Dotaz: sietovy tunel

[tunel]

Potrebujem nakopnut spravnym smerom. Mam 2 serveri medzi ktorymi chcem spravit tunel a z jedneho smerovat traffic na druhy a dalej von. Viete mi poradit ako na to, resp. aky soft na to pouzit?

Dakujem.

---

---

Odpovědi

[Martin H.]

Něco na způsob OpenVPN?

[Martin H.]

Přesně tak, OpenVPN je řešení.

Dej si tu vyhledat OpenVPN, nebo zajdi na root.cz, tam by hezký článek.

S tím směřováním - teď jsem tu řešil/a vyřešil - direktiva route-gateway (to jen kdyby ti to nechtělo routovat, jako mě)

[cynic_asshole]

Proč mu cpeš OpenVPN? Vždyť mu na tohle stačí vytvořit tunel přímo v systému bez doinstalování dalšího software. Použij tyhle příkazy (server A je 1.1.1.1 a server B je 2.2.2.2):

#Konfigurace serveru A
modprobe ipv6
ip tunnel add muj_tunel mode sit remote 2.2.2.2 local 1.1.1.1 ttl 255
ip link set muj_tunel up



#Konfigurace serveru B
modprobe ipv6
ip tunnel add muj_tunel mode sit remote 1.1.1.1 local 2.2.2.2 ttl 255
ip link set muj_tunel up

[cynic_asshole]

Hergot, jsem si nevšim, to modprobe ipv6 tam není potřeba.

[tunel]

muj_tunel Link encap:IPv6-in-IPv4 inet6 addr: fe80::5db8:4f02/128 Scope:Link UP POINTOPOINT RUNNING NOARP MTU:1480 Metric:1 RX packets:0 errors:0 dropped:0 overruns:0 frame:0 TX packets:0 errors:0 dropped:0 overruns:0 carrier:0 collisions:0 txqueuelen:0 RX bytes:0 (0.0 B) TX bytes:0 (0.0 B)

myslis ze je to spravne? nepridelilo to ipv4 adresu, nema to ani netmask

[tunel]

muj_tunel Link encap:IPv6-in-IPv4

inet6 addr: fe80::5db8:4f02/128 Scope:Link

UP POINTOPOINT RUNNING NOARP MTU:1480 Metric:1

RX packets:0 errors:0 dropped:0 overruns:0 frame:0

TX packets:0 errors:0 dropped:0 overruns:0 carrier:0

collisions:0 txqueuelen:0

RX bytes:0 (0.0 B) TX bytes:0 (0.0 B)

[cynic_asshole]

Ty adresy si na těch rozhraních pak musíš nastavit sám, samozřejmě.

[Opičák]

a nějaké šifrování tam lze zapnout? Pokud ne, tak je to dost chabý tunel.

[cynic_asshole]

Ano, jde.

[tunel]

Mozes mi prosim ta poslat na stranu A aj B hotovy config ktory by mi to nastavil aj s adresou (samozrejme si ju sam zadefinujem). Dakujem.

[cynic_asshole]

#Konfigurace serveru A ip tunnel add muj_tunel mode sit remote 2.2.2.2 local 1.1.1.1 ttl 255 ip link set muj_tunel up ip address add 10.0.0.1/30 brd + dev muj_tunel

#Konfigurace serveru B ip tunnel add muj_tunel mode sit remote 1.1.1.1 local 2.2.2.2 ttl 255 ip link set muj_tunel up ip address add 10.0.0.2/30 brd + dev muj_tunel

[cynic_asshole]

#Konfigurace serveru A
ip tunnel add muj_tunel mode sit remote 2.2.2.2 local 1.1.1.1 ttl 255
ip link set muj_tunel up
ip address add 10.0.0.1/30 brd + dev muj_tunel

#Konfigurace serveru B
ip tunnel add muj_tunel mode sit remote 1.1.1.1 local 2.2.2.2 ttl 255
ip link set muj_tunel up
ip address add 10.0.0.2/30 brd + dev muj_tunel

[cynic_asshole]

Ještě bych to trochu poopravil, v tomhle případě SIT není dobré, lepší bude použít GRE. Takže konfigurace bude

#Konfigurace serveru A
ip tunnel add muj_tunel mode gre remote 2.2.2.2 local 1.1.1.1 ttl 255
ip link set muj_tunel up
ip address add 10.0.0.1/30 brd + dev muj_tunel

#Konfigurace serveru B
ip tunnel add muj_tunel mode gre remote 1.1.1.1 local 2.2.2.2 ttl 255
ip link set muj_tunel up
ip address add 10.0.0.2/30 brd + dev muj_tunel

[tunel]

Dakujem, P-t-P ma mat IP vzdialeneho stroja, teda stroja B? Len pre uplnost, staviam to na verejnych ip.

[cynic_asshole]

Ještě jednou, nějak jsem nepochopil otázku? Apropos, tím tunelem budou chodit nějaká důvěrná data?

[tunel]

Nie, nebudu. Zmazal som defaultnu GW a nastavil som ako GW server B, nasledne to cele spadlo. Aka ma byt gw pre iface eth0 na zaklade vyssie uvedeneho configu? Neviem vlastne ako celu prevadzku dalej z eth0 nasmerovat na ten tunel.

[cynic_asshole]

Necháme to na zítra. Jo, a kdyby to šlo, pošli mi i nějaký nákres sítě, jak to chceš provozovat. Sice chápu, ale nad obrázkem se mi líp přemýšlí.

[tunel]

tu je nakres siete.

dakujem.

[cynic_asshole]

Takže na serveru A si nastavíš routu na veřejnou IP serveru B.
2.2.2.2/32 přes ISP_gateway.
Dále si nastavíš nespecifickou routu na tunelovou IP serveru B.
0.0.0.0/0 přes muj_tunel. Konfigurace serveru A:

ip route add 2.2.2.2/32 via IP_GATEWAYE_ISP
ip route change 0.0.0.0/0 via 10.0.0.2

To by mělo být celé. Nejsem si syntaxí příkazu ip jist, na BSD, které používám, existuje jen ifconfig a route.

[tunel]

ip tunnel add muj_tunel mode gre remote 2.2.2.2 local 1.1.1.1 ttl 255 ip link set muj_tunel up ip address add 10.0.0.1/30 brd + dev muj_tunel

remote je IP vzdialeneho servera, local je moja IP, tam mozem nastavit rovnaku ako na primarnu iface? address add 10.0.0.1/30 tam moze ist akakolvek neverejna IP alebo tam mam tiez nastavit nejaku verejnu IP?

Dakujem.

[tunel]

ip address add 10.0.0.1/30 brd + dev muj_tunel

ip route change 0.0.0.0/0 via 10.0.0.2

v prvom pripade treba priradit pre "muj tunel" verejnu IP alebo staci neverejna?

v 2. pripade ide via server B?

Dakujem.

[Martin H.]

Díky za skvělou odpověď ... možná proto, že VPN znám a tohle jsem (doteď) nevěděl. Holt jsem se snažil poradit, jak bych to (se svou znalostí) řešil já.

Proto OpenVPN.

[cynic_asshole]

Mno, s odstupem času si myslím, že jsem tu reakci mohl napsat lépe. Ale v tu chvíli mě neskutečně iritovalo, že všichni (nemyslím tebe, když bys neporadil OpenVPN ty, poradil by ho někdo jiný) znají jen OpenVPN a přitom se to dá vyřešit i elegantněji a přímo v systému. No každopádně, jestli ses z té diskuze něco nového naučil, svůj účel to splnilo.

[tunel]

Takze je to takto:

Server A ktory ma routovat cez server B ma IP adresu 140.184.79.3
Server B ktory ma prijimat traffic od serveru A ma IP adresu 140.184.79.4
Teda, traffic z A ma prechadzat do B a ten ho ma routovat dalej.

Na serveri A som pouzil nasledovnu konfiguraciu:

ip tunnel add muj_tunel mode gre remote 140.184.79.4 local 1.1.1.1 ttl 255
ip link set muj_tunel up
ip address add 140.184.79.3 brd + dev muj_tunel
ip route add 140.184.79.4 via 140.184.79.1
ip route change 0.0.0.0/0 via 140.184.79.4

Server B:

ip tunnel add muj_tunel mode gre remote 140.184.79.3 local 140.184.79.4 ttl 255
ip link set muj_tunel up
ip address add 140.184.79.4 brd + dev muj_tunel

A nejde

[cynic_asshole]

Ne, na těch tunelových intarfacech musíš mít jiné IP adresy. Dej tam třeba ty z toho neveřejného rozsahu, co jsem psal, s maskou /30.

[tunel]

Ach, nejde ani tak...

[cynic_asshole]

Server A:

#Nastaveni rozhrani TunelB
ip tunnel add TunelB mode gre remote 140.184.79.4 local 140.184.79.3 ttl 255
ip link set TunelB up
ip address add 10.0.0.1/30 brd + dev TunelB
#Nastaveni routovani
ip route add 140.184.79.4 via 140.184.79.1
ip route change 0.0.0.0/0 via 10.0.0.2

Server B:

#Nastaveni rozhrani TunelA
ip tunnel add TunelA mode gre remote 140.184.79.3 local 140.184.79.4 ttl 255
ip link set TunelA up
ip address add 10.0.0.2/30 brd + dev TunelA

Nejprve bych ti doporučil nastavit ty tunely, potom vyzkoušet, jestli se z jednoho konce tunelu dopingneš na druhý konec, a pak řešit to routování.

[tunel]

PINGat mam tu lokalnu IP alebo verejnu?

[tunel]

zo serveru B sa na A dostanem, ping prejde ale z A na B nie.

[cynic_asshole]

No, napsal jsem z jednoho konce tunelu na druhý, tak co myslíš? Cé je správně! Na IP adresy těch tunelů, takže neveřejné.

[tunel]

OK, dajme tomu ze to ide. Po nastaveni routovania to ale vypoveda fukcnost.

[cynic_asshole]

Po nastavení routování ti spadne ten tunel? Nejde potom ping druhej server?

[tunel]

Ping na 10.0.0.2 neprejde nikdy, ale na verejnu siet sa dostanem. Normalne pingam vsetky verejne IP aj mimo subnet, ale po dani posledneho kroku to cele spadne. Zrejme teda ten tunel nefunguje.

[tunel]

OK, tunel mi ide uz...ale ak nastavim routovanie tak sa nedostanem mimo subnet.

[cynic_asshole]

Takže prve musíš vyřešit, proč neprojde ten ping.

[tunel]

Uz prejde, je tam len problem s routovanim momentalne...tunel sa na oboch stranach vidi, pingam obe strany.

[tunel]

Dakujem ti Honza, zda sa ze to ide. Som velmi rad ze si si nasiel cas riesit moje poziadavky

[tunel]

OK, tak som si myslel ze je to uz ok, ale to som nemal spravenu routu.

Ak zadam ako posledny krok ip route change 0.0.0.0/0 via 10.0.0.2, nedostanem sa mimo subnet, vedeli by ste mi s tym pomoct?

Dakujem.

[tunel]

ip route change default via $REMOTE dev eth0

uz mi to ide, postacuje takto definovat?

[cynic_asshole]

Ano, mělo by stačit. Nevěděl jsem, jestli se tímhle nevyruší i to pravidlo o směrování IP adresy serveru B. Takže jestli funguje, je to v pořádku. Jsem rád, že jsem ti pomohl.

[tunel]

Ahoj,  zrejme to nestaci. Ak pouzijem ip route change 0.0.0.0/0 via 10.0.0.2 , tak mi to zrusi siet.

Pri mojom nastaveni, pingnem nejaku ip tak mi napise nexthop a server B, ale ak stiahnem nejake data tak to neprejde cez server A, teda ide to napriamo, mimo server B.

[cynic_asshole]

Co ti vypíše příkaz traceroute www.nix.cz?

[cynic_asshole]

Jo, a taky pošli routovací tabulky z obou serverů. Příkaz ip route show.

[2009]

Nemozem ti napisat niekde na jabber/icq/skype, nechcem tu zverejnovat svoje IP rozsahy

Dik.

[2009]

Server A:

81.184.79.5 via 81.184.79.1 dev eth0
10.0.0.0/30 dev TunelB  proto kernel  scope link  src 10.0.0.1
81.184.79.0/24 dev eth0  proto kernel  scope link  src 81.184.79.2
default via 10.0.0.2 dev TunelB

____________________________________________________________________

Server B:

10.0.0.0/30 dev TunelA  proto kernel  scope link  src 10.0.0.2
81.184.79.0/24 dev eth0  proto kernel  scope link  src 81.184.79.5
default via 81.184.79.1 dev eth0

____________________________________________________________________

Traceroute neprejde nikam.

 

Config server A:

ip tunnel add TunelB mode gre remote 81.184.79.5 local 81.184.79.2 ttl 255
ip link set TunelB up
ip address add 10.0.0.1/30 brd + dev TunelB
ip route add 81.184.79.5 via 81.184.79.1
ip route change 0.0.0.0/0 via 10.0.0.2

Config server B:

ip tunnel add TunelA mode gre remote 81.184.79.2 local 81.184.79.5 ttl 255
ip link set TunelA up
ip address add 10.0.0.2/30 brd + dev TunelA

[cynic_asshole]

Jabber: honza@betik.cz

[2009]

ok, uz ti pisem.