Dotaz: OpenVPN: jak vyřešit přístup ze sítě za NATem?

[palardd]

Dobrý den, pročetl jsem si konferenci, ale konkrétní podobný případ jsem nenašel.

• Záměr: zpřístupnit samba disky (Linux debian) na domácí síti pomocí OpenVPN pro notebook cestující po světě. Obejít nutnost mít pevnou IP adresu.

• Stav: domácí síť je za NATem poskytovatele. Notebook je v různých sítích většinou obyčejných poskytovatelů internetu, také někdy za NATem. Poskytovatel chce nepřesťanské peníze za IPv4.

• Nápad: mám nějaký Linux server na netu s IPv4 (debian), na něj bych umístil OpenVPN server. Připojoval bych se na něj s domácím serverem a vytvořil šifrovaný spoj. Z notebooku bych se připojoval vždy na můj internetový server s OpenVPN a přes něj přistupoval do domácí sítě na samba shares. Obešla by se tak totiž nutnost mít pevnou IP adresu!

Zkusíte mě prosím někdo nakopnout správným směrem? Je to reálné? Jsou nějaká jiná vhodná řešení? Děkuji TP

---

---

Odpovědi

[NN]

Je to realne. Jeste existuje DDNS metoda.

[lertimir]

no když ipv4 nemá a ipv6 nepoužívá, tak jakékoliv dns i dynamické mu moc nepomůže.

[palardd]

no když ipv4 nemá a ipv6 nepoužívá, tak jakékoliv dns i dynamické mu moc nepomůže.

Ano, nemám DNS a ani se tím nechci zatěžovat.

[palardd]

Je to realne. Jeste existuje DDNS metoda.

Super, děkuji za informaci. Kde mám hledat schéma a postup zprovoznění? OpenVPN site nic takového nepopisuje. Nějaké klíčové slova (ENG), kterými se zeptat Google?

TP

[vencour]

Zřejmě se má jednat o něco jako "dynamic dns" ... na tohle téma jsem kdysi taky něco napsal - Free dyndns končí ... a co vy na to?. V kostce: jsou nějaké takové služby, dyndns.org, no-ip.com apod. Zjistěte si, jak se liší, jakou mají historii a perspektivu. A dejte třeba vědět, co se Vám zdá lepší.
Já přešel na vlastní server a zatim dobrý.

[palardd]

Zřejmě se má jednat o něco jako "dynamic dns" ... na tohle téma jsem kdysi taky něco napsal - Free dyndns končí ... a co vy na to?. V kostce: jsou nějaké takové služby, dyndns.org, no-ip.com apod. Zjistěte si, jak se liší, jakou mají historii a perspektivu. A dejte třeba vědět, co se Vám zdá lepší.
Já přešel na vlastní server a zatim dobrý.

Ne, nechci DDNS. Klidně se budu napojovat přes VPNserver někde na páteři, přijde mi to čisté. TP

[palardd]

Zřejmě se má jednat o něco jako "dynamic dns" ... na tohle téma jsem kdysi taky něco napsal - Free dyndns končí ... a co vy na to?. V kostce: jsou nějaké takové služby, dyndns.org, no-ip.com apod. Zjistěte si, jak se liší, jakou mají historii a perspektivu. A dejte třeba vědět, co se Vám zdá lepší.
Já přešel na vlastní server a zatim dobrý.

Ne, nechci DDNS. Klidně se budu napojovat přes VPNserver někde na páteři, přijde mi to čisté. TP

A jsem za NAT ISP, takže mi neotevřou žádné porty, nedají DNS apod. Přijde mi to špatné řešení. Prostě mi přijde jednodušší iniciovat to zevnitř mé domácí sítě na OpenVPN server. A z druhé strany se opět připojovat na něj. TP

[Josef Kufner]

Pokud jsi za NATem, tak ti dynamické DNS nepomůže. To je užitečné v okamžiku, kdy máš veřejnou IP adresu, která se čas od času změní.

[Láďa]

Je to možné a také to tak provozuju. Z domácí sítě se OpenVPN připojí jako klient. Na serveru OpenVPN musí být povoleno směrování mezi klienty a zajištěna správná distribuce směrovacích pravidel. V případě potřeby mohu poskytnout vzorové konfigurační soubory.

[palardd]

Je to možné a také to tak provozuju. Z domácí sítě se OpenVPN připojí jako klient. Na serveru OpenVPN musí být povoleno směrování mezi klienty a zajištěna správná distribuce směrovacích pravidel. V případě potřeby mohu poskytnout vzorové konfigurační soubory.

Tak jestli mohu snažně poprosit, to bych uvítal! Prosím na palardzavinacvolny.cz

[palardd]

Láďo můžeš prosím poslat ty konfigurace? Děkuji TP

[xxl]

Na serveru zřídíš OpenVPN server a z domácího samba debianu i z cestujícího notebooku se k němu připojíš. Na serveru zajistíš, aby pakety z notebooku chodily na sambu a nazpátek. No a pak už můžeš připojit sdílené adresáře přes ip adresu domácího samba debianu.

[Pavel 'TIGER' Růžička]

Jako cestu nejmenšího odporu bych viděl n2n.

[Max]

ISP nenabízí ani port forwarde? Že by ti z nějaké jeho veřejné poslal jeden port právě na to openvpn?
Zdar Max

[Andrej]

zpřístupnit samba disky (Linux debian) na domácí síti pomocí OpenVPN

Tuto volbu jsem nikdy nechápal. Technologie pro VPN se jmenuje IPSec. (Implementace userspace utilit a key exchange démonů je například Strongswan.) OpenVPN obvykle lidi volí omylem jen proto, že to má VPN v názvu. IPSec je technologie, která využívá všechny vymoženosti paralelního síťového stacku v kernelu. OpenVPN je jednovláknové zoufalství, chabá náhražka a berlička pro systémy bez podpory IPSec (kterých je už dnes pramálo).

Poskytovatel chce nepřesťanské peníze za IPv4.

Poskytovatel by měl přidělit IPv6 rozsah, čímž by se problém snadno vyřešil pro přístup z míst, kde je IPv6. Pro přístup z IPv4 by pak nebyl nejmenší problém navázat spojení mezi domácím serverem (IPv6) a serverem s veřejnou IPv4 adresou (6to4) (protože každá veřejná IPv4 adresa znamená automaticky 2⁸⁰ IPv6 adres). To by umožnilo vytvořit konfiguraci přístupnou (přímo) přes IPv6 i (nepřímo) přes IPv4.

Jinak IPv4 bych asi nechtěl ani zdarma, natož za extra peníze; přece jenom je rok 2018. IPv4 je mrtvola z roku 1975, která byla už tenkrát míněná jako provizorní řešení s předem známými omezeními.

[[Jooky]]

Mas nejaky dobry navod na IPSec ? ... ja tiez pouzivam OpenVPN a narazam na rychlostne limity, lebo cez CPU na routri viac nepreliezie ... Par krat som sa uz pozeral po IPSec, ale zatial nejak moc s tym neskamaratil (router ma podporu aj na IPSec). Dik.

[Jendа]

ja tiez pouzivam OpenVPN a narazam na rychlostne limity, lebo cez CPU na routri viac nepreliezie

Jenže tohle ti nepomůže (pokud není router vícejádrový). Respektive Andrej se ti snaží říct, že nemáš navazovat spojení do sítě za routerem, ale přímo na koncové stroje (které mají výkonu víc) - jenže k tomu jsou potřeba IP adresy.

[[Jooky]]

Tak v tom pripade to necham ako je. Routre mam s MIPS 74Kc na 600MHz. OpenVPN pouzivam v konfiguracii cliet->gateway a gateway->gateway (road warrior). Na vacsine koncovych zariadeni som rad, ze to ma aspon dhcp, takze priame pripojenie nehrozi ...

[večer]

Už vidím, jak tazatel konfiguruje bezpečně strongSwan, když neví, jak nakonfigurovat pro daný účel OpenVPN, které je na konfiguraci mnohem jednodušší.

[Jendа]

Hlavně k tomu bude muset nakonfigurovat ještě nějaký nomadický IPv6 tunel který projde i blbě nastavenými NATy (tj. čisté UDP nebo TCP), protože nepředpokládám že cestuje pouze v rozumných sítích s IPv6…

[pavele]

Nápad: mám nějaký Linux server na netu s IPv4 (debian), ....

Podle mne je to nejjednodušší, čisté řešení, navíc, jako bonus, máš vše pod kontrolou.

[Luboš Doležel (Doli)]

Normálně bych s tím IPv6 souhlasil, ale bohužel jsme stále ve stavu, že IPv6 v ČR neběhá ani v jediné mobilní síti a ještě jsem neviděl snad jediný free hotspot v restauraci nebo na letišti, kde by IPv6 bylo.

[elenril]

zpřístupnit samba disky (Linux debian) na domácí síti pomocí OpenVPN

Tuto volbu jsem nikdy nechápal. Technologie pro VPN se jmenuje IPSec. (Implementace userspace utilit a key exchange démonů je například Strongswan.) OpenVPN obvykle lidi volí omylem jen proto, že to má VPN v názvu. IPSec je technologie, která využívá všechny vymoženosti paralelního síťového stacku v kernelu. OpenVPN je jednovláknové zoufalství, chabá náhražka a berlička pro systémy bez podpory IPSec (kterých je už dnes pramálo).

Tohle je dost zaslepený pohled na věc - výkon není vše. Já například přes VPN posílám jen malé toky, takže mi na výkonu záleží jen minimálně. OpenVPN server mi ale běží na TCP portech 443/993, díky čemuž se připojí i z míst s extrémně nepřátelským/omezujícím firewallem. S IPsec tohle AFAIK udělat nejde (pokud nad tím nechceš ještě další tunel). Navíc IPsec je obrovský blbě pochopitelný překomplikovaný moloch. Jinak poslední dobou slyším dobré věci o Wireguard.

[R]

To "jednovlaknove zufalstvo" zvlada bez problemov 500 klientov pripojenych 24/7.

[vencour]

A na jakém železe, linuxu a "ibm-pc" nebo něčem jiném?
Mimochodem jak je to se zranitelnostma? Pamatuju, že Cisco přešlo od ipsecu na ssl vpnky. Konkurence taky u klientů tlačí ssl (juniper pulse).

[R]

Bezny server s Xeon E5504 a Debianom, ktory okrem VPN robi aj dalsie veci. Klienty su Raspberry pi.

[Max]

Já v jobu nasadil IPSEC pro klienty. Potřeboval jsem multiplatformní řešení, které poběží všude, což OpenVPN rozhodně není. Navíc jsem potřeboval něco, s čím se budu moci pohybovat mezi sítěmi (Wifi na LTE a zase zpět) a nedostanu se do stavu, že se klient odpojí od vpn. Takže jedu Strongswan + IKEv2 a cca 300 klientů. Až budu mít trochu volněji, tak si dodělám skripty na dynamický fw a následně na toto řešení překlopím i uživatele, co jedou aktuálně na OpenVPN.
OpenVPN je v dosti věcech sto let za vopicema, bohužel. Jediné, co umí trochu líp oproti IPSECu, je pushování rout ke klientovi. To je asi tak celé.
Mám to sepsaný, plánuji článek, ale chtěl jsem ho uvolnit až budu mít ten dynamický fw a uvolnit to jako kompletní řešení bez jediného otazníku.
Zdar Max

[lertimir]

Souhlas. Hlavně nacpat cele IP do TCP linky je zvěrsto. veškeré timeouty jsou do háje pro ICMP a UDP. Když je řešení přímo na IP vrstvě tak použít něco jiného je primárně lenost a neznalost.

[R]

Kto pouziva VPN cez TCP? OpenVPN standardne pouziva UDP.

[Josef Kufner]

No pokud chceš prostřelit opravdu hodně ošklivý router, tak není moc na výběr. TCP na portu 443 je často jediná možnost.

[vencour]

Co to? UDP/443 nejde pouzit?

[Josef Kufner]

Ne.

[vencour]

To jako že nejde udp/443 použít pro openvpn? To je Vaše odpověď?

Tak ještě že jsem to nevěděl, když jsem to někde navrhoval a používal

[Jendа]

To jako že udp/443 nejde použít (vůbec, ne jen pro openvpn) ze sítě, kde je povoleno jenom tcp/80 a tcp/443.

[vencour]

Ok, ale to je rozdíl od toho, co tvrdil předřečník ...

[bigBRAMBOR]

ano, pokud se to vezme doslova tak ano, máš pravdu a můžeš se dmout pýchou.

[vencour]

Ach jo. Ale fuj, jaká pýcha.
Ano, mohl jsem rovnou napsat, že samotné openvpn běhá na skoro čemkoliv. A že jste omezeni představami poskytovatele sítě o tom, co vše a jakým zpúsobem potřebujeme/použijeme.
Omlouvám se.

[bigBRAMBOR]

ze kdyz se prihlasite treba na hotelu, mate dost casto jenom pár mozností a to tpc/80 a tcp/443, vse ostatni bloknuté, takze ipsec je vám k prdu. Další port který bývá otevřený je 53, po tom jsem to hnal já.

[elenril]

Viděl jsem už i síť, kde se firewall zřejmě snažil dělat nějaké úchylnosti s HTTPS trafficem takže OpenVPN přes tcp/443 neprošlo. Fungovalo mi ale na tcp/993 (IMAPS).

[Luboš Doležel (Doli)]

Nápad: mám nějaký Linux server na netu s IPv4 (debian), na něj bych umístil OpenVPN server. Připojoval bych se na něj s domácím serverem a vytvořil šifrovaný spoj. Z notebooku bych se připojoval vždy na můj internetový server s OpenVPN a přes něj přistupoval do domácí sítě na samba shares. Obešla by se tak totiž nutnost mít pevnou IP adresu!

Tohle možné je. Jen je v OpenVPN nutné přidat do konfigurace client-to-client, aby byl povolen provoz mezi jednotlivými klienty.

[palardd]

Tohle možné je. Jen je v OpenVPN nutné přidat do konfigurace client-to-client, aby byl povolen provoz mezi jednotlivými klienty.

Děkuji moc už mám vodítko, kde začít

[xvd]

Mel jsem podobny problem. Resenim bylo www.tinc-vpn.org