Dotaz: Dva OpenVPN servery v jedne siti pres bridge

[ok2zar]

Příloha:

• VPN_net_bridge.png (61046 bytů)

Zdravim vsechny,

v soucasne dobe mame propojene pobocky pres OpenVPN a to pomoci jednoho VPN serveru. Nicmene vyvstal pozadavek mit VPN servery dva (kazdy na jine lokalite, kde jsou dve pripojeni z nichz vzdy jedno ma verejnou IP a druhe nejakou IP za NATem) a tyto servery nejak propojit, aby bylo zcela jedno, ke kteremu z nich si navaze klient spojeni a zaroven byli klienti navzajem dostupni bez ohledu na to, zda jsou navazani oba na tentyz VPN server ci kazdy na jiny.

Napadlo me toto reseni (viz priloha), ale nejsem si zcela jist, zda je to právě to pravé a zda to ma sanci na rozumny uspech. K obrazku jen dodam, ze "VPN server A" bude mimo jine i jako VPN server pro navazovani VPN spojeni urceneho pro bridge.

Diky za nazory a pripadne i za napady.

Odpovědi

[NN]

Pouzijte samostatny subnet pro kazdou lokalitu a provoz routujte, pokud je to jeste mozne..

[ok2zar]

Kdyby to tak slo, tak bych si piskal Bohuzel. Oba "konce" musi obsluhovat stejny rozsah.

[Petr Tomášek]

Proč propána?

[trekker.dk]

Fungovat by to mělo. Možná bude potřeba pohrát si s filtrováním paketů na straně těch serverů, aby přes tu OpenVPN nechodila hromada broadcastů a podobných. Co mám zkušenost, tak ovpn zvládne docela slušný traffic, ale velký počet paketů ji položí. Jo, samozřejmostí je, že A a B přidělují různé adresy.

[ok2zar]

S tim souhlasim. A i B budou mit totozne CCD, takze klient dostane stejnou IP na obou koncich, ale samozrejme se nikdy "nepotkaji" dve stejne, protoze oba konce prideluji IP podle stejneho klice.

[hates]

Nevim zda obe lokality maji verejnou IP nebo ne. Pokud ano tak bych misto tap1 resil neco jednodussiho nez openvpn. Nestacilo by tam pouze PPPoE. Jelikoz to cele budete mit v bridge tak nemusite ten spoj ani oadresovat.

Tak jak to mate to fungovat bude. Podotykam ze pokud ale mate takto adresovanou sit tak jeste do bridge pridejte ethX ktera vede k tem serverum.

[Loso]

Zravim, bridge funguju dopohody aj v jednom subnete (u mna zelany stav), tap<->tap kazdej vpn session pouzivam ako "virtualny kabel" na prepojenie medzi bridge-mi, treba si osetrit STP, a scripty na strane klientov (vytvorenie br, podsunutie tapX, IP, routovanie default gw a routy k vpn serveru, etc...) funguje to pekne redundantne aj do hviezdy....

[Marian Schmotzer]

Hmm to znie zaujimavo. Ako riesis spustenie skriptov po starte serveru? (potreboval by som po nahodeni tap/tun device nastavit routy na siete co su za openvpn klientami). V mojom pripade bridge nepomoze mam rozne rozsahy.

[Loso]

pre kazdy "tap kabel" samostatny .conf v nom custom up script (riesit routing/iptables/maskaradu ci existuje/neexistuje), ubuntu/debian do /etc/default/openvpn vymenovat conf subory bez pripony .conf co sa maju pustit. (jeden server klientom druheho serveru a vice versa, klienti k obom serverom), mam len linuxy takze ako s tym pre widly, poradit neviem. Vela zdaru.

[Loso]

ak ma pamat neklame, pre kazdeho klienta (ma vlastny cert) sa da vytvorit cfg co mu bude push-nute, pouzival som v pripade, ze jeden z klientov disponoval dalsim subnetom, ktory som chcel zdielat s ostatnymi klientami, odporucam na serveri pouzit option "topology subnet"