OpenVPN hub bat, hiru LAN: helbide-plana eta iroute fitxategiak

Hiru LAN pribatu hub bakarrean elkartu daitezke, inongo gunek bestearen barnealdea ezagutu gabe, eta diseinu osoa lau konfigurazio-erabaki laburretan oinarritzen da. Funtzionarazten duena ez da protokolo-ezaugarri exotiko bat, inork asmatu behar ez duen helbide-plana baizik, gehi bezero bakoitzeko ibilbideak hubari zein adarrek zein aurrizki duen esaten diotenak. Bi horietako bat gaizki eginez gero, tunela hala ere altxatzen da, eta horrek egiten du hutsegitea nahasgarri.

Egin urratsak hurrenez hurren. Bakoitza aurreko urratseko planaren menpe dago, eta batek ere ez du ziurtagiri-agintaritza berririk behar.

Hasi inork asmatu behar ez duen plan batekin

Idatzi lau aurrizki elkar ebakitzen ez dutenak konfigurazio-fitxategi bat ukitu aurretik: hubaren beraren LANa, adar bakoitzaren LANa eta bezero ibiltariei ematen zaien pool-a. Elkar ez ebakitzeak gainerako guztia erraz mantentzen du, zeren gainjartzen diren tarteek bideratzea parekidetze luzeenaren buruhauste bihurtzen dute, eta bezero bakoitzeko konfigurazioak ez du hori konpontzen. Ondoren egiaztatu zein makinak duen LAN bakoitzaren lehen ate lehenetsia, zeren bere LANaren atea ez den adar bideratzaileak urruneko ibilbideak beste leku batean instalatuta behar ditu. Azkenik, finkatu adar bakoitza identifikatzen duten izen autentifikatuak, zeren izen horiek baitira bezero bakoitzeko fitxategiak bilatzeko giltzak.

Plan adierazgarri batek pool-a hiru LANetatik urrun edukitzen du. Zurea desberdina izango da, eta arau gogor bakarra da bi tarte ez direla gainjarri behar.

Hub LAN        172.20.0.0/24
Branch A LAN   172.21.0.0/24
Branch B LAN   172.22.0.0/24
VPN pool       10.77.0.0/24

identity branch-a owns 172.21.0.0/24
identity branch-b owns 172.22.0.0/24

Esan hubaren kernelari non dauden adarrak

Hubak bi informazio behar ditu adar bakoitzeko: kernel ibilbide bat aurrizkia tunel gailura bidaltzen duena, eta iroute sarrera bat OpenVPN prozesuari zein bezeros duen esaten diona. Kernel ibilbideak bakarrik paketeak tunelera eramaten ditu eta han gelditzen da, zeren daemonak oraindik erabaki behar du zein parek jaso behar dituen. iroute sarrera bakarrik pakete horiek kernelean uzten ditu jarraitzeko ibilbiderik gabe. Bi lerroak daemonak benetan kargatzen duen konfigurazioaren parte dira, eta hori egiaztatzea merezi du beste ezer araztu aurretik.

dev tun
topology subnet
server 10.77.0.0 255.255.255.0
disable-dco

route 172.21.0.0 255.255.255.0
push "route 172.20.0.0 255.255.255.0"
client-config-dir /etc/openvpn/ccd
route 172.22.0.0 255.255.255.0

Desgaitu bezero-bezeroa kernelak betearazpen-puntua izan behar duenean. Aukera horrek pareen arteko trafikoa daemonaren barruan erreleatzen du, erosoa da eta zure birbidaltze-arauak ez dutela fluxua inoiz ikusten esan nahi du. Beheko guztiak suposatzen du kernelak adarren arteko pakete bakoitza ikusten duela.

Eman adar bakoitzari behar dituen ibilbideak

Adar bakoitzak beste adarretarako eta hubaren LANerako ibilbideak behar ditu, eta ez du behar bere LAN konektaturako bat ere. Bultzatu urruneko aurrizkiak hubatik, bideratzaile bakoitzean itsatsi beharrean, laugarren gune batek geroago lau aldaketa beharrean bezero bakoitzeko fitxategi berri bat esan dezan. Bezero bakoitzeko fitxategiak iroute lerroa ere eramaten du, eta horrek jabetza eta iragarpena leku berean mantentzen ditu. Egin karpeta eta bere fitxategiak zerbitzariaren pribilegio-ereduaren arabera irakurgarri, bestela bilaketak huts egingo du mezurik gabe.

# /etc/openvpn/ccd/branch-a
iroute 172.21.0.0 255.255.255.0
push "route 172.22.0.0 255.255.255.0"

Laugarren guneak eredu bera jarraitzen du: izen autentifikatu bereizia, jabetzako aurrizkia, hubaren kernel ibilbidea, iroute sarrera eta iragarkiak hara iristeko baimena duten guneetara soilik.

Probatu bi norabideetan amaitu aurretik

Gaitu IPv4 birbidalketa hiru bideratzaileetan, eta gero egiaztatu suebakiak bi norabideetan aurreikusitako fluxuak baimendu egiten dituela, zeren norabide bakarreko proba itzulera-bide hautsiekin pasatzen da inork espero baino sarriago. Guneen artean ez da iturburu-itzulpenik behar, eta jatorrizko iturburua gordetzeak uzten dio adar bakoitzari bere politika aplikatzen eskaera bati.

Probatu adar baten LANeko ostalari batetik beste baten zerbitzura, gero alderantzikatu norabidea, eta gero probatu adar batetik hubaren LANera. Hiru emaitza horiek froga desberdinak dira, eta batek ere ez du bestea inplikatzen. Adar bideratzailea bere LANaren lehen ate lehenetsia ez bada, instalatu urruneko aurrizkiak benetako atean eta sartu pool-a ere tunel bezeroek LAN horretara konexioak hasi behar dituztenean.

Erregistratu plana, bezero bakoitzeko fitxategiak eta suebaki-arauak dokumentu bakar gisa, zeren hurrengo gune-gehikuntza haien aurka epaituko baita.

Diseinua bat dator zeren geruza bakoitzak zeregin bat du: planak aurrizkiak bakarrak mantentzen ditu, kernel ibilbideak paketeak mugitzen ditu, iroute jabea izendatzen du, eta suebakiak erabakitzen du zer den baimenduta. Zerbait hausten denean, zerrenda hori da, halaber, egiaztatzeko ordena.