Ħub OpenVPN wieħed, tliet LAN: pjan tal-indirizzi u fajls iroute

Tliet LAN privati jistgħu jiltaqgħu fuq ħub wieħed mingħajr ma sit ikun jeħtieġ jaf l-intern ta' oħrajn, u d-disinn kollu jiddependi fuq erba' deċiżjonijiet qosra ta' konfigurazzjoni. Li jagħmilha taħdem mhuwiex karatteristika eżotika tal-protokoll, iżda pjan tal-indirizzi li ħadd m'għandu jaqta', flimkien ma' rotot għal kull klijent li jgħidu lill-ħub liema fergħa tippossjedi liema prefiss. Jekk waħda minnhom tkun żbaljata, il-mina xorta tgħolli, u dan huwa eżattament dak li jagħmel il-falliment konfuż.

Agħmel il-passi fl-ordni. Kull wieħed jiddependi fuq il-pjan tal-pass ta' qabel, u ħadd minnhom m'għandu bżonn awtorità taċ-ċertifikati ġdida.

Ibda b'pjan li ħadd m'għandu jaqta'

Ikteb erba' prefissi disjoint qabel ma tmiss fajl ta' konfigurazzjoni: il-LAN tal-ħub stess, il-LAN ta' kull fergħa, u l-pool mogħti lill-klijenti li jmorru minn post għall-ieħor. Id-disjointness hija dik li żżomm kollox ieħor sempliċi, għax firxiet li jaqsmu jbiddlu r-rotta f'logħba ta' tqabbil l-itwal li l-ebda konfigurazzjoni għal kull klijent ma tsewwi. Imbagħad ikkonferma liema magna hija l-gateway default għal kull LAN, għax router tal-fergħa li mhuwiex il-gateway tal-LAN tiegħu jeħtieġ li jinstalla r-rotot remoti x'imkien ieħor kollu. Fl-aħħar, iffissa l-ismijiet awtentikati li jidentifikaw kull fergħa, għax dawk l-ismijiet huma ċ-ċwievet li bihom jitfittxu l-fajls għal kull klijent.

Pjan illustrattiv iżomm il-pool 'il bogħod ħafna mit-tliet LAN. Tiegħek se jkun differenti, u l-unika regola iebsa hija li żewġ firxiet ma jaqsmu qatt.

Hub LAN        172.20.0.0/24
Branch A LAN   172.21.0.0/24
Branch B LAN   172.22.0.0/24
VPN pool       10.77.0.0/24

identity branch-a owns 172.21.0.0/24
identity branch-b owns 172.22.0.0/24

Għid lill-kernel tal-ħub fejn jinsabu l-fergħat

Il-ħub jeħtieġ żewġ informazzjonijiet għal kull fergħa: rotta tal-kernel li tibgħat il-prefiss fl-apparat tal-mina, u entrata iroute li tgħid lill-proċess OpenVPN liema klijent jippossjediha. Ir-rotta tal-kernel waħedha twassal il-pakketti fil-mina u tieqaf hemm, għax id-daemon għad irid jiddeċiedi liema peer għandu jirċevihom. L-entrata iroute waħedha tħalli dawk il-pakketti fil-kernel mingħajr rotta x'tsegwi. Iż-żewġ linji jappartjenu għall-konfigurazzjoni li d-daemon fil-fatt jillowdja, u dan jistħoqqlu verifika qabel ma tiddibbagja xi ħaġa oħra.

dev tun
topology subnet
server 10.77.0.0 255.255.255.0
disable-dco

route 172.21.0.0 255.255.255.0
push "route 172.20.0.0 255.255.255.0"
client-config-dir /etc/openvpn/ccd
route 172.22.0.0 255.255.255.0

Żomm client-to-client mitfi meta l-kernel għandu jkun il-punt tal-infurzar. Dik l-għażla tgħaddi t-traffiku bejn il-peers ġewwa d-daemon, li hija konvenjenti u wkoll tfisser li r-regoli tal-forwarding tiegħek qatt ma jaraw il-fluss. Kollox hawn taħt jassumi li l-kernel jara kull pakkett bejn il-fergħat.

Agħti lil kull fergħa r-rotot li teħtieġ

Kull fergħa teħtieġ rotot għall-fergħat l-oħra u għal-LAN tal-ħub, u m'għandhiex bżonn waħda għal-LAN tagħha mwaħħla. Imbotta l-prefissi remoti mill-ħub minflok ma twaħħalhom f'kull router, hekk li r-raba' sit aktar tard ifisser fajl ġdid wieħed għal kull klijent minflok erba' bidliet. Il-fajl għal kull klijent iġorr ukoll il-linja iroute, li żżomm is-sjieda u l-avviż fl-istess post. Agħmel id-direttorju u l-fajls tiegħu jinqraw taħt il-mudell tal-privileġġi tas-server, inkella t-tfittxija tfalli mingħajr messaġġ.

# /etc/openvpn/ccd/branch-a
iroute 172.21.0.0 255.255.255.0
push "route 172.22.0.0 255.255.255.0"

Ir-raba' sit isegwi l-istess mudell: isem awtentikat distint, prefiss possedut, rotta tal-kernel fuq il-ħub, entrata iroute, u avviżi biss lis-siti li huma awtorizzati jilħquh.

Ittestja f'żewġ direzzjonijiet qabel ma tgħid li spiċċa

Ixgħel il-forwarding IPv4 fuq it-tliet routers kollha, imbagħad ikkonferma li l-firewall jippermetti l-flussi maħsuba f'żewġ direzzjonijiet, għax test f'direzzjoni waħda jgħaddi b'rotta tar-ritorn miksura aktar spiss milli jistenna ħadd. Bejn is-siti mhuwiex meħtieġ traduzzjoni tal-indirizz tas-sors, u li tinżamm is-sors oriġinali hija eżattament dik li tħalli lil kull fergħa tapplika l-politika tagħha għal talba.

Ittestja minn host fuq LAN ta' fergħa għal servizz fuq oħra, imbagħad aqleb id-direzzjoni, imbagħad ittestja minn fergħa għal-LAN tal-ħub. Dawk it-tliet riżultati huma provi differenti, u ħadd minnhom ma jimplika l-oħrajn. Jekk router tal-fergħa mhuwiex il-gateway default tal-LAN tiegħu, installa l-prefissi remoti fuq il-gateway veru u inkludi l-pool ukoll meta l-klijenti tal-mina jkollhom bżonn jibdew konnessjonijiet f'dik il-LAN.

Irrekordja l-pjan, il-fajls għal kull klijent u r-regoli tal-firewall bħala dokument wieħed, għax iż-żieda tas-sit li jmiss tiġi ġġudikata fuqhom.

Id-disinn iżomm flimkien għax kull saff għandu xogħol wieħed: il-pjan iżomm il-prefissi uniċi, ir-rotta tal-kernel iċċaqlaq il-pakketti, iroute isemmi lis-sid, u l-firewall jiddeċiedi x'inhu permess. Meta xi ħaġa tinqasam, dik il-lista hija wkoll l-ordni li biha tiċċekkja.