Forum Debian Users Gang

Załóżmy że mam na teraz taki schemat

                   NAT
IP_WAN---[centrala]---IP_LAN


                  NAT
IP_WAN---[oddział]---IP_LAN

Teraz chciałbym użyć OpenVPN aby połączyć te dwie lokalizacje (zależy mi aby koncówki w LAN mogły się bez problemu komunikować, czyli zwykły ping do innej podsieci w Oddziale będzie osiągalny.)

Tunel typu network-to-network zestaw na OpenVPN z użyciem tun. W tym wypadku spokojnie może byc to transparentny przekaz (dwie różne podsieci). I ważne, uzywaj do transmisji UDP

Z tego co wiem jak użyję interfejsu tun to automatycznie decyduję się na połączenie po UDP (tap wymusza TCP).

Czyli jeśli przy tym układzie zestawie openvpn-a i w routerach brzegowych(linux) ustawie w configu Centrali (local IP_WAN, ifconfig 10.0.0.1 10.0.0.2) i configu Oddziału(local IP_WAN, ifconfig 10.0.0.2 10.0.0.1) to koncowki w LAN i centali i odziału będą mogły się komunikować? Jaki one dostaną adres?
Nie mam jak sprawdzić a sądzę że kiedyś taki schemat mi się trafi.

Ostatnio edytowany przez hello_world (2012-04-06 10:14:41)

IPSec o kant dupy w tym wypadku, on sie lepiej sprawdza jako roadwarrior i łączenie zza NAT.
TUN i TAP nie wymuszają protokołu (przynajmniej jak pisałem prace o tym to tak nie było). UDP powinno się zawsze stosować podczas pracy tunelu, do zestawienie jęsli to możliwe TCP. Wynika to z tego iż zazwyczaj wewnątrz tunelu leci TCP. Jak wiadomo TCP ma "kontorole" nad tym czy i jak pakiet dotarł. Zakładając, że tunel jest po TCP i wenątrz leci TCP to zagubienie jednego pakietu powoduje sztorm. Po pierwsze konćówka robi retransmisje, a po drugiem to co sżło tunelem tez robi retransmisje. W najlepszym wypadku tunel będzie fluktuował z przepustowością, w najgorszym zapcha się retransmisjami. Ale odwrotnie jest jeśli tunelem ma lecieć UDP, to tunel zestawiamy po TCP.
Tunele łączące jako most dwie sieci mają IP dla końcówek zazwyczaj z puli 10.x.x.x. Służą jako IP do trasowania czyli np. sieć 192.168.1.0 osiągalna jest poprzez 10.0.0.1 i odwrotnie 192.168.0.0 poprzez 10.0.0.2. Komputery z podsieci nie wchodza w interakcję bezpośrednią z siecią 10.0.0.0.

TUN - interfjest dla tuneli z trasowaniem
TAP - interfejs dla tuneli z mostkowaniem

Zestawiając połączenie trasownaie tworzy sie automatycznie, interfejs również podnoszony jest poprzez OpenVPN. Różnicy pomiędzy TUN i TAP chyba już wyjasniac nie muszę (włąsnie pooglądałem dokumentacje i sam ustawiasz taki protokół jaki chcesz). Najpierw zestaw połączenia poprzez hasło sztywne, potem możesz potestować klucz współdzielony PSK, a na końcu certyfikaty. Istotne, ponieważ z certyfikatami często bywają problemy podczas wdrażania.
Dla klientów mobilnych jak już pisałem w przyszłości użyj IPSec gdyż on może pracowac za NAT'em i właśnie jako brama dla klientów mobilnych jest idealnym rozwiązaniem.

To nie są domysły, tak jest w praktyce, OpenVPN lepiej sie sprawuje w takiej konfiguracji i jest łatwiejszy w zestawianiu. IPSec to genialne rozwiąznie własnie do roadwarrior lub jeśli wymaga tego druga strona (np. systemy wbudowane). Tutaj NAT wystepuje na bramach. Zestawiane mają być ze sobą sieci wiec to czy poszczególne końcówki siedzą za translacją czy nie jest nieistotne. Jedyne na co trzeba uważać to trasowanie i tutaj również taką konfiguracje łatwiej sie trasuje przy OpenVPN.

PPP jest ideą działania IPSec więc nie da się bez jego udziału zestawić połączenia. W sumie w wypadku OpenVPN jak się wyswietli informacje o interfejsie to on tez jest PPP. W sumie w pełni prawidłowo w końcu jest klient serwer, choć OpenSWAN ma swoje strony - lewa i prawa :)

@qluk
O domysłach pisałem w kontekście sieci jaką hallo_word ma do dyspozycji. Tak naprawdę nic o niej nie wiesz.
Przy nacie nie wiem czy zauważyłeś emotikone, jak nie to jeszcze raz ;)
Ja nie upieram się przy IPsecu, bo mam jakieś odczucie, że tak uważasz. Napisałem, że to propozycje, jedna z wielu :)
Dobra EOT bo hello_world się wkurzył :)

@hello_world
Tak, połączenie w trybie routera Openvpn będzie ok. Oprócz tego w zależności czy odziały Twoje będą korzystały z internetu przez tunel to jeszcze zostaje ustawienie bram na routerach-końcówkach.
To już zależy od Ciebie jak sobie to rozwiążesz, czy oprzesz to na certyfikatach, czy nie, ale tak wystarczy przy PSK podesłać klucz współdzielony.