सेटअप गाइड
पहले स्टार्टअप के बाद सुरक्षित रूप से उपयोग शुरू करने के steps। सबसे पहले WAN कॉन्फ़िगर करें, फिर LuCI को HTTPS से सुरक्षित रखते हुए चरणबद्ध तरीके से कॉन्फ़िगर करें।
दायरा और पूर्वापेक्षाएँ #
- लक्ष्य: BESTNET द्वारा प्रदान किया गया OpenWrt template
- WAN =
eth0(वह interface जिस पर global IP कॉन्फ़िगर किया जाता है) - Work LAN =
eth1(DHCP / console recovery के लिए network) - प्रारंभिक login HTTPS GUI (LuCI) के माध्यम से
- SSH केवल आवश्यकता होने पर (key registration / port 22 खोलने के बाद activate करें, password SSH वर्जित है)
महत्वपूर्ण बातें (अवश्य पढ़ें) #
यह template cloud-init को सपोर्ट नहीं करता, इसलिए पहली बार उपयोग करते समय manual कॉन्फ़िगरेशन आवश्यक है।
- Access source IP प्रतिबंध अनिवार्य है (cloud-side FW / SG और OpenWrt-side FW दोनों में 443 / 22 को केवल अपने management IP से ही अनुमति दें)
- गलत कॉन्फ़िगरेशन से instance inaccessible हो सकता है। प्रक्रिया के दौरान console खुला रखें
- Console US keyboard layout के रूप में interpret कर सकता है (विशेषकर
/और:के लिए)। इस गाइड में मुख्य रूप से आवश्यक symbols.,/और space ही हैं
समग्र प्रवाह #
- (वैकल्पिक) Portal में OpenWrt instance बनाएँ
- Portal में WAN जानकारी और management IP नोट करें
- Console के माध्यम से root के रूप में log in करें
- WAN और HTTPS के प्रारंभिक कॉन्फ़िगरेशन के लिए
firstboot.shचलाएँ - Cloud-side FW / SG में TCP 443 को केवल management IP से अनुमति दें
- LuCI (HTTPS) में log in करें
- (यदि आवश्यक हो) SSH public key register करें →
enable_ssh.shसे SSH enable करें → cloud-side FW / SG में TCP 22 को केवल management IP से अनुमति दें
Step 0(वैकल्पिक) Portal में OpenWrt Instance बनाएँ #
यदि instance पहले से provision हो चुका है, तो आप यह step छोड़ सकते हैं। Portal UI provider के अनुसार भिन्न हो सकता है, लेकिन उदाहरण में यह प्रवाह अपनाया गया:
Step 0.1 Template (OS) को OpenWrt पर सेट करें #
चित्र: Creation screen में template चुनने का उदाहरण (1 = OS template / 2 = hostname)।Step 0.2 Public IP allocation सेटिंग्स सत्यापित करें और create करें #
चित्र: Network सेटिंग्स का उदाहरण (1 = IPv4 Pool को Public IP पर सेट करें / 2 = IPs की संख्या (सामान्यतः 1) / 3 = create बटन)।ध्यान दें: इस गाइड की पूर्वापेक्षा यह है कि eth0 WAN (Public) हो। यदि portal में NIC allocation या order बदलना संभव हो, तो सुनिश्चित करें कि eth0 Public side पर है।
Step 1प्रारंभिक तैयारी (Portal में पुष्टि करें) #
Portal से निम्नलिखित जानकारी नोट करें (allocation जानकारी):
WAN (Global) जानकारी #
- IPv4 address (उदाहरण:
203.0.113.2) - Netmask (उदाहरण:
255.255.255.224) - Gateway (उदाहरण:
203.0.113.1) - DNS (यदि निर्दिष्ट नहीं है, तो
1.1.1.18.8.8.8चलेगा)
Management IP (आपके device का global IP) #
- Static global IP (अनुशंसित): company line / VPN exit आदि
- उदाहरण:
203.0.113.10/32
यदि आपका management IP बदलता रहता है (mobile / home line), तो बाद में खुद को lock out कर लेने की संभावना अधिक है। यदि संभव हो तो static IP (company / VPN) का उपयोग करें।
यदि कोई शंका हो, तो कृपया support ticket खोलकर हमसे परामर्श करें।
चित्र: Portal में “Console” और “IP (WAN)” की पुष्टि करने के स्थान का उदाहरण (1 = console / 2 = IP)।संदर्भ: CIDR से Netmask रूपांतरण #
| CIDR | Netmask |
|---|---|
| /29 | 255.255.255.248 |
| /28 | 255.255.255.240 |
| /27 | 255.255.255.224 |
| /26 | 255.255.255.192 |
| /24 | 255.255.255.0 |
Step 2Console के माध्यम से log in करें (आवश्यक) #
- Portal से console (noVNC / Proxmox आदि) खोलें।
- जब
login:दिखे, तोrootके रूप में log in करें।
प्रारंभिक अवस्था में root password अक्सर unset (locked) होता है, और template यह मानकर चलता है कि console login संभव है। यदि कोई ऐसा password पूछा जाए जो आपको पता नहीं है, तो provider से संपर्क करें।
Step 3प्रारंभिक सेटअप script चलाएँ #
पुष्टि करें कि prompt root@OpenWrt:~# है और firstboot.sh चलाएँ।
./firstboot.shयदि यह विफल हो (Permission denied आदि), तो path निर्दिष्ट करके चलाएँ:
sh /root/firstboot.sh
चित्र: Console में ./firstboot.sh चलाने का उदाहरण (1 = चलाने वाला command)।Step 4Script के प्रश्नों के उत्तर दें #
Script क्रम से प्रश्न पूछेगा। Input values के लिए Step 1 में नोट की गई जानकारी का उपयोग करें।
Step 4.1 root password सेट करें (आवश्यक) #
यदि script शुरुआत में unset root password का पता लगाता है, तो passwd शुरू हो जाएगा। निर्देशों का पालन करके नया password सेट करें।
यह password LuCI (HTTPS GUI) login के लिए आवश्यक है।
Step 4.2 WAN सेटिंग्स input करें #
इस गाइड की पूर्वापेक्षा यह है कि eth0 WAN है, इसलिए भले ही prompt में WAN device [eth1]: दिखे, eth0 दर्ज करें।
चित्र: firstboot.sh के लिए input का उदाहरण (1 = WAN device को eth0 पर सेट करें / 2 = WAN IPv4, netmask, gateway, DNS input करें)।Input करने वाले आइटम (उदाहरण):
- WAN device:
eth0 - WAN IPv4 address: Portal से प्राप्त IP (उदाहरण:
203.0.113.2) - WAN netmask: Portal से प्राप्त netmask (उदाहरण:
255.255.255.224) - WAN gateway: Portal से प्राप्त gateway (उदाहरण:
203.0.113.1) - DNS servers: यदि निर्दिष्ट नहीं है, तो
1.1.1.1 8.8.8.8चलेगा - Admin source IP / CIDR: आपका management IP (उदाहरण:
203.0.113.10/32)
Step 4.3 लागू करने की पुष्टि करें #
अंत में आपकी सेटिंग्स दिखाई जाती हैं। यदि सब कुछ सही लगे, तो y दर्ज करें जब Apply these settings? [y/N]: पूछा जाए।
लागू होने के बाद, script OpenWrt-side network सेटिंग्स और management IP प्रतिबंध के साथ HTTPS access अनुमति (FW) कॉन्फ़िगर करेगा।
Step 5Base firewall (cloud-side) कॉन्फ़िगर करें (HTTPS) #
Script पूरा होने के बाद, cloud-side (base FW / SG) पर HTTPS की अनुमति दें।
- अनुमति: TCP 443
- Source: Management IP (उदाहरण:
203.0.113.10/32) - Destination: यह OpenWrt instance (WAN side)
चित्र: Base FW / SG में port 443 खोलने का उदाहरण (1 = source IP को management IP तक सीमित करें / 2 = destination port 443 / 3 = outbound)।※ Portal के अनुसार आइटम के नाम और दिखावट भिन्न हो सकते हैं।भले ही आप पहले base FW में port 443 खोल दें, OpenWrt side पर अनुमति मिलने तक access संभव नहीं है, इसलिए यह अपेक्षाकृत सुरक्षित है, फिर भी source IP को हमेशा सीमित रखें।
Step 6HTTPS GUI (LuCI) में log in करें #
Browser से निम्नलिखित पर access करें:
https://<WAN_IP>/Self-signed certificate की warning दिखाई देगी। सामग्री की समीक्षा करके आगे बढ़ें (browser का display environment के अनुसार भिन्न होता है)।
चित्र: Self-signed certificate warning का उदाहरण (1 = advanced settings)।जब login screen दिखे, तो user root और Step 4.1 में सेट किए गए password से log in करें।
Step 7(यदि आवश्यक हो) SSH enable करें #
नीति: SSH enable करने से पहले keys register करें (password SSH वर्जित है)। यदि आप अपने operations में SSH का उपयोग नहीं करते, तो यह section छोड़ सकते हैं।
Step 7.1 LuCI में SSH public key register करें #
LuCI menu का उदाहरण (notation environment के अनुसार थोड़ा भिन्न हो सकता है):
System → Administration → SSH-Keys
चित्र: LuCI में System menu खोलकर Administration चुनने का उदाहरण (1 = System / 2 = Administration)।
चित्र: SSH-Keys registration screen का उदाहरण (1 = public key paste करें / 2 = Add key)।※ Public key वह है जो “private key नहीं” है (उदाहरण: ~/.ssh/id_ed25519.pub)।Public key (ssh-ed25519 AAAA... एक ही line में) paste करें और save करें।
Private key कभी paste न करें (id_ed25519 आदि)।
Step 7.2 SSH enable script चलाएँ #
Console में निम्नलिखित execute करें:
./enable_ssh.shयदि यह ठीक से न चले, तो path निर्दिष्ट करके execute करें:
sh /root/enable_ssh.sh
चित्र: enable_ssh.sh शुरू करने और SSH (22) के लिए अनुमत source IP input करने का उदाहरण (1 = execution स्थान)।आपसे management IP पूछा जाएगा। यदि यह वही management IP है जो आपने HTTPS के लिए उपयोग किया था, तो default पर Enter दबाना पर्याप्त है।
यह script सामान्यतः निम्नलिखित कार्य करता है:
- dropbear (SSH) शुरू करना
- केवल key authentication कॉन्फ़िगर करना (password authentication disable करना)
- OpenWrt firewall में एक rule जोड़ना जो port 22 को केवल management IP से अनुमति देता है
Step 7.3 Cloud-side FW / SG पर भी port 22 खोलें (management IP तक सीमित) #
- अनुमति: TCP 22
- Source: Management IP (उदाहरण:
203.0.113.10/32) - Destination: यह OpenWrt instance (WAN side)
चेतावनी: OpenWrt side पर SSH enablement (key registration + enable_ssh) से पहले port 22 को पूरी तरह न खोलें।
Step 7.4 Connection सत्यापित करें (अपने device से) #
ssh -i ~/.ssh/id_ed25519 root@<WAN_IP>Password से SSH login विफल होना ही अपेक्षित है (केवल keys)।
Step 8सामान्य troubleshooting और recovery #
Step 8.1 HTTPS access नहीं हो पा रहा (timeout) #
Troubleshooting का क्रम:
- पुष्टि करें कि cloud-side FW / SG में TCP 443 को management IP से अनुमति है
- सत्यापित करें कि आपका management IP सही है (क्या आपकी line बदल गई है?)
- सत्यापित करें कि console में WAN सेटिंग्स कॉन्फ़िगर हैं
Console सत्यापन:
uci show network.wan
ip -o -4 addr show
ip routeसत्यापित करें कि packets पहुँच रहे हैं (उदाहरण):
tcpdump -ni eth0 tcp port 443Step 8.2 Management IP बदल गया और access नहीं हो रहा #
आप console में अनुमत IP फिर से लिख सकते हैं (यदि management IP बदल गया हो)।
HTTPS के लिए अनुमत source फिर से लिखें:
uci set firewall.allow_https_from_admin.src_ip='<NEW_IP/32>'
uci commit firewall
/etc/init.d/firewall restartयदि SSH उपयोग में है:
uci set firewall.allow_ssh_from_admin.src_ip='<NEW_IP/32>'
uci commit firewall
/etc/init.d/firewall restartStep 8.3 गलत WAN device (eth0 / eth1) #
गलत interface पर WAN कॉन्फ़िगर करने से instance inaccessible हो जाता है। Console के माध्यम से recovery संभव है। सत्यापित करें कि network.wan.device eth0 है।
uci show network.wan.device
uci show network.wan.ifname # Depending on environment, this key may be used instead
