Dotaz: pokrocilejsie nastavenie s vpn

[jany2]

Potreboval by som poradit, akym sposobom dostat zariadenia, ktore nemaju ovpn klienta do ovpn siete, ale aby v ovpn fungovalo len na jednom porte. Napisal som to dost zlozito, ale prikladam aj obrazok pre lepsie pochopenie.
Podla obrazku (su tam 2 typy nastavenia domaceho routeru). Typ nastavenia na obr. A: domaci router je v bridge mode. Druhy typ B: pouziva NAT a router vytvara dalsi subnet.
Domaci router pouziva fw openwrt. Dostal som sa do bodu, kde uz na openwrt bezi ovpn klient (vdaka uzivatelovy NN, ktory mi s tym vcera pomohol). Ja teraz potrebujem zabezpecit aby som dostal ovpn na zariadenie (to zariadenie samo o sebe nevie vpn) ktore je v sieti za routerom. Neviem ci bude mozne spravit aj to, aby dane zariadenie pocuvalo cez vpn len na porte 40000 a ostatna komunikacia (ine porty napr. 80, 21 ....) isli cez realnu siet 192.168.5.x

Odpovědi

[Jendа]

Na wiki openwrt hledej switch configuration, je tam, jak z jednoho portu vytvořit nový interface. To druhé nějak takhle (co třeba před položením dotazu pět minut googlit?)

[jany2]

Nedavno ma zacala problematyka okolo vpn zaujmat a tak som sa rozhodol, ze vyskusam ako to funguje. Kedze nie som v tejto oblasti celkom znaly, nepracujem v IT a mozem sa tomu venovat len obmedzeny cas.
Pri testovani nastala situacia na ktoru sa dotazujem. Momentalne nemam ponatia akym sposobom to urobit a neviem ani pod akymi klucovymi slovami by som to hladal cez google, preto som polozil dotaz sem.
Viem, ze su tu skutocne uzivatelia, ktori su ochotny poradit (i ked sa niekedy so mnou dost natrapia ) za co som im velice vdacny.
Jenda dakujem aj tebe, ale ked som si na wiki openwrt vyhladal nieco o switchy, aj tak to chce este hodne okolo toho studovat (nie celkom si rozumiem dobre s anglictinou, trochu pomoze aj google translate, ale ten preklad tiez nie je idealny).
Jednoducho povedane trapim sa :(

[NN]

Ja bych si potreboval ujasnit jednu vec. Jestli se potrebujes dostat pres VPN na klienty z venku, nebo se klieti potrebujou dostat skrz VPN k tobe?

[jany2]

To druhe je spravne, klenti sa musia dostat skrz vpn na ovpn server

[Andrej]

Stačí mít správně nastavené routování do těch všech rozsahů za OpenVPN. Informace o routování se dají automaticky předat pomocí router advertisementů (radvd) a/nebo pomocí DHCP (dhcpd).

(Trochu mi ale vrtá hlavou, proč chce někdo OpenVPN. Řešení číslo jedna pro VPN všeho druhu se jmenuje IPSec. (Démon pro výměnu klíčů a konfiguraci je například {strong,libre,open}swan.) OpenVPN má zkrátka v názvu VPN, což spoustu lidí nějak magický přitahuje, přestože by se na daný use-case mnohem lépe hodil IPSec.)

K otázce ohledně portů: První možnost je nastavit si firewall na routeru tak, aby na některé porty zařízení ve své vnitřní sítí pouštěl pouze data přicházející z VPN. Lepší ale bude přidělit těm zařízením dvě adresy se dvou různých disjunktních rozsahů, z nichž do jednoho se routuje odkudkoliv a do druhého jen z VPN. Pak se dá snadno nastavit, na které adrese a na kterém portu co poslouchá a zda je to veřejné nebo VPN. Navíc to bude fungovat s IPSec adresami, s OpenVPN virtuálními zařízeními a především (což je asi cílem, předpokládám) také se systémy a zařízeními zcela neznalými VPN. Stačí všeho všudy, aby byl správně nastavený radvd a dhcpd na routerech.