Re: routing :: comunicare retele prin tunel openvpn

În 2016-12-12 18:54, Adrian Sevcenco a scris:
> On 12/12/2016 06:32 PM, Iulian Murgulet wrote:
>> În 2016-12-12 17:09, manuel "lonely wolf" wolfshant a scris:
>>> On 12/12/2016 03:57 PM, Mihai Badici wrote:
>>>> Poti sa pui ruta inversa cu "push route":
>>>> 
>>>> push "route 10.10.0.0 255.255.0.0"  in configul de server. Cred ca
>>>> merge si
>>>> in acel fisier in care ai pus iroute.
>>>> ( exemplele mele nu sunt consistente, sunt din configuri diferite)
>>>> 
>>> config functional de ani de zile in curtea mea:
>>> 
>>> push "route 192.168.10.201 255.255.255.255"
>>> push "route 192.168.5.1 255.255.255.255"
>>> push "route 192.168.5.24 255.255.255.255"
>>> push "route 192.168.5.29 255.255.255.255"
>>> push "dhcp-option DNS 192.168.10.11"
>>> 
>> 
>>    Da, confirm si eu partea cu push ... Merge de ani si la mine. 
>> Trebuie
> o am si eu ..
> push "route 10.10.8.0  255.255.252.0"
> push "route 172.20.0.0 255.255.255.0"
> 
> astea fiind retelele private la care vreau sa ajung de acasa
> 
>> totusi sa ia in vedere si ce vei putea avea peste ceva timp. Daca or 
>> sa
>> apara in loc de un singur tunel 10-15 tunele,
>> nu mai este chiar asa de placut. Stii ... sterge push "route 
>> draci-laci"
>> si aduga 2-3 route, si asta pe mai multe tunele. Asadar, daca crezi ca
> e doar un tunel p2p fix pentru a avea de acasa access la retelele
> private unde am ipmi-uri care imi ofera un kvm prin applet java,
> applet ce nu stie sa recunoasca proxyul setat al browserului si prin
> urmare nu functioneaza
> 
>> NU ai sa ajungi la aceasta situatie, push route e cel mai bine. Daca
>> insa e posibil sa ajungi la ce povestesc eu, atunci nu asta este 
>> solutia
>> optima. In cazul a mai multor tunele, e mai productiv sa folosesti 
>> ospf.
>> In cazul asta ospf fa face ceea ce face push-route. Si de aici apar si
>> alte avantaje, dar nu intru in detalii.
>> 
>>    Deasemenea, daca ai ceva in LAN-ul remote de acesat poate fi utila 
>> si
>> varianta cu un haproxy pe capatul tunelului(la care ajungi cu 
>> openvpn),
>> si de acolo haproxy face rutarea in spate pe host-le care te
> nu prea inteleg cum face rutarea un proxy ... poti te rog sa detaliezi
> un pic si/sau imi dai un link de lamurire? din ce am vazut la un
> google scurt haproxy e ceva cu load balancing si nu prea vad ce
> legatura are cu accessul meu la o retea de dincolo de serverul openvpn


- se poate seta sa zicem un loadbalancing cu un singur back-end in spate

(ex. 
192.168.100.0/24)lan-home---ovpn-home(10.20.30.1)--------ovpn-munca(10.20.30.2)---lan-munca(ex. 
192.168.0.0/24)

- ideea este ca din 192.168.100.0/24 ajung cu ping de ex. la 
ovpn-munca(10.20.30.2)

- pun un haproxy pe masina de la munca care tine ovpn-ul, si care 
asculta cererile care vin prin ovpn
- deci clientul din lan-home comunica doar cu ip-ul oferit de 
ovpn-munca, si ca orice proxy, rescrie header-ul(similar cu NAT-ul ca 
idee) si ce mai stie el,
astfel incat destinatia finala din lan-munca vede ca si sursa ip-ul 
masinii care tine ovpn-ul:


listen frontend_proxy_tcp 10.20.30.2:xxx
       maxconn 500
       mode tcp
       option tcplog
       server backend 192.168.0.y1:z1 check


- deci ce vine pe portul tcp xxx/10.20.30.2 este "routat" via ha-proxy 
catre hostul 192.168.0.y1, portul tcp z1.
- poti face N instante de genul asta, care sa asculte pe acelasi ip 
10.20.30.2, dar pe porturi diferite
- singura conditie este ca hostul de la munca pe care ruleaza ovpn sa 
poata contacta host-le pe care te intereseaza pe tine
- deci poti sa ai si asa:


listen frontend1_proxy_tcp 10.20.30.2:x1
       maxconn 50
       mode tcp
       option tcplog
       server backend 192.168.0.y1:z1 check

listen frontend2_proxy_tcp 10.20.30.2:x2
       maxconn 50
       mode tcp
       option tcplog
       server backend 192.168.0.y2:z1 check

.... samd


   Si am convingerea ca e mai buna varianta cu haproxy, pt ca:
- nu vrei ca virusii sau nebuniile de la tine de acasa sa ajunga la 
munca
- nu vrei nici invers, ca problemele de la munca sa-ti "inunde" reteaua 
de acasa
- cu ceva setari de timeout .... o conexiune de ovpn intrerupta, si apoi 
restabilita nu conduce si la intrerupere sesiunii cu backend-ul pe care 
tocmai faceai ceva f. important
- e usor de setat niste reguli simple si decente de firewall pt haproxy

Practic in cazul tau haproxy va face "rutarea" catre back-end-ri, iar 
back-end-le vor raspunde la cererile venite de la haproxy. Banui ca 
acele aplet-ri ruleaza intr-un browser,
prin urmare, se poate seta haproxy sa asculte cereri pe un https, adica 
in final nici nu mai ai nevoie de ovpn, daca limitezi din firewall 
sursa/ip de acasa(port-knok?). Si de acasa deschizi
doar un broswer ... asa e si mai simplu. Tot ce ai de facut e sa setezi 
cum trebuie haproxy.

Bafta.


> ...
> 
> Multumesc frumos!
> Adrian
> 
> 
>> intereseaza. Eu cred ca varianta asta e si mai secure ...;) Aici nu 
>> mai
>> ai nevoie de nici o rutare gen push route!
>> 
>>    Evident fiecare variana are avantaje si dezavantaje. Alege ce-ti
>> convine mai mult!
>> 
>>> _______________________________________________
>>> RLUG mailing list
>>> [email protected]
>>> http://lists.lug.ro/mailman/listinfo/rlug
>> ================================ ATENTIONARI 
>> =============================
>> 
>> - nu trimiteti date personale (CNP, copii dupa acte de identitate 
>> etc).
>> 
>>  O lista completa cu reguli de utilizare exista la:
>> 
>> http://gw.casbv.ro/forum_smf/index.php?topic=2000.msg3106#msg3106
>> 
>> C.A.S.J. Brasov - B-dul Mihail Kogalniceanu, nr. 11,Brasov
>> [web-site]: http://www.casbv.ro
>> [forum]: http://gw.casbv.ro/forum_smf/index.php
>> 
>> ==========================================================================
>> 
>> _______________________________________________
>> RLUG mailing list
>> [email protected]
>> http://lists.lug.ro/mailman/listinfo/rlug
>> 
> 
> 
> _______________________________________________
> RLUG mailing list
> [email protected]
> http://lists.lug.ro/mailman/listinfo/rlug
================================ ATENTIONARI =============================

- nu trimiteti date personale (CNP, copii dupa acte de identitate etc).

 O lista completa cu reguli de utilizare exista la:

http://gw.casbv.ro/forum_smf/index.php?topic=2000.msg3106#msg3106

C.A.S.J. Brasov - B-dul Mihail Kogalniceanu, nr. 11,Brasov
[web-site]: http://www.casbv.ro
[forum]: http://gw.casbv.ro/forum_smf/index.php

==========================================================================

_______________________________________________
RLUG mailing list
[email protected]
http://lists.lug.ro/mailman/listinfo/rlug