{"id":468253,"date":"2025-07-22T21:00:09","date_gmt":"2025-07-22T21:00:09","guid":{"rendered":"http:\/\/savepearlharbor.com\/?p=468253"},"modified":"-0001-11-30T00:00:00","modified_gmt":"-0001-11-29T21:00:00","slug":"","status":"publish","type":"post","link":"https:\/\/savepearlharbor.com\/?p=468253","title":{"rendered":"\u0427. 2 \u2014 \u0414\u0430\u043b\u044c\u043d\u043e\u0431\u043e\u0439\u043d\u044b\u0439 Wi-Fi. \u0420\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044f \u0438\u043d\u0442\u0435\u0440\u043d\u0435\u0442 \u0448\u043b\u044e\u0437\u0430 \u043d\u0430 \u0431\u0430\u0437\u0435 Debian 12<\/span>"},"content":{"rendered":"
<\/div>\n
\n
\n
\n
\n

\u0427. 1 \u2014 \u0414\u0430\u043b\u044c\u043d\u043e\u0431\u043e\u0439\u043d\u044b\u0439 Wi-Fi. \u0412\u044b\u0431\u043e\u0440 \u0430\u043f\u043f\u0430\u0440\u0430\u0442\u043d\u043e\u0433\u043e \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0435\u043d\u0438\u044f.<\/a><\/p>\n\n

\u0421\u0442\u0430\u0442\u044c\u044f \u0435\u0449\u0451 \u043d\u0435 \u0434\u043e\u043f\u0438\u0441\u0430\u043d\u0430!!!<\/p>\n

\u0412 \u043c\u043e\u0451\u043c \u0441\u0446\u0435\u043d\u0430\u0440\u0438\u0438 WPA2 \u043e\u0442\u043a\u043b\u044e\u0447\u0435\u043d, \u0434\u043b\u044f \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u0438 \u0432\u044b\u0434\u0430\u0447\u0438 \u0434\u043e\u0441\u0442\u0443\u043f\u0430 \u043a \u0438\u043d\u0442\u0435\u0440\u043d\u0435\u0442\u0443 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f openvpn, \u043d\u043e \u043f\u0440\u0438 \u044d\u0442\u043e\u043c \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u0438\u043c\u0435\u044e\u0442 \u0434\u043e\u0441\u0442\u0443\u043f \u043a \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u044b\u043c \u0440\u0435\u0441\u0443\u0440\u0441\u0430\u043c \u0438 \u043c\u043e\u0433\u0443\u0442 \u0432\u0437\u0430\u0438\u043c\u043e\u0434\u0435\u0439\u0441\u0442\u0432\u043e\u0432\u0430\u0442\u044c \u0432\u043d\u0443\u0442\u0440\u0438 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e\u0439 \u0441\u0435\u0442\u0438. <\/p>\n

\u041d\u0430 \u0442\u043e\u0447\u043a\u0435 \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e \u043e\u0442\u043a\u043b\u044e\u0447\u0438\u0442\u044c \u0432\u0441\u0442\u0440\u043e\u0435\u043d\u043d\u044b\u0435 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 dhcp \u0438 dns.<\/p>\n

\u041d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0430 \u0441\u0435\u0442\u0435\u0432\u044b\u0445 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u043e\u0432<\/h2>\n

\u041f\u0440\u0438 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u0438\u0445 \u0441\u0435\u0442\u0435\u0432\u044b\u0445 \u043a\u0430\u0440\u0442\u0430\u0445 \u0432\u043e\u0437\u043d\u0438\u043a\u0430\u0435\u0442 \u0441\u0438\u0442\u0443\u0430\u0446\u0438\u044f \u043a\u043e\u0433\u0434\u0430 \u0441\u0438\u0441\u0442\u0435\u043c\u0430 \u043d\u0435 \u043f\u043e\u043d\u0438\u043c\u0430\u0435\u0442 \u043a \u043a\u0430\u043a\u043e\u043c\u0443 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u0443 \u043e\u0431\u0440\u0430\u0449\u0430\u0442\u044c\u0441\u044f \u0437\u0430 \u0438\u043d\u0442\u0435\u0440\u043d\u0435\u0442\u043e\u043c. \u0414\u043b\u044f \u0442\u043e\u0433\u043e \u0447\u0442\u043e \u0431\u044b \u0438\u0441\u043f\u0440\u0430\u0432\u0438\u0442\u044c \u044d\u0442\u043e \u043d\u0430\u043c \u043d\u0430\u0434\u043e \u0443\u043a\u0430\u0437\u0430\u0442\u044c \u043c\u0430\u0440\u0448\u0440\u0443\u0442 \u0438 \u043c\u0435\u0442\u0440\u0438\u043a\u0443. \u0427\u0435\u043c \u0431\u043e\u043b\u044c\u0448\u0435 \u0447\u0438\u0441\u043b\u043e \u043c\u0435\u0442\u0440\u0438\u043a\u0438, \u0442\u0435\u043c \u043c\u0435\u043d\u044c\u0448\u0435 \u043f\u0440\u0438\u043e\u0440\u0438\u0442\u0435\u0442 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u0430. \u0412 \u0434\u0430\u043d\u043d\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u0434\u043b\u044f WAN \u043e\u043d 10, \u0430 \u0434\u043b\u044f LAN 5000.<\/p>\n

\u0423\u0437\u043d\u0430\u0451\u043c \u0438\u043c\u0435\u043d\u0430 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u043e\u0432 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u043a\u043e\u043c\u0430\u043d\u0434\u044b<\/p>\n

ip a<\/em><\/p>\n

\u041a\u043e\u043c\u0430\u043d\u0434\u0430 post-up \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0435 \u043f\u043e\u0441\u043b\u0435 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u0430.<\/p>\n

## \/etc\/network\/interfaces  source \/etc\/network\/interfaces.d\/*  auto lo iface lo inet loopback  # WAN allow-hotplug enp1s0 iface enp1s0 inet dhcp         post-up sh -c 'ip route del default || true; ip route add default via 192.168.1.1 dev enp1s0 metric 10'          post-up sh -c 'echo \"nameserver 9.9.9.9\" > \/etc\/resolv.conf'  # \u0424\u0438\u043a\u0441 \u043f\u0435\u0440\u0435\u0437\u0430\u043f\u0438\u0441\u0438 resolv \u0434\u043e\u043b\u0431\u0430\u043d\u043d\u044b\u043c systemd-resolved  # LAN auto enp3s0 iface enp3s0 inet static         address 192.168.2.1         netmask 255.255.255.0         dns-nameservers 192.168.2.1         metric 5000          post-up \/usr\/local\/bin\/ciadpi -D --ip 192.168.2.1 --port 1080 --tfo -s1 -q1 -Y -Ar -s5 -o1+s -At -f-1 -r1+s -As --tlsrec 3+s -b+300 --fake-sni \"www.vk.com\" --ttl 65<\/code><\/pre>\n
\u041d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0430 SSH<\/h2>\n
\u0413\u0435\u043d\u0435\u0440\u0430\u0446\u0438\u044f \u043a\u043b\u044e\u0447\u0435\u0439 ssh<\/p>\n
sudo ssh-keygen -t ed25519 -f \/etc\/ssh\/ssh_host_ed25519_key -N »
sudo ssh-keygen -t ecdsa -b 521 -f \/etc\/ssh\/ssh_host_ecdsa_key -N »
sudo ssh-keygen -t rsa -b 4096 -f \/etc\/ssh\/ssh_host_rsa_key -N »<\/em><\/p>\n
## \/etc\/ssh\/sshd_config  Port 2222 ListenAddress 0.0.0.0  # \u041a\u043b\u044e\u0447\u0438 \u0445\u043e\u0441\u0442\u0430 (\u0441\u0435\u0440\u0432\u0435\u0440\u043d\u044b\u0435) HostKey \/etc\/ssh\/ssh_host_ed25519_key HostKey \/etc\/ssh\/ssh_host_ecdsa_key HostKey \/etc\/ssh\/ssh_host_rsa_key  # RSA 4096  # \u0410\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u044f #PubkeyAuthentication yes         PubkeyAuthentication no           # \u042f\u0432\u043d\u043e\u0435 \u043e\u0442\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u043f\u043e \u043a\u043b\u044e\u0447\u0430\u043c  PasswordAuthentication yes        # \u0420\u0430\u0437\u0440\u0435\u0448\u0430\u0435\u043c \u0442\u043e\u043b\u044c\u043a\u043e \u043f\u0430\u0440\u043e\u043b\u044c\u043d\u0443\u044e \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u044e  #ChallengeResponseAuthentication yes ChallengeResponseAuthentication no  # \u041e\u0442\u043a\u043b\u044e\u0447\u0430\u0435\u043c \u0438\u043d\u0442\u0435\u0440\u0430\u043a\u0442\u0438\u0432\u043d\u044b\u0435 \u0432\u044b\u0437\u043e\u0432\u044b  #KbdInteractiveAuthentication yes KbdInteractiveAuthentication no     # \u041e\u0442\u043a\u043b\u044e\u0447\u0430\u0435\u043c \u0438\u043d\u0442\u0435\u0440\u0430\u043a\u0442\u0438\u0432\u043d\u0443\u044e \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u044e (kbd-interactive)  PermitRootLogin no                  # \u0417\u0430\u043f\u0440\u0435\u0442 \u0432\u0445\u043e\u0434\u0430 \u043f\u043e\u0434 root \u043f\u043e SSH  # \u0428\u0438\u0444\u0440\u044b (ciphers) \u2014 \u0431\u0430\u043b\u0430\u043d\u0441 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0438 \u0441\u043e\u0432\u043c\u0435\u0441\u0442\u0438\u043c\u043e\u0441\u0442\u0438 Ciphers chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes256-ctr,aes192-ctr,aes128-ctr  # MAC \u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c\u044b MACs hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-sha1-etm@openssh.com  # \u0410\u043b\u0433\u043e\u0440\u0438\u0442\u043c\u044b \u043e\u0431\u043c\u0435\u043d\u0430 \u043a\u043b\u044e\u0447\u0430\u043c\u0438 (Kex) KexAlgorithms curve25519-sha256,curve25519-sha256@libssh.org,diffie-hellman-group-exchange-sha256,diffie-hellman-group14-sha1  # \u041e\u0433\u0440\u0430\u043d\u0438\u0447\u0435\u043d\u0438\u0435 \u043f\u043e \u0432\u0440\u0435\u043c\u0435\u043d\u0438 \u0438 \u043e\u0431\u044a\u0451\u043c\u0443 \u0434\u043b\u044f \u0441\u043c\u0435\u043d\u044b \u043a\u043b\u044e\u0447\u0430 \u0441\u0435\u0441\u0441\u0438\u0438 (Forward Secrecy) RekeyLimit 1G 1h  # \u041b\u043e\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 SyslogFacility AUTH LogLevel VERBOSE  # \u041e\u0442\u043a\u043b\u044e\u0447\u0430\u0435\u043c DNS-\u043e\u0431\u0440\u0430\u0442\u043d\u044b\u0435 \u0437\u0430\u043f\u0440\u043e\u0441\u044b \u0434\u043b\u044f \u0443\u0441\u043a\u043e\u0440\u0435\u043d\u0438\u044f \u0438 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 UseDNS no  # \u0420\u0430\u0437\u0440\u0435\u0448\u0430\u0435\u043c \u0444\u043e\u0440\u0432\u0430\u0440\u0434\u0438\u043d\u0433 TCP \u0438 \u043f\u043e\u0440\u0442\u044b AllowTcpForwarding yes GatewayPorts yes  # \u041e\u0442\u043a\u043b\u044e\u0447\u0430\u0435\u043c X11 \u0444\u043e\u0440\u0432\u0430\u0440\u0434\u0438\u043d\u0433 \u2014 \u0441\u043d\u0438\u0436\u0430\u0435\u0442 \u0440\u0438\u0441\u043a \u0430\u0442\u0430\u043a X11Forwarding no  # \u041f\u043e\u0434\u0441\u0438\u0441\u0442\u0435\u043c\u0430 SFTP \u043e\u0442\u043a\u043b\u044e\u0447\u0435\u043d\u0430 #Subsystem sftp \/usr\/lib\/openssh\/sftp-server Subsystem sftp \/bin\/false  # \u0421\u0436\u0430\u0442\u0438\u0435 \u0434\u0430\u043d\u043d\u044b\u0445 \u043e\u0442\u043a\u043b\u044e\u0447\u0435\u043d\u043e (\u043b\u0443\u0447\u0448\u0435 \u0434\u043b\u044f \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438) Compression no  # \u0423\u0434\u0435\u0440\u0436\u0430\u043d\u0438\u0435 \u0436\u0438\u0432\u043e\u0433\u043e \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f \u0438 \u0442\u0430\u0439\u043c\u0430\u0443\u0442\u044b TCPKeepAlive yes ClientAliveInterval 300 ClientAliveCountMax 3  # \u0418\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c PAM (\u043f\u0440\u0438 \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e\u0441\u0442\u0438) UsePAM yes<\/code><\/pre>\n
\u041d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0430 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u0432 \u044f\u0434\u0440\u0430<\/h2>\n
## \/etc\/sysctl.conf  # --- \u041e\u0441\u043d\u043e\u0432\u043d\u043e\u0435 (\u043c\u0430\u0440\u0448\u0440\u0443\u0442\u0438\u0437\u0430\u0446\u0438\u044f, NAT, \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0441\u0442\u044c) --- net.ipv4.ip_forward = 1  # --- \u041d\u0430\u0434\u0435\u0436\u043d\u043e\u0441\u0442\u044c TCP \u0438 \u0437\u0430\u0449\u0438\u0442\u0430 --- net.ipv4.tcp_syncookies = 1                               # \u0417\u0430\u0449\u0438\u0442\u0430 \u043e\u0442 SYN flood net.ipv4.tcp_rfc1337 = 1                                  # \u0417\u0430\u0449\u0438\u0442\u0430 \u043e\u0442 TIME_WAIT spoofing net.ipv4.tcp_fin_timeout = 10  # --- \u0411\u044b\u0441\u0442\u0440\u043e\u0435 \u043e\u0442\u043a\u0440\u044b\u0442\u0438\u0435 TCP-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u0439 (TFO) --- net.ipv4.tcp_fastopen = 3                                 # \u041a\u043b\u0438\u0435\u043d\u0442 \u0438 \u0441\u0435\u0440\u0432\u0435\u0440   # --- \u0411\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c \u0438 \u0444\u0438\u043b\u044c\u0442\u0440\u0430\u0446\u0438\u044f --- net.ipv4.conf.all.rp_filter = 2                            # \u0423\u0441\u0438\u043b\u0435\u043d\u043d\u044b\u0439 \u0430\u043d\u0442\u0438\u0441\u043f\u0443\u0444\u0438\u043d\u0433 (strict mode) net.ipv4.conf.default.rp_filter = 2  net.ipv4.conf.all.accept_redirects = 0                     # \u041e\u0442\u043a\u043b\u044e\u0447\u0430\u0435\u043c ICMP redirect net.ipv4.conf.default.accept_redirects = 0  net.ipv4.conf.all.send_redirects = 0                       # \u041d\u0435 \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0442\u044c ICMP redirect net.ipv4.conf.default.send_redirects = 0  net.ipv4.conf.all.accept_source_route = 0                  # \u041e\u0442\u043a\u043b\u044e\u0447\u0430\u0435\u043c source routing net.ipv4.conf.default.accept_source_route = 0   # --- \u041e\u0433\u0440\u0430\u043d\u0438\u0447\u0435\u043d\u0438\u0435 ICMP (\u0437\u0430\u0449\u0438\u0442\u0430 \u043e\u0442 DoS) --- net.ipv4.icmp_echo_ignore_broadcasts = 1                   # \u0418\u0433\u043d\u043e\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 broadcast ping  # --- \u041e\u043f\u0442\u0438\u043c\u0438\u0437\u0430\u0446\u0438\u044f TCP --- net.ipv4.tcp_abort_on_overflow = 1                          # \u0411\u044b\u0441\u0442\u0440\u043e \u0441\u0431\u0440\u0430\u0441\u044b\u0432\u0430\u0442\u044c \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f \u043f\u0440\u0438 \u043f\u0435\u0440\u0435\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0438 \u043e\u0447\u0435\u0440\u0435\u0434\u0438 net.ipv4.tcp_mtu_probing = 1                                # \u0410\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u043e\u0435 \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u0438\u0435 MTU (\u043f\u043e\u043c\u043e\u0433\u0430\u0435\u0442 \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0430\u043c \u0441 VPN\/NAT) net.ipv4.tcp_timestamps = 1                                 # \u0412\u043a\u043b\u044e\u0447\u0438\u0442\u044c TCP timestamps (\u0443\u043b\u0443\u0447\u0448\u0435\u043d\u043d\u0430\u044f \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0441\u0442\u044c)   # --- \u0421\u043e\u0432\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0439 congestion control net.core.default_qdisc = fq                                  net.ipv4.tcp_congestion_control = bbr <\/code><\/pre>\n
\u041d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0430 DHCP (\u0432\u044b\u0434\u0430\u0447\u0430 ip-\u0430\u0434\u0440\u0435\u0441\u043e\u0432)<\/h2>\n
\u0423\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0430<\/p>\n
apt install isc-dhcp-server<\/em><\/p>\n
\u041a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u044f<\/p>\n
## \/etc\/dhcp\/dhcpd.conf  option captive-portal code 160 = text; option captive-portal \"http:\/\/freedom.local\";  default-lease-time 600; max-lease-time 7200;  ddns-update-style none;  subnet 192.168.2.0 netmask 255.255.255.0 {   range 192.168.2.1 192.168.2.254;   option domain-name-servers 192.168.2.1;   option domain-name \"freedom.local\";   option routers 192.168.2.1;   option broadcast-address 192.168.2.255;   default-lease-time 600;   max-lease-time 7200; }<\/code><\/pre>\n
\u0412\u044b\u0431\u043e\u0440 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u0430 \u0440\u0430\u0437\u0434\u0430\u0447\u0438 \u0430\u0434\u0440\u0435\u0441\u043e\u0432  <\/p>\n
## \/etc\/default\/isc-dhcp-server  INTERFACESv4=\"enp3s0\" INTERFACESv6=\"\"<\/code><\/pre>\n
\u041d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0430 \u043f\u0440\u043e\u0441\u0442\u043e\u0433\u043e DNS \u0441\u0435\u0440\u0432\u0435\u0440\u0430 \u0441 \u0430\u043f\u0441\u0442\u0440\u0438\u043c\u043e\u043c dnscrypt (DoH)<\/h2>\n
\u0423\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0430<\/p>\n
apt install dnsmasq<\/em><\/p>\n
\u0410\u043a\u0442\u0443\u0430\u043b\u044c\u043d\u044b\u0439 \u0431\u0438\u043b\u0434 dnscrypt \u043c\u043e\u0436\u043d\u043e \u0432\u0437\u044f\u0442\u044c \u0442\u0443\u0442 <\/em>https:\/\/github.com\/DNSCrypt\/dnscrypt-proxy<\/a><\/p>\n
\u0412\u043e\u0437\u044c\u043c\u0438\u0442\u0435 \u0437\u0430 \u043f\u0440\u0438\u0432\u044b\u0447\u043a\u0443 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u0441\u043a\u0438\u0435 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u044b \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0431\u044b\u043b\u0438 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u044b \u0432\u0440\u0443\u0447\u043d\u0443\u044e \u0440\u0430\u0437\u043c\u0435\u0449\u0430\u0442\u044c \u043b\u0438\u0431\u043e \u0432 \/usr\/local, \u043b\u0438\u0431\u043e \u0432 \/opt<\/p>\n
\u041a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u044f dnsmasq<\/p>\n
## \/etc\/dnsmasq.conf  port=53  # \u041d\u0435 \u043f\u0435\u0440\u0435\u0441\u044b\u043b\u0430\u0442\u044c \u0437\u0430\u043f\u0440\u043e\u0441\u044b \u0431\u0435\u0437 \u0434\u043e\u043c\u0435\u043d\u043d\u043e\u0433\u043e \u0438\u043c\u0435\u043d\u0438 (\u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u043f\u0440\u043e\u0441\u0442\u043e \"localhost\") domain-needed  # \u041f\u0440\u0438\u0432\u044f\u0437\u044b\u0432\u0430\u0442\u044c dnsmasq \u0442\u043e\u043b\u044c\u043a\u043e \u043a \u0443\u043a\u0430\u0437\u0430\u043d\u043d\u044b\u043c \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u0430\u043c, \u0447\u0442\u043e\u0431\u044b \u043d\u0435 \u0441\u043b\u0443\u0448\u0430\u0442\u044c \u043d\u0430 \u0432\u0441\u0435\u0445 bind-interfaces  # \u041d\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u044b\u0439 \u0444\u0430\u0439\u043b \/etc\/resolv.conf \u0434\u043b\u044f \u043f\u043e\u0438\u0441\u043a\u0430 upstream DNS-\u0441\u0435\u0440\u0432\u0435\u0440\u043e\u0432 no-resolv  # \u0417\u0430\u0449\u0438\u0442\u0430 \u043e\u0442 DNS rebind-\u0430\u0442\u0430\u043a \u2014 \u0431\u043b\u043e\u043a\u0438\u0440\u0443\u0435\u0442 \u043e\u0442\u0432\u0435\u0442\u044b \u0441 \u043f\u043e\u0434\u043e\u0437\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u043c\u0438 IP-\u0430\u0434\u0440\u0435\u0441\u0430\u043c\u0438 stop-dns-rebind  # \u0416\u0451\u0441\u0442\u043a\u043e \u043d\u0430\u0437\u043d\u0430\u0447\u0438\u0442\u044c \u0434\u043e\u043c\u0435\u043d freedom.net \u043d\u0430 IP-\u0430\u0434\u0440\u0435\u0441 192.168.2.1 address=\/freedom.net\/192.168.2.1  # \u0416\u0451\u0441\u0442\u043a\u043e \u043d\u0430\u0437\u043d\u0430\u0447\u0438\u0442\u044c \u0434\u043e\u043c\u0435\u043d freedom.local \u043d\u0430 IP-\u0430\u0434\u0440\u0435\u0441 192.168.2.1 address=\/freedom.local\/192.168.2.1  # \u0418\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u044b\u0439 DNSCrypt \u0441\u0435\u0440\u0432\u0435\u0440 \u043d\u0430 127.0.0.1:5353 \u043a\u0430\u043a upstream DNS server=127.0.0.1#5353  # \u0412\u0430\u0440\u0438\u0430\u043d\u0442: \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u043f\u0443\u0431\u043b\u0438\u0447\u043d\u044b\u0439 DNS-\u0441\u0435\u0440\u0432\u0435\u0440 Quad9 # server=9.9.9.9  # \u0421\u043b\u0443\u0448\u0430\u0442\u044c DNS-\u0437\u0430\u043f\u0440\u043e\u0441\u044b \u043d\u0430 \u0441\u0435\u0442\u0435\u0432\u043e\u043c \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u0435 enp3s0 interface=enp3s0  # dnsmasq \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u0442\u043e\u043b\u044c\u043a\u043e \u043a\u0430\u043a DNS no-dhcp-interface=*<\/code><\/pre>\n
\u041a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u044f DNSCrypt<\/p>\n
\/\/<\/code><\/pre>\n
\u041d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0430 OpenVPN \u0434\u043b\u044f \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438<\/h2>\n
apt install openvpn<\/p>\n
\u041a\u0430\u0447\u0430\u0435\u043c\u00a0https:\/\/github.com\/OpenVPN\/easy-rsa\/<\/a><\/p>\n
\u041f\u0435\u0440\u0435\u0438\u043c\u0435\u043d\u043e\u0432\u044b\u0432\u0430\u0435\u043c vars.example \u0432 vars<\/p>\n
\u0418\u0437\u043c\u0435\u043d\u044f\u0435\u043c \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440 set_var EASYRSA_KEY_SIZE \u043d\u0430 4096<\/p>\n
\u0414\u0430\u0451\u043c \u043f\u0440\u0430\u0432\u0430 EasyRSA \u043d\u0430 \u0438\u0441\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0435:<\/p>\n
chmod +x easyrsa<\/p>\n
    \n
  1. \n
    .\/easy-rsa init-pki<\/p>\n<\/li>\n
  2. \n
    .\/easy-rsa build-ca<\/p>\n<\/li>\n
  3. \n
    .\/easy-rsa gen-req server nopass<\/p>\n<\/li>\n
  4. \n
    .\/easy-rsa sign-req server server<\/p>\n<\/li>\n
  5. \n
    .\/easy-rsa gen-dh<\/p>\n<\/li>\n
  6. \n
    openvpn —genkey secret \/etc\/openvpn\/server\/pki\/ta.key<\/p>\n<\/li>\n<\/ol>\n
    ## \/etc\/openvpn\/server \u0441\u0435\u0440\u0432\u0435\u0440\u043d\u0430\u044f \u0447\u0430\u0441\u0442\u044c  port 1192 proto tcp  # \u0412\u0438\u0440\u0442\u0443\u0430\u043b\u044c\u043d\u044b\u0439 \u0441\u0435\u0442\u0435\u0432\u043e\u0439 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441 TUN (\u0443\u0440\u043e\u0432\u0435\u043d\u044c IP) dev tun  # \u0421\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 \u0446\u0435\u043d\u0442\u0440\u0430 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 (CA) ca \/etc\/openvpn\/server\/pki\/ca.crt  # \u0421\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 \u0441\u0435\u0440\u0432\u0435\u0440\u0430 cert \/etc\/openvpn\/server\/pki\/issued\/server.crt  # \u0417\u0430\u043a\u0440\u044b\u0442\u044b\u0439 \u043a\u043b\u044e\u0447 \u0441\u0435\u0440\u0432\u0435\u0440\u0430 key \/etc\/openvpn\/server\/pki\/private\/server.key  # \u041f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u044b \u0414\u0438\u0444\u0444\u0438-\u0425\u0435\u043b\u043b\u043c\u0430\u043d\u0430 \u0434\u043b\u044f \u043a\u043b\u044e\u0447\u0435\u0432\u043e\u0433\u043e \u043e\u0431\u043c\u0435\u043d\u0430 dh \/etc\/openvpn\/server\/pki\/dh.pem  # \u041f\u043e\u0434\u0441\u0435\u0442\u044c VPN \u0438 \u043c\u0430\u0441\u043a\u0430 \u043f\u043e\u0434\u0441\u0435\u0442\u0438 (\u0432\u044b\u0434\u0430\u0447\u0430 IP \u043a\u043b\u0438\u0435\u043d\u0442\u0430\u043c) server 10.8.0.0 255.255.255.0  # \u0418\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u0442\u043e\u043f\u043e\u043b\u043e\u0433\u0438\u044e \u043f\u043e\u0434\u0441\u0435\u0442\u0438 (\u043e\u0434\u0438\u043d\u0430\u043a\u043e\u0432\u044b\u0439 \u043f\u0443\u043b IP \u0434\u043b\u044f \u0432\u0441\u0435\u0445 \u043a\u043b\u0438\u0435\u043d\u0442\u043e\u0432) topology subnet  # \u041f\u0435\u0440\u0435\u043d\u0430\u043f\u0440\u0430\u0432\u043b\u044f\u0442\u044c \u0432\u0435\u0441\u044c \u0442\u0440\u0430\u0444\u0438\u043a \u043a\u043b\u0438\u0435\u043d\u0442\u0430 \u0447\u0435\u0440\u0435\u0437 VPN (default route \u0447\u0435\u0440\u0435\u0437 VPN-\u0441\u0435\u0440\u0432\u0435\u0440) push \"redirect-gateway def1\"  # \u041d\u0430\u0441\u0442\u0440\u043e\u0438\u0442\u044c DNS \u043a\u043b\u0438\u0435\u043d\u0442\u0430 push \"dhcp-option DNS 192.168.2.1\"  # \u041c\u0438\u043d\u0438\u043c\u0430\u043b\u044c\u043d\u0430\u044f \u0432\u0435\u0440\u0441\u0438\u044f TLS \u0434\u043b\u044f \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0435\u043d\u0438\u044f \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 tls-version-min 1.2  # TLS-crypt \u043a\u043b\u044e\u0447 \u0434\u043b\u044f \u0437\u0430\u0449\u0438\u0442\u044b tls-crypt \/etc\/openvpn\/server\/pki\/ta.key  # \u0421\u043f\u0435\u0446\u0438\u0444\u0438\u0447\u0435\u0441\u043a\u0438\u0439 \u043d\u0430\u0431\u043e\u0440 TLS-\u0448\u0438\u0444\u0440\u043e\u0432 \u0434\u043b\u044f \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 tls-cipher TLS-ECDHE-ECDSA-WITH-AES-256-GCM-SHA384  # \u041a\u0430\u0447\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0435 \u0441\u043e\u0432\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0435 \u0448\u0438\u0444\u0440\u044b \u0434\u043b\u044f \u0434\u0430\u043d\u043d\u044b\u0445 data-ciphers AES-256-GCM:CHACHA20-POLY1305  # \u0410\u043b\u0433\u043e\u0440\u0438\u0442\u043c \u0445\u044d\u0448\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f (\u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u044f \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u0439) auth SHA256  # \u0421\u043e\u0445\u0440\u0430\u043d\u044f\u0442\u044c \u043a\u043b\u044e\u0447\u0438 \u043c\u0435\u0436\u0434\u0443 \u043f\u0435\u0440\u0435\u0437\u0430\u043f\u0443\u0441\u043a\u0430\u043c\u0438 \u0442\u0443\u043d\u043d\u0435\u043b\u044f persist-key  # \u0421\u043e\u0445\u0440\u0430\u043d\u044f\u0442\u044c \u0442\u0443\u043d\u043d\u0435\u043b\u044c\u043d\u043e\u0435 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u043e \u043c\u0435\u0436\u0434\u0443 \u0440\u0435\u0441\u0442\u0430\u0440\u0442\u0430\u043c\u0438 persist-tun  # \u0418\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u0438\u043c\u044f \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u043a\u0430\u043a common name \u043a\u043b\u0438\u0435\u043d\u0442\u0430 username-as-common-name  # \u041d\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0442\u044c \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u044b \u043a\u043b\u0438\u0435\u043d\u0442\u0430 (\u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u044f \u0447\u0435\u0440\u0435\u0437 username\/password) verify-client-cert none  # \u0421\u043a\u0440\u0438\u043f\u0442 \u0434\u043b\u044f \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u043b\u043e\u0433\u0438\u043d\u0430 \u0438 \u043f\u0430\u0440\u043e\u043b\u044f \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f auth-user-pass-verify \"\/usr\/bin\/php-cgi \/etc\/openvpn\/server\/verify.php\" via-file  # \u041f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0442\u044c \u0441\u043a\u0440\u0438\u043f\u0442\u044b \u0441 \u043c\u0430\u043a\u0441\u0438\u043c\u0430\u043b\u044c\u043d\u044b\u043c \u0443\u0440\u043e\u0432\u043d\u0435\u043c \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 script-security 3  # \u0411\u0435\u0437 \u043b\u043e\u0433\u043e\u0432 verb <\/code><\/pre>\n
    \u0414\u0430\u0451\u043c \u043f\u0440\u0430\u0432\u0430 \u043d\u0430 \u0438\u0441\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0435 \u0441\u043a\u0440\u0438\u043f\u0442\u0443<\/p>\n
    chmod +x verify.php<\/p>\n
    \/\/ \u0442\u0443\u0442 \u0434\u043e\u043b\u0436\u043d\u043e \u0431\u044b\u0442\u044c \u043f\u0440\u043e MariaDB \u0438 SQL<\/p>\n
    #!\/usr\/bin\/php-cgi  <?php  class Database {     private $pdo;      \/**      * \u041a\u043e\u043d\u0441\u0442\u0440\u0443\u043a\u0442\u043e\u0440 \u043a\u043b\u0430\u0441\u0441\u0430 Database.      *       * @param array $config \u041c\u0430\u0441\u0441\u0438\u0432 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u043a \u0411\u0414.      * @throws PDOException \u0415\u0441\u043b\u0438 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435 \u043a \u0411\u0414 \u043d\u0435 \u0443\u0434\u0430\u043b\u043e\u0441\u044c.      *\/     public function __construct(array $config) {         if (!isset($config['host'], $config['dbname'], $config['user'], $config['password'])) {             throw new InvalidArgumentException(\"\u041d\u0435\u0434\u043e\u0441\u0442\u0430\u0442\u043e\u0447\u043d\u043e \u0434\u0430\u043d\u043d\u044b\u0445 \u0434\u043b\u044f \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u043a \u0411\u0414\");         }          try {             $options = [                 PDO::MYSQL_ATTR_INIT_COMMAND => 'SET NAMES utf8mb4',                 PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,                 PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,                 PDO::ATTR_EMULATE_PREPARES => false,             ];             $this->pdo = new PDO(\"mysql:host={$config['host']};dbname={$config['dbname']};charset=utf8mb4\", $config['user'], $config['password'], $options);         } catch (PDOException $e) {             throw new PDOException(\"Database connection failed: \" . $e->getMessage());         }     }      \/**      * \u041f\u043e\u0434\u0433\u043e\u0442\u0430\u0432\u043b\u0438\u0432\u0430\u0435\u0442 \u0438 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442 SQL-\u0437\u0430\u043f\u0440\u043e\u0441.      *       * @param string $sql SQL-\u0437\u0430\u043f\u0440\u043e\u0441.      * @param array $params \u041f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u044b \u0437\u0430\u043f\u0440\u043e\u0441\u0430.      * @return PDOStatement \u041f\u043e\u0434\u0433\u043e\u0442\u043e\u0432\u043b\u0435\u043d\u043d\u044b\u0439 \u0438 \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u043d\u044b\u0439 \u0437\u0430\u043f\u0440\u043e\u0441.      *\/     public function query(string $sql, array $params = []): PDOStatement {         $stmt = $this->pdo->prepare($sql);         $stmt->execute($params);         return $stmt;     }      \/**      * \u0412\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442 SQL-\u0437\u0430\u043f\u0440\u043e\u0441 \u0438 \u0432\u043e\u0437\u0432\u0440\u0430\u0449\u0430\u0435\u0442 \u0432\u0441\u0435 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u044b.      *       * @param string $sql SQL-\u0437\u0430\u043f\u0440\u043e\u0441.      * @param array $params \u041f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u044b \u0437\u0430\u043f\u0440\u043e\u0441\u0430.      * @return array \u041c\u0430\u0441\u0441\u0438\u0432 \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u043e\u0432.      *\/     public function getAll(string $sql, array $params = []): array {         $stmt = $this->query($sql, $params);         return $stmt->fetchAll(PDO::FETCH_ASSOC);     } }  \/* $config = [     'host' => 'localhost',     'dbname' => 'mydatabase',     'user' => 'myuser',     'password' => 'mypassword', ];  \/\/ \u041f\u043e\u043a\u0430 \u0442\u043e\u043b\u044c\u043a\u043e \u043a\u043b\u0430\u0441\u0441 \u0440\u0430\u0431\u043e\u0442\u044b \u0441 mysql. \u041d\u0430\u0434\u043e \u0431\u043e\u043b\u0435\u0435 \u0442\u043e\u0447\u043d\u043e \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0438\u0442\u044c \u043a\u0430\u043a \u0432\u0435\u0434\u0451\u0442 \u0441\u0435\u0431\u044f openvpn. $db = new Database($config);  $sqlInsert = \"SELECT id, login, passwd FROM users WHERE login = :login\"; $paramsInsert = ['login' => 'testing']; $db->query($sqlInsert, $paramsInsert); *\/  ?><\/code><\/pre>\n
    # openvpn \u043a\u043b\u0438\u0435\u043d\u0442\u0441\u043a\u0430\u044f \u0447\u0430\u0441\u0442\u044c  client dev tun proto tcp remote 192.168.2.1 1192  resolv-retry infinite nobind  # \u0412\u0441\u0442\u0440\u043e\u0435\u043d\u043d\u044b\u0439 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 CA <ca> -----BEGIN CERTIFICATE----- (\u0442\u0435\u043a\u0441\u0442 \u0432\u0430\u0448\u0435\u0433\u043e ca.crt) -----END CERTIFICATE----- <\/ca>  remote-cert-tls server  persist-key persist-tun  auth-user-pass  tls-version-min 1.2  # \u0412\u0441\u0442\u0440\u043e\u0435\u043d\u043d\u044b\u0439 TLS-crypt \u043a\u043b\u044e\u0447 <tls-crypt> -----BEGIN OpenVPN Static key V1----- (\u0442\u0435\u043a\u0441\u0442 \u0432\u0430\u0448\u0435\u0433\u043e ta.key) -----END OpenVPN Static key V1----- <\/tls-crypt>  tls-cipher TLS-ECDHE-ECDSA-WITH-AES-256-GCM-SHA384 data-ciphers AES-256-GCM:CHACHA20-POLY1305 auth SHA256  verb 0<\/code><\/pre>\n
    \u041d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0430 \u043f\u0440\u0430\u0432\u0438\u043b nftables<\/h2>\n
    #!\/usr\/sbin\/nft -f  flush ruleset  define VPN = \"tun0\" define WAN = \"enp1s0\" define LAN = \"enp3s0\"  table inet filter {     chain input {         type filter hook input priority filter; policy drop;          # \u0420\u0430\u0437\u0440\u0435\u0448\u0430\u0435\u043c \u0432\u0435\u0441\u044c \u0442\u0440\u0430\u0444\u0438\u043a \u0441 loopback \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u0430         iifname \"lo\" accept;          # \u0420\u0430\u0437\u0440\u0435\u0448\u0430\u0435\u043c \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u043d\u044b\u0435 \u0438 \u0441\u0432\u044f\u0437\u0430\u043d\u043d\u044b\u0435 \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f         ct state {established, related} accept;          # ICMP echo-request (ping) \u0441 LAN \u0441 rate limit         iifname $LAN icmp type echo-request limit rate 5\/second burst 10 packets accept;          # # OpenVPN TCP 1194         iifname $LAN tcp dport 1194 accept;          # # SSH TCP 2222 \u0441 WAN \u0441 rate limiting \u0438 \u0442\u043e\u043b\u044c\u043a\u043e \u043d\u043e\u0432\u044b\u0435 \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f         iifname $WAN tcp dport 2222 ct state new limit rate 20\/second burst 30 packets accept;          # # HTTP \u0438 HTTPS TCP (80, 443)         tcp dport {80, 443} ct state new limit rate 30\/second burst 40 packets accept;          # # UDP 443 (QUIC)         udp dport 443 ct state new limit rate 40\/second burst 50 packets accept;          # # DNS UDP 53 \u043d\u0430 LAN \u0438 VPN \u0441 \u043e\u0433\u0440\u0430\u043d\u0438\u0447\u0435\u043d\u0438\u0435\u043c         iifname { $VPN, $LAN } udp dport 53 limit rate 30\/second burst 40 packets accept;          # # DNSCrypt-proxy UDP 5353 \u0441 lo \u0438 LAN         iifname { \"lo\", $LAN } udp dport 5353 accept;          # # ByeDPI - SOCKS5         iifname $VPN tcp dport 1080 accept;     }      chain output {         type filter hook output priority filter; policy accept;     }      chain forward {         type filter hook forward priority filter; policy drop;          # \u0420\u0430\u0437\u0440\u0435\u0448\u0430\u0435\u043c \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u043d\u044b\u0435 \u0438 \u0441\u0432\u044f\u0437\u0430\u043d\u043d\u044b\u0435 \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f         ct state {established, related} accept;          # \u0422\u0440\u0430\u0444\u0438\u043a VPN -> WAN (\u0438\u043d\u0442\u0435\u0440\u043d\u0435\u0442)         iifname $VPN oifname $WAN accept;          # \u0422\u0440\u0430\u0444\u0438\u043a WAN -> VPN         iifname $WAN oifname $VPN accept;     }   }  table ip nat {     chain prerouting {         type nat hook prerouting priority -100; policy accept;         # captive portal - \u043f\u0435\u0440\u0435\u043d\u0430\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u0435 \u043d\u0435\u0430\u0432\u0442\u043e\u0440\u0438\u0437\u043e\u0432\u0430\u043d\u043d\u044b\u0445 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439, \u043d\u0430 \u0434\u043e\u043c\u0430\u0448\u043d\u0438\u0439 \u0441\u0430\u0439\u0442         ip saddr 192.168.2.0\/24 tcp dport 80 redirect to 80;     }      chain postrouting {         type nat hook postrouting priority 100; policy accept;         # \u0414\u043e\u0441\u0442\u0443\u043f \u0432 \u0438\u043d\u0442\u0435\u0440\u043d\u0435\u0442 \u0430\u0432\u0442\u043e\u0440\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u043c         iifname $VPN oifname $WAN masquerade;     } }<\/code><\/pre>\n<\/div>\n<\/div>\n<\/div>\n
    <\/div>\n

     \u0441\u0441\u044b\u043b\u043a\u0430 \u043d\u0430 \u043e\u0440\u0438\u0433\u0438\u043d\u0430\u043b \u0441\u0442\u0430\u0442\u044c\u0438      https:\/\/habr.com\/ru\/articles\/930086\/<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"
    <\/div>\n
    \n
    \n
    \n
    \n
    \u0427. 1 \u2014 \u0414\u0430\u043b\u044c\u043d\u043e\u0431\u043e\u0439\u043d\u044b\u0439 Wi-Fi. \u0412\u044b\u0431\u043e\u0440 \u0430\u043f\u043f\u0430\u0440\u0430\u0442\u043d\u043e\u0433\u043e \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0435\u043d\u0438\u044f.<\/a><\/p>\n\n
     \u0421\u0442\u0430\u0442\u044c\u044f \u0435\u0449\u0451 \u043d\u0435 \u0434\u043e\u043f\u0438\u0441\u0430\u043d\u0430!!!<\/p>\n
    \u0412 \u043c\u043e\u0451\u043c \u0441\u0446\u0435\u043d\u0430\u0440\u0438\u0438 WPA2 \u043e\u0442\u043a\u043b\u044e\u0447\u0435\u043d, \u0434\u043b\u044f \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u0438 \u0432\u044b\u0434\u0430\u0447\u0438 \u0434\u043e\u0441\u0442\u0443\u043f\u0430 \u043a \u0438\u043d\u0442\u0435\u0440\u043d\u0435\u0442\u0443 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f openvpn, \u043d\u043e \u043f\u0440\u0438 \u044d\u0442\u043e\u043c \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u0438\u043c\u0435\u044e\u0442 \u0434\u043e\u0441\u0442\u0443\u043f \u043a \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u044b\u043c \u0440\u0435\u0441\u0443\u0440\u0441\u0430\u043c \u0438 \u043c\u043e\u0433\u0443\u0442 \u0432\u0437\u0430\u0438\u043c\u043e\u0434\u0435\u0439\u0441\u0442\u0432\u043e\u0432\u0430\u0442\u044c \u0432\u043d\u0443\u0442\u0440\u0438 \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u043e\u0439 \u0441\u0435\u0442\u0438. <\/p>\n
    \u041d\u0430 \u0442\u043e\u0447\u043a\u0435 \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e \u043e\u0442\u043a\u043b\u044e\u0447\u0438\u0442\u044c \u0432\u0441\u0442\u0440\u043e\u0435\u043d\u043d\u044b\u0435 \u0444\u0443\u043d\u043a\u0446\u0438\u0438 dhcp \u0438 dns.<\/p>\n
    \u041d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0430 \u0441\u0435\u0442\u0435\u0432\u044b\u0445 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u043e\u0432<\/h2>\n
    \u041f\u0440\u0438 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u0438\u0445 \u0441\u0435\u0442\u0435\u0432\u044b\u0445 \u043a\u0430\u0440\u0442\u0430\u0445 \u0432\u043e\u0437\u043d\u0438\u043a\u0430\u0435\u0442 \u0441\u0438\u0442\u0443\u0430\u0446\u0438\u044f \u043a\u043e\u0433\u0434\u0430 \u0441\u0438\u0441\u0442\u0435\u043c\u0430 \u043d\u0435 \u043f\u043e\u043d\u0438\u043c\u0430\u0435\u0442 \u043a \u043a\u0430\u043a\u043e\u043c\u0443 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u0443 \u043e\u0431\u0440\u0430\u0449\u0430\u0442\u044c\u0441\u044f \u0437\u0430 \u0438\u043d\u0442\u0435\u0440\u043d\u0435\u0442\u043e\u043c. \u0414\u043b\u044f \u0442\u043e\u0433\u043e \u0447\u0442\u043e \u0431\u044b \u0438\u0441\u043f\u0440\u0430\u0432\u0438\u0442\u044c \u044d\u0442\u043e \u043d\u0430\u043c \u043d\u0430\u0434\u043e \u0443\u043a\u0430\u0437\u0430\u0442\u044c \u043c\u0430\u0440\u0448\u0440\u0443\u0442 \u0438 \u043c\u0435\u0442\u0440\u0438\u043a\u0443. \u0427\u0435\u043c \u0431\u043e\u043b\u044c\u0448\u0435 \u0447\u0438\u0441\u043b\u043e \u043c\u0435\u0442\u0440\u0438\u043a\u0438, \u0442\u0435\u043c \u043c\u0435\u043d\u044c\u0448\u0435 \u043f\u0440\u0438\u043e\u0440\u0438\u0442\u0435\u0442 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u0430. \u0412 \u0434\u0430\u043d\u043d\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435 \u0434\u043b\u044f WAN \u043e\u043d 10, \u0430 \u0434\u043b\u044f LAN 5000.<\/p>\n
    \u0423\u0437\u043d\u0430\u0451\u043c \u0438\u043c\u0435\u043d\u0430 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u043e\u0432 \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u043a\u043e\u043c\u0430\u043d\u0434\u044b<\/p>\n
    ip a<\/em><\/p>\n
    \u041a\u043e\u043c\u0430\u043d\u0434\u0430 post-up \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0435\u0442 \u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0435 \u043f\u043e\u0441\u043b\u0435 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u0430.<\/p>\n
    ## \/etc\/network\/interfaces  source \/etc\/network\/interfaces.d\/*  auto lo iface lo inet loopback  # WAN allow-hotplug enp1s0 iface enp1s0 inet dhcp         post-up sh -c 'ip route del default || true; ip route add default via 192.168.1.1 dev enp1s0 metric 10'          post-up sh -c 'echo \"nameserver 9.9.9.9\" > \/etc\/resolv.conf'  # \u0424\u0438\u043a\u0441 \u043f\u0435\u0440\u0435\u0437\u0430\u043f\u0438\u0441\u0438 resolv \u0434\u043e\u043b\u0431\u0430\u043d\u043d\u044b\u043c systemd-resolved  # LAN auto enp3s0 iface enp3s0 inet static         address 192.168.2.1         netmask 255.255.255.0         dns-nameservers 192.168.2.1         metric 5000          post-up \/usr\/local\/bin\/ciadpi -D --ip 192.168.2.1 --port 1080 --tfo -s1 -q1 -Y -Ar -s5 -o1+s -At -f-1 -r1+s -As --tlsrec 3+s -b+300 --fake-sni \"www.vk.com\" --ttl 65<\/code><\/pre>\n
    \u041d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0430 SSH<\/h2>\n
    \u0413\u0435\u043d\u0435\u0440\u0430\u0446\u0438\u044f \u043a\u043b\u044e\u0447\u0435\u0439 ssh<\/p>\n
    sudo ssh-keygen -t ed25519 -f \/etc\/ssh\/ssh_host_ed25519_key -N »
    sudo ssh-keygen -t ecdsa -b 521 -f \/etc\/ssh\/ssh_host_ecdsa_key -N »
    sudo ssh-keygen -t rsa -b 4096 -f \/etc\/ssh\/ssh_host_rsa_key -N »<\/em><\/p>\n
    ## \/etc\/ssh\/sshd_config  Port 2222 ListenAddress 0.0.0.0  # \u041a\u043b\u044e\u0447\u0438 \u0445\u043e\u0441\u0442\u0430 (\u0441\u0435\u0440\u0432\u0435\u0440\u043d\u044b\u0435) HostKey \/etc\/ssh\/ssh_host_ed25519_key HostKey \/etc\/ssh\/ssh_host_ecdsa_key HostKey \/etc\/ssh\/ssh_host_rsa_key  # RSA 4096  # \u0410\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u044f #PubkeyAuthentication yes         PubkeyAuthentication no           # \u042f\u0432\u043d\u043e\u0435 \u043e\u0442\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u043f\u043e \u043a\u043b\u044e\u0447\u0430\u043c  PasswordAuthentication yes        # \u0420\u0430\u0437\u0440\u0435\u0448\u0430\u0435\u043c \u0442\u043e\u043b\u044c\u043a\u043e \u043f\u0430\u0440\u043e\u043b\u044c\u043d\u0443\u044e \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u044e  #ChallengeResponseAuthentication yes ChallengeResponseAuthentication no  # \u041e\u0442\u043a\u043b\u044e\u0447\u0430\u0435\u043c \u0438\u043d\u0442\u0435\u0440\u0430\u043a\u0442\u0438\u0432\u043d\u044b\u0435 \u0432\u044b\u0437\u043e\u0432\u044b  #KbdInteractiveAuthentication yes KbdInteractiveAuthentication no     # \u041e\u0442\u043a\u043b\u044e\u0447\u0430\u0435\u043c \u0438\u043d\u0442\u0435\u0440\u0430\u043a\u0442\u0438\u0432\u043d\u0443\u044e \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u044e (kbd-interactive)  PermitRootLogin no                  # \u0417\u0430\u043f\u0440\u0435\u0442 \u0432\u0445\u043e\u0434\u0430 \u043f\u043e\u0434 root \u043f\u043e SSH  # \u0428\u0438\u0444\u0440\u044b (ciphers) \u2014 \u0431\u0430\u043b\u0430\u043d\u0441 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0438 \u0441\u043e\u0432\u043c\u0435\u0441\u0442\u0438\u043c\u043e\u0441\u0442\u0438 Ciphers chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes256-ctr,aes192-ctr,aes128-ctr  # MAC \u0430\u043b\u0433\u043e\u0440\u0438\u0442\u043c\u044b MACs hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-sha1-etm@openssh.com  # \u0410\u043b\u0433\u043e\u0440\u0438\u0442\u043c\u044b \u043e\u0431\u043c\u0435\u043d\u0430 \u043a\u043b\u044e\u0447\u0430\u043c\u0438 (Kex) KexAlgorithms curve25519-sha256,curve25519-sha256@libssh.org,diffie-hellman-group-exchange-sha256,diffie-hellman-group14-sha1  # \u041e\u0433\u0440\u0430\u043d\u0438\u0447\u0435\u043d\u0438\u0435 \u043f\u043e \u0432\u0440\u0435\u043c\u0435\u043d\u0438 \u0438 \u043e\u0431\u044a\u0451\u043c\u0443 \u0434\u043b\u044f \u0441\u043c\u0435\u043d\u044b \u043a\u043b\u044e\u0447\u0430 \u0441\u0435\u0441\u0441\u0438\u0438 (Forward Secrecy) RekeyLimit 1G 1h  # \u041b\u043e\u0433\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 SyslogFacility AUTH LogLevel VERBOSE  # \u041e\u0442\u043a\u043b\u044e\u0447\u0430\u0435\u043c DNS-\u043e\u0431\u0440\u0430\u0442\u043d\u044b\u0435 \u0437\u0430\u043f\u0440\u043e\u0441\u044b \u0434\u043b\u044f \u0443\u0441\u043a\u043e\u0440\u0435\u043d\u0438\u044f \u0438 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 UseDNS no  # \u0420\u0430\u0437\u0440\u0435\u0448\u0430\u0435\u043c \u0444\u043e\u0440\u0432\u0430\u0440\u0434\u0438\u043d\u0433 TCP \u0438 \u043f\u043e\u0440\u0442\u044b AllowTcpForwarding yes GatewayPorts yes  # \u041e\u0442\u043a\u043b\u044e\u0447\u0430\u0435\u043c X11 \u0444\u043e\u0440\u0432\u0430\u0440\u0434\u0438\u043d\u0433 \u2014 \u0441\u043d\u0438\u0436\u0430\u0435\u0442 \u0440\u0438\u0441\u043a \u0430\u0442\u0430\u043a X11Forwarding no  # \u041f\u043e\u0434\u0441\u0438\u0441\u0442\u0435\u043c\u0430 SFTP \u043e\u0442\u043a\u043b\u044e\u0447\u0435\u043d\u0430 #Subsystem sftp \/usr\/lib\/openssh\/sftp-server Subsystem sftp \/bin\/false  # \u0421\u0436\u0430\u0442\u0438\u0435 \u0434\u0430\u043d\u043d\u044b\u0445 \u043e\u0442\u043a\u043b\u044e\u0447\u0435\u043d\u043e (\u043b\u0443\u0447\u0448\u0435 \u0434\u043b\u044f \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438) Compression no  # \u0423\u0434\u0435\u0440\u0436\u0430\u043d\u0438\u0435 \u0436\u0438\u0432\u043e\u0433\u043e \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f \u0438 \u0442\u0430\u0439\u043c\u0430\u0443\u0442\u044b TCPKeepAlive yes ClientAliveInterval 300 ClientAliveCountMax 3  # \u0418\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c PAM (\u043f\u0440\u0438 \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e\u0441\u0442\u0438) UsePAM yes<\/code><\/pre>\n
    \u041d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0430 \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u043e\u0432 \u044f\u0434\u0440\u0430<\/h2>\n
    ## \/etc\/sysctl.conf  # --- \u041e\u0441\u043d\u043e\u0432\u043d\u043e\u0435 (\u043c\u0430\u0440\u0448\u0440\u0443\u0442\u0438\u0437\u0430\u0446\u0438\u044f, NAT, \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0441\u0442\u044c) --- net.ipv4.ip_forward = 1  # --- \u041d\u0430\u0434\u0435\u0436\u043d\u043e\u0441\u0442\u044c TCP \u0438 \u0437\u0430\u0449\u0438\u0442\u0430 --- net.ipv4.tcp_syncookies = 1                               # \u0417\u0430\u0449\u0438\u0442\u0430 \u043e\u0442 SYN flood net.ipv4.tcp_rfc1337 = 1                                  # \u0417\u0430\u0449\u0438\u0442\u0430 \u043e\u0442 TIME_WAIT spoofing net.ipv4.tcp_fin_timeout = 10  # --- \u0411\u044b\u0441\u0442\u0440\u043e\u0435 \u043e\u0442\u043a\u0440\u044b\u0442\u0438\u0435 TCP-\u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u0439 (TFO) --- net.ipv4.tcp_fastopen = 3                                 # \u041a\u043b\u0438\u0435\u043d\u0442 \u0438 \u0441\u0435\u0440\u0432\u0435\u0440   # --- \u0411\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c \u0438 \u0444\u0438\u043b\u044c\u0442\u0440\u0430\u0446\u0438\u044f --- net.ipv4.conf.all.rp_filter = 2                            # \u0423\u0441\u0438\u043b\u0435\u043d\u043d\u044b\u0439 \u0430\u043d\u0442\u0438\u0441\u043f\u0443\u0444\u0438\u043d\u0433 (strict mode) net.ipv4.conf.default.rp_filter = 2  net.ipv4.conf.all.accept_redirects = 0                     # \u041e\u0442\u043a\u043b\u044e\u0447\u0430\u0435\u043c ICMP redirect net.ipv4.conf.default.accept_redirects = 0  net.ipv4.conf.all.send_redirects = 0                       # \u041d\u0435 \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u044f\u0442\u044c ICMP redirect net.ipv4.conf.default.send_redirects = 0  net.ipv4.conf.all.accept_source_route = 0                  # \u041e\u0442\u043a\u043b\u044e\u0447\u0430\u0435\u043c source routing net.ipv4.conf.default.accept_source_route = 0   # --- \u041e\u0433\u0440\u0430\u043d\u0438\u0447\u0435\u043d\u0438\u0435 ICMP (\u0437\u0430\u0449\u0438\u0442\u0430 \u043e\u0442 DoS) --- net.ipv4.icmp_echo_ignore_broadcasts = 1                   # \u0418\u0433\u043d\u043e\u0440\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435 broadcast ping  # --- \u041e\u043f\u0442\u0438\u043c\u0438\u0437\u0430\u0446\u0438\u044f TCP --- net.ipv4.tcp_abort_on_overflow = 1                          # \u0411\u044b\u0441\u0442\u0440\u043e \u0441\u0431\u0440\u0430\u0441\u044b\u0432\u0430\u0442\u044c \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f \u043f\u0440\u0438 \u043f\u0435\u0440\u0435\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0438 \u043e\u0447\u0435\u0440\u0435\u0434\u0438 net.ipv4.tcp_mtu_probing = 1                                # \u0410\u0432\u0442\u043e\u043c\u0430\u0442\u0438\u0447\u0435\u0441\u043a\u043e\u0435 \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u0438\u0435 MTU (\u043f\u043e\u043c\u043e\u0433\u0430\u0435\u0442 \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u0430\u043c \u0441 VPN\/NAT) net.ipv4.tcp_timestamps = 1                                 # \u0412\u043a\u043b\u044e\u0447\u0438\u0442\u044c TCP timestamps (\u0443\u043b\u0443\u0447\u0448\u0435\u043d\u043d\u0430\u044f \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0441\u0442\u044c)   # --- \u0421\u043e\u0432\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0439 congestion control net.core.default_qdisc = fq                                  net.ipv4.tcp_congestion_control = bbr <\/code><\/pre>\n
    \u041d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0430 DHCP (\u0432\u044b\u0434\u0430\u0447\u0430 ip-\u0430\u0434\u0440\u0435\u0441\u043e\u0432)<\/h2>\n
    \u0423\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0430<\/p>\n
    apt install isc-dhcp-server<\/em><\/p>\n
    \u041a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u044f<\/p>\n
    ## \/etc\/dhcp\/dhcpd.conf  option captive-portal code 160 = text; option captive-portal \"http:\/\/freedom.local\";  default-lease-time 600; max-lease-time 7200;  ddns-update-style none;  subnet 192.168.2.0 netmask 255.255.255.0 {   range 192.168.2.1 192.168.2.254;   option domain-name-servers 192.168.2.1;   option domain-name \"freedom.local\";   option routers 192.168.2.1;   option broadcast-address 192.168.2.255;   default-lease-time 600;   max-lease-time 7200; }<\/code><\/pre>\n
    \u0412\u044b\u0431\u043e\u0440 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u0430 \u0440\u0430\u0437\u0434\u0430\u0447\u0438 \u0430\u0434\u0440\u0435\u0441\u043e\u0432  <\/p>\n
    ## \/etc\/default\/isc-dhcp-server  INTERFACESv4=\"enp3s0\" INTERFACESv6=\"\"<\/code><\/pre>\n
    \u041d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0430 \u043f\u0440\u043e\u0441\u0442\u043e\u0433\u043e DNS \u0441\u0435\u0440\u0432\u0435\u0440\u0430 \u0441 \u0430\u043f\u0441\u0442\u0440\u0438\u043c\u043e\u043c dnscrypt (DoH)<\/h2>\n
    \u0423\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0430<\/p>\n
    apt install dnsmasq<\/em><\/p>\n
    \u0410\u043a\u0442\u0443\u0430\u043b\u044c\u043d\u044b\u0439 \u0431\u0438\u043b\u0434 dnscrypt \u043c\u043e\u0436\u043d\u043e \u0432\u0437\u044f\u0442\u044c \u0442\u0443\u0442 <\/em>https:\/\/github.com\/DNSCrypt\/dnscrypt-proxy<\/a><\/p>\n
    \u0412\u043e\u0437\u044c\u043c\u0438\u0442\u0435 \u0437\u0430 \u043f\u0440\u0438\u0432\u044b\u0447\u043a\u0443 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044c\u0441\u043a\u0438\u0435 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u044b \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0431\u044b\u043b\u0438 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u044b \u0432\u0440\u0443\u0447\u043d\u0443\u044e \u0440\u0430\u0437\u043c\u0435\u0449\u0430\u0442\u044c \u043b\u0438\u0431\u043e \u0432 \/usr\/local, \u043b\u0438\u0431\u043e \u0432 \/opt<\/p>\n
    \u041a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u044f dnsmasq<\/p>\n
    ## \/etc\/dnsmasq.conf  port=53  # \u041d\u0435 \u043f\u0435\u0440\u0435\u0441\u044b\u043b\u0430\u0442\u044c \u0437\u0430\u043f\u0440\u043e\u0441\u044b \u0431\u0435\u0437 \u0434\u043e\u043c\u0435\u043d\u043d\u043e\u0433\u043e \u0438\u043c\u0435\u043d\u0438 (\u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u043f\u0440\u043e\u0441\u0442\u043e \"localhost\") domain-needed  # \u041f\u0440\u0438\u0432\u044f\u0437\u044b\u0432\u0430\u0442\u044c dnsmasq \u0442\u043e\u043b\u044c\u043a\u043e \u043a \u0443\u043a\u0430\u0437\u0430\u043d\u043d\u044b\u043c \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u0430\u043c, \u0447\u0442\u043e\u0431\u044b \u043d\u0435 \u0441\u043b\u0443\u0448\u0430\u0442\u044c \u043d\u0430 \u0432\u0441\u0435\u0445 bind-interfaces  # \u041d\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u044b\u0439 \u0444\u0430\u0439\u043b \/etc\/resolv.conf \u0434\u043b\u044f \u043f\u043e\u0438\u0441\u043a\u0430 upstream DNS-\u0441\u0435\u0440\u0432\u0435\u0440\u043e\u0432 no-resolv  # \u0417\u0430\u0449\u0438\u0442\u0430 \u043e\u0442 DNS rebind-\u0430\u0442\u0430\u043a \u2014 \u0431\u043b\u043e\u043a\u0438\u0440\u0443\u0435\u0442 \u043e\u0442\u0432\u0435\u0442\u044b \u0441 \u043f\u043e\u0434\u043e\u0437\u0440\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u043c\u0438 IP-\u0430\u0434\u0440\u0435\u0441\u0430\u043c\u0438 stop-dns-rebind  # \u0416\u0451\u0441\u0442\u043a\u043e \u043d\u0430\u0437\u043d\u0430\u0447\u0438\u0442\u044c \u0434\u043e\u043c\u0435\u043d freedom.net \u043d\u0430 IP-\u0430\u0434\u0440\u0435\u0441 192.168.2.1 address=\/freedom.net\/192.168.2.1  # \u0416\u0451\u0441\u0442\u043a\u043e \u043d\u0430\u0437\u043d\u0430\u0447\u0438\u0442\u044c \u0434\u043e\u043c\u0435\u043d freedom.local \u043d\u0430 IP-\u0430\u0434\u0440\u0435\u0441 192.168.2.1 address=\/freedom.local\/192.168.2.1  # \u0418\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u043b\u043e\u043a\u0430\u043b\u044c\u043d\u044b\u0439 DNSCrypt \u0441\u0435\u0440\u0432\u0435\u0440 \u043d\u0430 127.0.0.1:5353 \u043a\u0430\u043a upstream DNS server=127.0.0.1#5353  # \u0412\u0430\u0440\u0438\u0430\u043d\u0442: \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u043f\u0443\u0431\u043b\u0438\u0447\u043d\u044b\u0439 DNS-\u0441\u0435\u0440\u0432\u0435\u0440 Quad9 # server=9.9.9.9  # \u0421\u043b\u0443\u0448\u0430\u0442\u044c DNS-\u0437\u0430\u043f\u0440\u043e\u0441\u044b \u043d\u0430 \u0441\u0435\u0442\u0435\u0432\u043e\u043c \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441\u0435 enp3s0 interface=enp3s0  # dnsmasq \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u0442\u043e\u043b\u044c\u043a\u043e \u043a\u0430\u043a DNS no-dhcp-interface=*<\/code><\/pre>\n
    \u041a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u044f DNSCrypt<\/p>\n
    \/\/<\/code><\/pre>\n
    \u041d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0430 OpenVPN \u0434\u043b\u044f \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438<\/h2>\n
    apt install openvpn<\/p>\n
    \u041a\u0430\u0447\u0430\u0435\u043c\u00a0https:\/\/github.com\/OpenVPN\/easy-rsa\/<\/a><\/p>\n
    \u041f\u0435\u0440\u0435\u0438\u043c\u0435\u043d\u043e\u0432\u044b\u0432\u0430\u0435\u043c vars.example \u0432 vars<\/p>\n
    \u0418\u0437\u043c\u0435\u043d\u044f\u0435\u043c \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440 set_var EASYRSA_KEY_SIZE \u043d\u0430 4096<\/p>\n
    \u0414\u0430\u0451\u043c \u043f\u0440\u0430\u0432\u0430 EasyRSA \u043d\u0430 \u0438\u0441\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0435:<\/p>\n
    chmod +x easyrsa<\/p>\n
      \n
    1. \n
      .\/easy-rsa init-pki<\/p>\n<\/li>\n
    2. \n
      .\/easy-rsa build-ca<\/p>\n<\/li>\n
    3. \n
      .\/easy-rsa gen-req server nopass<\/p>\n<\/li>\n
    4. \n
      .\/easy-rsa sign-req server server<\/p>\n<\/li>\n
    5. \n
      .\/easy-rsa gen-dh<\/p>\n<\/li>\n
    6. \n
      openvpn —genkey secret \/etc\/openvpn\/server\/pki\/ta.key<\/p>\n<\/li>\n<\/ol>\n
      ## \/etc\/openvpn\/server \u0441\u0435\u0440\u0432\u0435\u0440\u043d\u0430\u044f \u0447\u0430\u0441\u0442\u044c  port 1192 proto tcp  # \u0412\u0438\u0440\u0442\u0443\u0430\u043b\u044c\u043d\u044b\u0439 \u0441\u0435\u0442\u0435\u0432\u043e\u0439 \u0438\u043d\u0442\u0435\u0440\u0444\u0435\u0439\u0441 TUN (\u0443\u0440\u043e\u0432\u0435\u043d\u044c IP) dev tun  # \u0421\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 \u0446\u0435\u043d\u0442\u0440\u0430 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 (CA) ca \/etc\/openvpn\/server\/pki\/ca.crt  # \u0421\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442 \u0441\u0435\u0440\u0432\u0435\u0440\u0430 cert \/etc\/openvpn\/server\/pki\/issued\/server.crt  # \u0417\u0430\u043a\u0440\u044b\u0442\u044b\u0439 \u043a\u043b\u044e\u0447 \u0441\u0435\u0440\u0432\u0435\u0440\u0430 key \/etc\/openvpn\/server\/pki\/private\/server.key  # \u041f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u044b \u0414\u0438\u0444\u0444\u0438-\u0425\u0435\u043b\u043b\u043c\u0430\u043d\u0430 \u0434\u043b\u044f \u043a\u043b\u044e\u0447\u0435\u0432\u043e\u0433\u043e \u043e\u0431\u043c\u0435\u043d\u0430 dh \/etc\/openvpn\/server\/pki\/dh.pem  # \u041f\u043e\u0434\u0441\u0435\u0442\u044c VPN \u0438 \u043c\u0430\u0441\u043a\u0430 \u043f\u043e\u0434\u0441\u0435\u0442\u0438 (\u0432\u044b\u0434\u0430\u0447\u0430 IP \u043a\u043b\u0438\u0435\u043d\u0442\u0430\u043c) server 10.8.0.0 255.255.255.0  # \u0418\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u0442\u043e\u043f\u043e\u043b\u043e\u0433\u0438\u044e \u043f\u043e\u0434\u0441\u0435\u0442\u0438 (\u043e\u0434\u0438\u043d\u0430\u043a\u043e\u0432\u044b\u0439 \u043f\u0443\u043b IP \u0434\u043b\u044f \u0432\u0441\u0435\u0445 \u043a\u043b\u0438\u0435\u043d\u0442\u043e\u0432) topology subnet  # \u041f\u0435\u0440\u0435\u043d\u0430\u043f\u0440\u0430\u0432\u043b\u044f\u0442\u044c \u0432\u0435\u0441\u044c \u0442\u0440\u0430\u0444\u0438\u043a \u043a\u043b\u0438\u0435\u043d\u0442\u0430 \u0447\u0435\u0440\u0435\u0437 VPN (default route \u0447\u0435\u0440\u0435\u0437 VPN-\u0441\u0435\u0440\u0432\u0435\u0440) push \"redirect-gateway def1\"  # \u041d\u0430\u0441\u0442\u0440\u043e\u0438\u0442\u044c DNS \u043a\u043b\u0438\u0435\u043d\u0442\u0430 push \"dhcp-option DNS 192.168.2.1\"  # \u041c\u0438\u043d\u0438\u043c\u0430\u043b\u044c\u043d\u0430\u044f \u0432\u0435\u0440\u0441\u0438\u044f TLS \u0434\u043b\u044f \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0435\u043d\u0438\u044f \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 tls-version-min 1.2  # TLS-crypt \u043a\u043b\u044e\u0447 \u0434\u043b\u044f \u0437\u0430\u0449\u0438\u0442\u044b tls-crypt \/etc\/openvpn\/server\/pki\/ta.key  # \u0421\u043f\u0435\u0446\u0438\u0444\u0438\u0447\u0435\u0441\u043a\u0438\u0439 \u043d\u0430\u0431\u043e\u0440 TLS-\u0448\u0438\u0444\u0440\u043e\u0432 \u0434\u043b\u044f \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 tls-cipher TLS-ECDHE-ECDSA-WITH-AES-256-GCM-SHA384  # \u041a\u0430\u0447\u0435\u0441\u0442\u0432\u0435\u043d\u043d\u044b\u0435 \u0441\u043e\u0432\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u0435 \u0448\u0438\u0444\u0440\u044b \u0434\u043b\u044f \u0434\u0430\u043d\u043d\u044b\u0445 data-ciphers AES-256-GCM:CHACHA20-POLY1305  # \u0410\u043b\u0433\u043e\u0440\u0438\u0442\u043c \u0445\u044d\u0448\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f (\u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u044f \u0441\u043e\u043e\u0431\u0449\u0435\u043d\u0438\u0439) auth SHA256  # \u0421\u043e\u0445\u0440\u0430\u043d\u044f\u0442\u044c \u043a\u043b\u044e\u0447\u0438 \u043c\u0435\u0436\u0434\u0443 \u043f\u0435\u0440\u0435\u0437\u0430\u043f\u0443\u0441\u043a\u0430\u043c\u0438 \u0442\u0443\u043d\u043d\u0435\u043b\u044f persist-key  # \u0421\u043e\u0445\u0440\u0430\u043d\u044f\u0442\u044c \u0442\u0443\u043d\u043d\u0435\u043b\u044c\u043d\u043e\u0435 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u043e \u043c\u0435\u0436\u0434\u0443 \u0440\u0435\u0441\u0442\u0430\u0440\u0442\u0430\u043c\u0438 persist-tun  # \u0418\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u0438\u043c\u044f \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u043a\u0430\u043a common name \u043a\u043b\u0438\u0435\u043d\u0442\u0430 username-as-common-name  # \u041d\u0435 \u043f\u0440\u043e\u0432\u0435\u0440\u044f\u0442\u044c \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u044b \u043a\u043b\u0438\u0435\u043d\u0442\u0430 (\u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u044f \u0447\u0435\u0440\u0435\u0437 username\/password) verify-client-cert none  # \u0421\u043a\u0440\u0438\u043f\u0442 \u0434\u043b\u044f \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u043b\u043e\u0433\u0438\u043d\u0430 \u0438 \u043f\u0430\u0440\u043e\u043b\u044f \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f auth-user-pass-verify \"\/usr\/bin\/php-cgi \/etc\/openvpn\/server\/verify.php\" via-file  # \u041f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u0442\u044c \u0441\u043a\u0440\u0438\u043f\u0442\u044b \u0441 \u043c\u0430\u043a\u0441\u0438\u043c\u0430\u043b\u044c\u043d\u044b\u043c \u0443\u0440\u043e\u0432\u043d\u0435\u043c \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 script-security 3  # \u0411\u0435\u0437 \u043b\u043e\u0433\u043e\u0432 verb <\/code><\/pre>\n
      \u0414\u0430\u0451\u043c \u043f\u0440\u0430\u0432\u0430 \u043d\u0430 \u0438\u0441\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0435 \u0441\u043a\u0440\u0438\u043f\u0442\u0443<\/p>\n
      chmod +x verify.php<\/p>\n
      \/\/ \u0442\u0443\u0442 \u0434\u043e\u043b\u0436\u043d\u043e \u0431\u044b\u0442\u044c \u043f\u0440\u043e MariaDB \u0438 SQL<\/p>\n
      #!\/usr\/bin\/php-cgi  <?php  class Database {     private $pdo;      \/**      * \u041a\u043e\u043d\u0441\u0442\u0440\u0443\u043a\u0442\u043e\u0440 \u043a\u043b\u0430\u0441\u0441\u0430 Database.      *       * @param array $config \u041c\u0430\u0441\u0441\u0438\u0432 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0438 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u043a \u0411\u0414.      * @throws PDOException \u0415\u0441\u043b\u0438 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435 \u043a \u0411\u0414 \u043d\u0435 \u0443\u0434\u0430\u043b\u043e\u0441\u044c.      *\/     public function __construct(array $config) {         if (!isset($config['host'], $config['dbname'], $config['user'], $config['password'])) {             throw new InvalidArgumentException(\"\u041d\u0435\u0434\u043e\u0441\u0442\u0430\u0442\u043e\u0447\u043d\u043e \u0434\u0430\u043d\u043d\u044b\u0445 \u0434\u043b\u044f \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u044f \u043a \u0411\u0414\");         }          try {             $options = [                 PDO::MYSQL_ATTR_INIT_COMMAND => 'SET NAMES utf8mb4',<\/code><\/pre>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[],"tags":[],"class_list":["post-468253","post","type-post","status-publish","format-standard","hentry"],"_links":{"self":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/468253","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=468253"}],"version-history":[{"count":0,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=\/wp\/v2\/posts\/468253\/revisions"}],"wp:attachment":[{"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=468253"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=468253"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/savepearlharbor.com\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=468253"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}