Dotaz: Připojení VPN na jiné VPN ? Je to vůbec možné ?

[Mortal Combat 88]

Dobrý den,

myslím si že to je blbost, ale kamarád mi tvrdí že to možné je připojit se přes VPN na druhou VPN a mít v internetu IP druhé VPNky.

Příklad jeho PC 198.123.123.123 se napojí přes nakonfigurovaný router na VPN 1 pod IP 54.54.54.54 na netu bude mít přeci jen IP VPN 1 serveru, přeci jakmile " stáhne VPN jedno-jakého klienta " apod IP VPN 1 a spustí jej s konfigurací VPN2 65.65.65.65 nebo pod heslem a jménem tak bude mít IP rovnou VPN2 .

Tedy PC 198.123.123.123 > na VPN2 (rovnou přes 10.0.*.*) s výstupem IP serveru VPN2 např.65.65.65.65

Není možné ne aby měl PC 198.123.123.123 > VPN1 IP 54.54.54.54 a pod ní pak spojení na VPN2 65.65.65.65 na netu vystupoval pod : 65.65.65.65 ?

To může použít Tor ne, apropo asi to bude mít taky vliv na rychlost Díky za odpovědi, hezkou neděli.

---

---

Odpovědi

[Jendа]

Samozřejmě že to možné je, podívej se do routovací tabulky, když se k VPN připojíš, jak to funguje - přidá to jednu specifickou routu na 54.54.54.54/32 přes tvoji původní gateway a následně to změní defaultní routu na router uvnitř té VPN. No a ty si můžeš teď přidat specifickou routu 65.65.65.65/32 přes ten router uvnitř první VPN a následně se připojit k té druhé VPN a nastavit si defaultní routu přes ni. Pokud například první VPN používá vnitřní adresní rozsah 192.168.101.0/24 a druhá 192.168.102.0/24 a tvoje LAN 192.168.10.0/24 a routery jsou vždycky .1, tak tvoje routovací tabulka bude vypadat takhle:

default via 192.168.102.1
65.65.65.65/32 via 192.168.101.1
54.54.54.54/32 via 192.168.10.1

[Andrej]

Kamarád by měl dávat pozor při online výuce a neřešit VPN.

Není možné ne aby měl PC…

Všechno je možné. Právě od toho je IPSec tunelování a klidně lze něco takového nastavit (hesla: default route, address selection). Klidně se může připojit do VPN2 skrz VPN1 a routovat do VPN2 jen konkrétní rozsahy adres, zatímco skrz VPN1 může routovat všechno ostatní. Nebo klidně naopak, může mít default route skrz dva tunely, když se mu takového nesmyslu zachce.

…asi to bude mít taky vliv na rychlost…

Podle toho, co je to „rychlost“. Propustnost může být skoro stejná, zatímco latence bude samozřejmě horší. Hlavně to ovšem bude mít vliv na MTU, což je skoro i větší problém. Stačí pak nesmyslné filtrování ICMP někde po cestě (což je častý jev) a celé to bude napůl fungovat a nefungovat.

Tedy, otázka je, proč takové harakiri podnikat a proč se raději nepřipojit na obě VPN přímo, bez jejich vzájemného „vnořování“.

Jestli je cílem, aby VPN2 nevěděla, kdo se jakože skrývá za VPN1, tak potom

1. jde o ukázkový use case pro onion routing, který bude vždycky lépe zabezpečený než nějaké polovičaté řešení, a
2. je třeba si uvědomit, že jakési internetové služby, které si (naprosto nesmyslně) říkají VPN, nemají s VPN nic společného. Naopak jsou v mnoha případech větším rizikem než přímá komunikace. V podstatě přimějí uživatele k tomu, aby pod falešným dojmem anonymity posílal veškerou svou komunikaci skrz velkého bratra. (Obsah komunikace sice schová TLS, ale existenci komunikace může velký bratr zaznamenávat.) Skutečná VPN je pouze takový systém, kde mám obě (resp. všechny) strany spojení pod kontrolou a chci mezi nimi navázat bezpečnou komunikaci skrz sítě, které pod kontrolou nemám. VPN rozhodně není nějaký velký bratr, kterému musím ukazovat veškerou svou komunikaci.

   Celé tohle matoucí a chybné označování nesmyslů za VPN by se mělo zakázat. Kde jsou slavní evropští regulátoři, když je člověk jednou potřebuje? Pomazánkové máslo zakázali snadno a rychle, zatímco falešné VPN v klidu tolerují.

Příklad jeho PC 198.123.123.123…

Možná kdyby ten jeho PC nepoužíval zastaralý a nevyhovující protokol IPv4 z roku 1975 a kdyby si radši normálně nastavil IPv6 z roku 1995, nemusel by potom takové ptákoviny řešit.

[SE]

Velice pěkně napsáno:

"Skutečná VPN je pouze takový systém, kde mám obě (resp. všechny) strany spojení pod kontrolou."

[Peter Golis]

Závisí aj od toho, či to P v skratke VPN neznamená napríklad Public.

[ewew]

Nechaj si tie chaoticke protokoly.

[...]

beee beee

[ewew]

Už stúplo tvoje ego do obrovských výšok ? Je ti to príjemne ? Je milé, že sa snažíš imitovať zviera.

[Andrej]

Jako například IPv4? No ano, tu sračku už jsem z mé domácí sítě dávno dostal pryč. Teď ještě kdyby zbytek světa dostal rozum.

[ewew]

Zaujímave, že to hovorí osoba ktorá sa zaujíma o bezpečnosť. Osobne si myslím, že spôsob pridelovania IPv6 je odvažny. Neviem či je rozumné si nechať pridelovať IP z vonkajšieho sveta. Pod tým rozumiem celý reťazec. U ipv4 súkromných adries určuje DHCP rozsah pridelenia bez vonkajšieho vplyvu. Pokial sa nepoužíva nejaký dhcp relay.

[Jendа]

U ipv4 súkromných adries určuje DHCP rozsah pridelenia bez vonkajšieho vplyvu.

Wat. U IPv6 úplně stejně určuje přidělený rozsah RA server.

[xxl]

U IPv6 adres můžeš přece také používat privátní adresy, které se neroutují. Kromě toho máš defaultně místní adresy na každém rozhraní, které můžeš lokálně také používat. A na sítích připojených do internetu mohou mít počítače veřejnou routovatelnou adresu. To, jestli jsou na té veřejné adrese z internetu dostupné, můžeš řešit na nějakém vstupním routeru do té sítě. Pokud chceš, tak přímo dostupné budou. Pokud nechceš, přímo dostupné nebudou, zrovna tak, jako je tu u IPv4. Jenže u IPv4 se rozhodnout nemůžeš, tam to prostě přímo nejde.

[Andrej]

Neviem či je rozumné si nechať pridelovať IP z vonkajšieho sveta.

Není. A asi právě proto se nic takového neděje.

Kdybys takovou ptákovinu plácnul třeba v roce 2000, možná by tenkrát někomu stálo za to úsilí vysvětlovat, co a jak. V roce 2021 ovšem nezbývá než si poklepat na čelo.

[Peter Golis]

Takže rozumný človek požiada o odobratie verejnej IP adresy? To vyzerá byť veľmi účinné riešenie ako sa ochrániť pred nástrahami internetu.

PS: Verejná IP adresa má význam pre človeka, ktorý ju dokáže využiť. Ale taký človek si obvykle vie nastaviť aj kadejaké služby a firewall.

[Andrej]

Jo, ty už zase nevíš, která bije. Jako vždycky, jako obvykle.

Takže rozumný človek požiada o odobratie verejnej IP adresy?

Cože??? Tohle má být nějaký chabý pokus o slaměného panáka? To se ti nějak nepovedlo, co?

Jakápak veřejná IP adresa? Máme rok 2021. Smysl má jedině veřejný /48 rozsah. O jakém odebrání (jedné???) veřejné IP adresy tady spekuluješ?

Každá IP adresa má být samozřejmě veřejná. Tak má internet fungovat. Sračky typu NAT je potřeba už konečně přenechat temné minulosti.

[Peter Golis]

Takže keď sa potrebuje človek prihlásiť z vonku do domácej siete, tak mu nestačí verejná IP adresa a potrebuje rovno /48 rozsah. To dáva zmysel. Len tá forma vyjadrovania sa trochu pokrivkáva, ako aj zmysel tvojho názoru.

[Andrej]

Zase slaměný panák? Velmi nepovedený.

Každá IP adresa je veřejná. (Kromě IPv4 sračky, kterou už nikdo se všemi pěti pohromadě nepoužívá a nechce.)

Veřejné adresy můžou být z /48 rozsahu, /49 rozsahu, /50 rozsahu — pořád to bude fungovat — /51 rozsahu, … a dokonce i /65 rozsah bude ještě pořád fajn a budu mít pořád vlastní vnitřní síť, kam se můžu připojit. Jo, s /64 bude trochu problém a s /65 skončím jako čtenář stohu RFC, než budu mít rozumnou síť — ale protože můj poskytovatel mi dává /48, může mi to být u prdele.

[ewew]

Neoverené teorie. IPv6 je dobré jedine pre botnet.

[mmcze]

Mě jen těší, že všichni ti líní rádobyodborníci co ipv6 odmítají, stejně skončí v propadlišti dějin a o jejich archaické názory, zanedlouho nikdo nebude stát.

[ewew]

Znova náhodne napísané znaky.

[mmcze]

No podívej, ty tu píšeš, jak je ipv6 špatné a přitom výše je vidět, že ani nevíš, k čemu slouží RA...

Prozradíš nám tvou nutkavou potřebu, mluvit o věcech, o kterých toho mnoho(spíše nic) nevíš?

[ewew]

RA router advrtisemet. Toto hovorí rečou vonkajšieho vplyvu.

[mmcze]

To, jakou řečí to hovoří, definuje RFC.

Hele, co máš vlastně za problém?
Jednou ses naučil ipv4 a pravidla ipv6 už se nejsi schopný pobrat?
Zamrzl jsi 20 let v minulosti?
Už jsi v důchodu a nemá pro tebe smysl se naučit něco nového?

IPv6 je budoucnost a prakticky jde o daleko lépe navržený protokol, než IPv4.
Fakt jsem zvědavý, proč lidé IPv6 odmítají..
Jiný důvod než lenost a pohodlnost, jednoduše nevidím.

[Andrej]

Neoverené teorie. IPv6 je dobré jedine pre botnet.

Teď tentýž výrok vyjádřím jinými slovy a trochu podrobněji:
„Zase nevím, která bije, jako obvykle. Neumím (ani 20+ let po době, kdy to bylo cool) normálně používat IPv6. Mám dětinský strach z neznámého. Dejte mi radši hloupý experiment z roku 1975, který měl omylem (!) 32-bitové adresy a totálně selhal. Nechci opravdový internet. Chci neschopnou hračku pro děti, u které uhrovatí spratci nad hrami přemýšlejí, proč jejich ‚server‘ není ‚veřejný‘, jak by měl být…“

[ewew]

Baví ťa to ? Zvyšuje ti to ego ?

[Andrej]

Smát se blbcům? Jo. Baví. Zvyšuje.

[ewew]

Buď prvý, kto naprogramuje reaktívny firewall. Podľa vzoru Ghost in the Shell.

[Andrej]

Proč?

[Peter Golis]

Áno, každá IP adresa je verejná. Námatkovo vyberiem napríklad:

127.0.0.1/8 a ::1/128

Nikto takú adresu nikdy neutajoval, a pripojiť sa na ňu môže úplne každý čo má TCP/IP sieť. A rozsah to má určite väčší ako ten malilinký kúsok čo ti pridelil tvoj poskytovateľ.

[ewew]

Vidím, že som zvolil zlý výraz. Správne malo byť routovatelná adresa v rámci internetu.

[Peter Golis]

To je v poriadku, aj keď som reagoval na Andrejov povzdych ohľadne potreby IPv6 ktorú má veľa poskytovateľov stále zakázanú.

Či na ten zákaz stále existuje dôvod, to som nesledoval. Kedysi bolo povinné prioritne použiť IPv6 ak taká adresa bola v DNS. A ak exponované služby na tej adrese nepočúvali, tak bolo jednoduchšie to IPv6 vypnúť a nechať len osvedčené IPv4 aby sa zákazníci nesťažovali poskytovateľovi internetu na chybu mimo kompetencie toho ich poskytovateľa internetu.

O potrebe mať na každom zariadení pripojenom do internetu verejnú IP adresu z vonkajšieho rozsahu sa dá tiež viesť siahodlhý flame. Dosť takto pripojených zariadení má zastaralý SW, alebo nemá zapnutý aspoň firewall. A na takom niečom sa skutočne budujú BotNet-y.

[Heron]

IPv6 ktorú má veľa poskytovateľov stále zakázanú

Pokud poskytovatel neposkytuje IPv6 konektivitu, tak nemá moc co zakazovat. Asi by to chtělo upřesnit.

Kedysi bolo povinné prioritne použiť IPv6 ak taká adresa bola v DNS.

Nevím jestli povinné, ale ipv6 má preferenci, tedy pokud se připojujeme na stroj s dualstackem, tak se preferuje ipv6. Vůbec ničemu to nevadí, klient s ipv6 konektivitou se tam připojí a klient bez ipv6 se připojí na ipv4.

tak bolo jednoduchšie to IPv6 vypnúť a nechať len osvedčené IPv4 aby sa zákazníci nesťažovali poskytovateľovi internetu na chybu mimo kompetencie toho ich poskytovateľa internetu.

Chtělo by to víc informací. To skoro vypadá, že ten ISP přiděloval klientům ipv6 adresy, které potom ale z nějakého záhadného důvodu neměly konektivitu do netu. Tj chyba toho ISP.

O potrebe mať na každom zariadení pripojenom do internetu verejnú IP adresu z vonkajšieho rozsahu sa dá tiež viesť siahodlhý flame. Dosť takto pripojených zariadení má zastaralý SW, alebo nemá zapnutý aspoň firewall.

FW by měl být na hraničním routeru té sítě. Mít globálně routovatelnou IP neznamená, že se lze odkudkoliv připojit na všechny provozované služby na daném stroji.

Navíc "stroj za natem" je špatné řešení hned ze dvou důvodů. Nat není fw, takže je potřeba to blokovat ještě na fw. Ano, spousta lidí si zvykla na to, že je to na těch router krabičkách automaticky a berou to jako jednu věc, přičemž jsou to dvě věci. A lokální adresa komplikuje přístup, pokud jej tam chceme mít.

Je potřeba se dívat na věcí odděleně. Od ochrany sítě je tady FW. Mít přidělenu globálně routovatelnou adresu samo o sobě z hlediska bezpečnosti neznamená vůbec nic. A v případě potřeby vzdáleného přístupu se to jednoduše povolí na fw a není potřeba nic dalšího měnit.

[Peter Golis]

Pokud poskytovatel neposkytuje IPv6 konektivitu, tak nemá moc co zakazovat. Asi by to chtělo upřesnit.

Pokiaľ tú konektivitu zakázal, tak ju neposkytuje.

Vůbec ničemu to nevadí, klient s ipv6 konektivitou se tam připojí a klient bez ipv6 se připojí na ipv4.

Obávam sa že klient s IPv6 konektivitou sa nepripojí cez IPv6 na službu ktorá cez IPv6 nie je poskytovaná, aj keď je tá služba hosťovaná na stroji ktorý má DNS záznam pre IPv6.

které potom ale z nějakého záhadného důvodu neměly konektivitu do netu

Aha, takže som nespomínal problém zle nakonfigurovaného koncového servera za ktorý sa užívatelia sťažovali poskytovateľom internetu?

FW by měl být na hraničním routeru té sítě.

Tak to si pozriem ako to splnia krabičky koncových užívateľov. Presnejšie povedané, ako to zvládnu bez NAT ktorý presne z tohoto dôvodu nasadzujú poskytovatelia internetu, a aj výrobcovia routerov.

Také niečo sa síce dá zvládnuť, rovnako ako aj zájsť počas ľudského života peši na mesiac. Ale realita je iná. Vzdialenosť sa dá prejsť, ale nie je kam dať nohy počas kráčania správnym smerom.

[Heron]

Obávam sa že klient s IPv6 konektivitou sa nepripojí cez IPv6 na službu ktorá cez IPv6 nie je poskytovaná, aj keď je tá služba hosťovaná na stroji ktorý má DNS záznam pre IPv6.

Pokud port na serveru není otevřen pro IPv6 tak se nic neděje, klient se připojí po IPv4.

Tak to si pozriem ako to splnia krabičky koncových užívateľov.

Úplně jednoduše. Stejně je všude osekaná verze linuxu a nat se dělá přes netfilter.

Ale realita je iná.

Realita je taková, že to funguje a slušní poskytovatelé připojení už běžně rozdávají i ipv6.

[Peter Golis]

Samozrejme že áno, veď poskytovateľ určite môže aj za problémy za spôsobené mimo jeho siete.

A o tom to je. Aj keď s tým nesúhlasím, a chápem dosah nariadení.

[martin-ux]

By to zrusili tak mnohi youtuberi by nemali co zrat. :)

Ale inak presne tak ako pises.