Jistgħu l-klijenti fuq żewġ servers OpenVPN jilħqu lil xulxin?

Meta tqajjem it-tieni OpenVPN server, tkun qed tagħti t-tieni post fejn il-klijenti jistgħu jikkonnettjaw, u xejn aktar. Ma jpoġġix lil dawk il-klijenti fuq in-netwerk tal-ewwel server, u l-għażla msejħa client-to-client tbiddel biss l-ippurċessar ġewwa proċess wieħed tas-server. Iż-żewġ gruppi jsiru netwerk wieħed meta tagħmel rotot bejniethom, b'apposta, b'proprjetarju għal kull direzzjoni. Kull ma ġej hawn taħt jassumi modalità TUN fl-ispazju tal-utent b'dak l-ippurċessar intern mitfi, sabiex il-kernel jieħu d-deċiżjoni.

Il-mit: lista waħda ta' kontijiet, netwerk wieħed

L-awtentikazzjoni u l-aċċessabbiltà jiġu mħawwda għax it-tnejn jgħixu fil-konfigurazzjoni tas-server. Utent li jista' jidħol f'kull waħda miż-żewġ gateways jidher, minn barra, bħal utent fuq sistema waħda b'żewġ bibien. Ġewwa, kull server jagħti indirizzi mill-grupp tiegħu u jinstalla rotot biss għall-klijenti li jtemm. Għalhekk klijent fuq gateway A li jibgħat pakkett lil klijent fuq gateway B ikun qed jitlob destinazzjoni li s-server tiegħu qatt ma sama' biha. Il-pakkett imur għar-rotta default ta' A, joħroġ mill-mina, u jasal għand firewall li qatt ma ntalab jippermettih.

Iż-żieda ta' tieni server għalhekk ma żżidx redundanza, skoperta jew dominju ta' xandir komuni. Iżżid netwerk bir-rotot li jeħtieġ pjan, u l-pjan jibda bl-indirizzar.

Agħti lil kull gateway il-grupp u l-indirizz ta' transitu tiegħu

Żewġ firxiet li ma jistgħux jikkoinċidu ma' xejn ieħor, flimkien ma' rabta ta' transitu żgħira bejn il-hosts, hija l-pjan kollu tal-indirizzi. Żomm it-transitu fuq segment privat li tikkontrolla, u ikteb in-numri qabel ma xi server jagħti lease.

Irreżisti t-tentazzjoni li tagħti liż-żewġ servers l-istess grupp sabiex il-profili jibqgħu identiċi. Rotta tal-kernel ma tistax tgħid liema minn żewġ hosts bħalissa jippossjedi indirizz arbitrarju fi ħdan firxa komuni, għalhekk it-tabella tar-rotot tipponta lejn gateway wieħed u l-klijent jista' jkun marbut mal-ieħor. L-ismijiet tal-interfaces huma konvenzjonijiet lokali, mhux stat komuni. Iż-żewġ hosts hawn isejħu l-apparat tal-mina tun0 u r-rabta tat-transitu transit0, li huwa tajjeb għax ebda pakkett ma jġorr dawk l-ismijiet.

Installa r-rotta fuq iż-żewġ naħat

Kull gateway jeħtieġ rotta lejn il-grupp tal-ieħor permezz tal-indirizz tat-transitu, u l-ippurċessar irid ikun mixgħul biex wieħed minnhom jaġixxi bħala hop. Ikkonferma t-tabella attwali l-ewwel, imbagħad żid l-entrata u żommha permezz tal-maniġer tan-netwerk tal-host aktar milli hook ta' rikonnessjoni.

sysctl net.ipv4.ip_forward
ip route add 10.64.20.0/24 via 172.28.44.2 dev transit0
ip route get 10.64.20.37

Ikkopja dan fuq il-host l-ieħor bil-gruppi maqlubin. Li żżid l-istess rotta ripetutament minn script mhux relatat huwa kif host jispiċċa b'diversi kopji u bidla misterjuża l-ħin li jmiss li xi ħadd jaqra t-tabella. Jekk ir-rabta tat-transitu hija stess mina, ir-rotta tipponta lejn it-topoloġija ta' dik il-mina u l-hop irid jibqa' ħaj wara r-rikonnessjoni tagħha. Indirizz tat-transitu li jisparixxi għal tletin sekonda jieħu miegħu t-triq bejn il-gruppi, li hija proprjetà tad-disinn li tajjeb tingħad minflok ma tinkixef.

Ibgħat ir-rotta tal-klijent mingħajr ma tissimula l-proprjetà

Il-klijenti jeħtieġu rotta lejn il-grupp remot, inkella s-sistema operattiva tagħhom tibgħat il-pakkett lill-gateway default tagħha u l-mina qatt ma tarah. Il-konfigurazzjoni tas-server hija l-post naturali biex twassalha.

push "route 10.64.20.0 255.255.255.0"

Poġġi l-linja tal-kopja fil-konfigurazzjoni tas-server l-ieħor, imbagħad erġa' qabbad klijent tat-test u aqra t-tabella tiegħu. Klijent li jinjora rotot mibgħuta jeħtieġ konfigurazzjoni approvata tiegħu, u rotta li qatt ma tasal mhix kontroll tal-aċċess. Tagħtix lil klijent iroute għall-grupp kollu tal-gateway l-ieħor. Dik id-direttiva teżisti għal subnet wara klijent wieħed konness, u l-użu tagħha biex tgħatti rotta nieqsa bejn il-gateways jipproduċi server li jemmen li jippossjedi indirizzi li ma jistax jilħaq.

Ipprova talba waħda u rrifjuta oħra

Agħżel operazzjoni reali, pereżempju HTTPS minn klijent fi 10.64.10.21 lejn servizz fi 10.64.20.37, u ppermettti eżattament dik fuq iż-żewġ hosts. Kull firewall jammetti t-talba fuq in-naħa tad-dħul tiegħu u t-tweġiba traċċata fuq in-naħa tar-ritorn; il-politika tas-servizz tad-destinazzjoni stess għadha trid taċċettaha.

iptables -A FORWARD -i tun0 -o transit0 -s 10.64.10.21 -d 10.64.20.37 -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -i transit0 -o tun0 -d 10.64.10.21 -s 10.64.20.37 -p tcp --sport 443 -m conntrack --ctstate ESTABLISHED -j ACCEPT

B'rotot reċiproċi, NAT tas-sors mhux meħtieġ u hawn huwa attivament ta' ħsara: it-traduzzjoni tas-sors taħbi liema klijent għamel it-talba u tfixkel il-politika bbażata fuq is-sors fuq in-naħa tad-destinazzjoni. Iċċekkja li regola eżistenti ta' masquerade għall-ħruġ lejn l-internet ma taqbadx ukoll dan il-perkors. Imbagħad ipprova ċ-ċaħda. Servizz li għandu jibqa' lokali għall-grupp B għandu jibqa' ma jintlaħaqx mill-grupp A, u pari ta' klijenti fuq l-istess gateway jeħtieġu test ukoll, għax il-politika tal-ippurċessar li għadek kemm biddilt tapplika għalihom ukoll.

Korrezzjoni oħra tal-mudell mentali: ir-rabta tat-transitu ġġorr pakketti interni deċifrati, għalhekk hija konfini ta' fiduċja u mhux garanzija privata. Jekk taqsam netwerk li ma tikkontrollax, ipproteġi dak il-hop b'mina encrypted approvata u agħmel rotta permezz tat-topoloġija reali tagħha. TLS minn tarf sa tarf xorta jawtentika l-applikazzjoni waħedha, u għalhekk is-servizz intern għandu jkompli jużaha.