在wr841n上刷openwrt并使用openvpn自动VPN

刚出来工作就买了一个WR841ND。最开始其实没咋倒腾，因为dd-wrt虽然功能多但是用到的不多，反而配置太多看着头晕，而开始倒腾openwrt的时候又觉得openwrt的界面太难看—不想动。所以其实一直是官方固件。不过最近由于斯巴达的即将召开，导致Google搜索基本上来讲完全瘫痪，而恰好又买了一个香港的VPS。所以决定倒腾倒腾让路由器直接连VPN然后智能路由。
硬件信息：TP-Link TL-WR841ND v7.1

注意：一下操作要求一定的linux基础和一定动手能力，所以请务必谋定而动。

##首先是刷上openwrt

刷新之前请注意：目前trunk中的openwrt默认没有启用web界面，虽然最新稳定版openwrt发布已经支持wr841n(d)了，但是我还是喜欢trunk……因为trunk里面没有我用不到的web界面……又可以节省好多K的空间装其他东西……

从官方固件刷到openwrt是很简单的。直接从trunk下载适用于wr841nd的固件然后通过官方固件的web界面中升级固件更新就行了。
现在你最好telnet过去修改密码，这样会禁用telnet而启用ssh。当然如果你是在太懒这个其实也无所谓啦。

##配置网络

现在你需要配置好网络，请参考：openwrt 官方wiki关于网络配置的说明。如果是 静态IP ，那么示例如下：

uci set network.wan.proto=static //表示使用静态IP。
uci set network.wan.ipaddr=192.168.100.111 //我使用的是联通光猫。开了路由功能。所以可以直接静态IP。
uci set network.wan.netmask=255.255.255.0
uci set network.wan.gateway=192.168.100.1
uci set network.wan.dns='8.8.8.8 8.8.4.4'
uci commit network
ifup wan

当然其实直接编辑/etc/config/network是一条更快的捷径,以下以 pppoe拨号 为例，与静态IP不同，我们一定要注意设定openwrt不通过ppp获得运营商的DNS，否则挂上VPN以后几乎一定会因为运营商DNS延迟更低而选择使用运营商DNS从而不能避免DNS污染，我们只修改wan段：

config interface 'wan'
	option ifname 'eth1'
	option proto 'pppoe'  //表示使用pppoe拨号
	option username 'dsl11xxxxxxxx'   //pppoe帐号
	option password 'xxxxxx'  //pppoe密码
	option peerdns '0'   //表示不从运营商获取DNS，很重要！
	option dns '8.8.8.8 8.8.4.4'

配置好网络以后你可以试一下ping 8.8.8.8来测试一下。

##安装配置openvpn

你需要先更新下opkg的缓存：

opkg update

然后安装openvpn，随着openwrt里面的openvpn更新到2.3，trunk里面openvpn已经被重新打包为两个包：openvpn-openssl和openvpn-polarssl。使用openvpn-polarssl要求你的服务器端也配置使用polarssl目前不大现实，同时openvpn-openssl因为依赖600多K的libopenssl直接安装肯定是要把路由器撑爆的。所以……如果铁了心要上，只能自己动手编译固件。对于ROM充裕的用户直接安装吧

opkg install openvpn-openssl

安装好以后，你需要把你的配置文件，ca以及相关的认证文件放到/etc/openvpn下。放过去的方法：你要么在电脑上打开，然后粘贴到服务器上，要么像我一样在笔记本上开一个ftp然后在从路由器上wget。装完openvpn以后的剩余空间只有400多K了：

Filesystem                Size      Used Available Use% Mounted on
rootfs                    1.4M      1.1M    328.0K  78% /

所以请注意，一定要在配置文件中将日志设置为不记录，即： verb 0 否则路由器很快就会因为文件系统被撑爆而拒绝服务。

修改配置文件，配置路由行为

默认情况下，一般的openvpn提供商会路由所有流量这样会导致本地访问比较缓慢而且对VPN服务器造成比较大的压力。所以我们需要设置下路由让国内的流量不经过路由器。现在提供比较成熟的路由方案的，一个是chnroute。不过现在chnroute路由条目已经达到了3500多条。我从chnroute改出来的配置文件就达到了150多K。而当我开始连接以后添加路由表占了太多资源和时间，直接把我的路由器搞挂了。
所以chnroute放到这么小个路由器上显然是不行的。
鉴于此我看了下autoddvpn 的代码，发现只有150多行。相对chnroute简直是太小了，可惜我完全没有看明白它的脚本在干什么，而且没有人把它port到openwrt。所以我也就看看算了。但是很幸运的是，google到chnroute之前衍生出了一个亚洲路由表，小很多。下载链接在这里：routes-亚洲。
下载以后把内容增加到openvpn配置文件末尾。然后连接：

/usr/sbin/openvpn --cd /etc/openvpn --config xxx.conf

你可以先运行看看然后Ctrl+X关掉以后加上–daemon让它在后台运行。openvpn连接成功以后修改下转发规则，当然你也可以把下面这段丢到/etc/firewall.user里面去这样每次开机都会自动运行（而且对没有连接VPN时候的正常上网也没啥影响）：

iptables -I FORWARD -o br-lan -j ACCEPT #允许br-lan端口流量被转发
iptables -I FORWARD -o tun0 -j ACCEPT #允许tun0端口流量被转发
iptables -t nat -I POSTROUTING -o tun0 -j MASQUERADE #tun0出口的流量SNAT出去

连接成功以后在路由上建议清空dns解析缓存：

/etc/init.d/dnsmasq restart

电脑上建议先冲掉之前的dns解析：

ipconfig /flushdns

经过我的测试，发现youtube，twitter，facebook无压力。完工。！

参考链接：
OpenWRT设置Openvpn并自动智能翻墙。

update：2013-12-22 修正了对openvpn-polarssl的错误认识。