому-то хочется закрыть глаза на правду что им сознательно чего-то недодают.

anonymous
()
Ответ на: комментарий от anonymous

Серый/белый адрес никак с его динамичностью не связаны, это другое. Серый адрес как раз не из закупленных адресов, из интернета его напрямую не видно.

firkax ★★★★★
()
Последнее исправление: firkax (всего исправлений: 1)