Vpn openssh di tipo ethernet

[matrix845]

Ciao ragazzi ,

sto tribolando da un po con le vpn , e sono alla ricerca di un sistema che mi consenta di bypassare il NAT di ogni client , utilizzando uno/più server centrali.

Ho trovato particolarmente utile openssh e vpn , che sembra facciano al caso mio , di non dover aprire nessuna porta sui client , ma basta che il server centrale sia raggiungibile da tutte le macchine.


Il mio problema è che non devo creare vpn di tipo point2point tra due macchine , ma con N macchine ed 1 server .

In pratica devo far in modo che gli N client , passando per il server ( che ha IP pubblico) possono collegarsi direttamente .

Dovrei quindi adottare una vpn di tipo layer 2 / ethernet , ma qui si fermano le mie informazioni

So che andrebbe inizializzato il dispositivo virtuale tap invece del tan , e per farlo , su ogni client va inserita nel file /etc/ssh/ssh_config la direttiva

Tunnel ethernet

Sapete darmi qualche indicazione?

Ciao

Pierpaolo

[WizOfOz]

qui forse trovi qualche info
Ethernet Bridging

Ethernet bridging essentially involves combining an ethernet interface with one or more virtual TAP interfaces and bridging them together under the umbrella of a single bridge interface. Ethernet bridges represent the software analog to a physical ethernet switch. The ethernet bridge can be thought of as a kind of software switch which can be used to connect multiple ethernet interfaces (either physical or virtual) on a single machine while sharing a single IP subnet.
By bridging a physical ethernet NIC with an OpenVPN-driven TAP interface at two separate locations, it is possible to logically merge both ethernet networks, as if they were a single ethernet subnet.

[matrix845]

qui forse trovi qualche info
Ethernet Bridging

Ethernet bridging essentially involves combining an ethernet interface with one or more virtual TAP interfaces and bridging them together under the umbrella of a single bridge interface. Ethernet bridges represent the software analog to a physical ethernet switch. The ethernet bridge can be thought of as a kind of software switch which can be used to connect multiple ethernet interfaces (either physical or virtual) on a single machine while sharing a single IP subnet.
By bridging a physical ethernet NIC with an OpenVPN-driven TAP interface at two separate locations, it is possible to logically merge both ethernet networks, as if they were a single ethernet subnet.

Grazie mille Wiz ,

esattamente è cosi , solo che su internet per openssh e tap non si trova una ceppa...

[2busy]

VPN-Over-SSH
Ma sappi che sono metodi abbastanza raffazzonati quelli che vuoi usare.

[Rebel]

Usa openvpn, configurazione routed o bridged, e' indifferente ai tuoi fini. Personalmente preferisco routed perche' piu' veloce e semplice da configuarare.

Ci sono mille-mila tutorial in rete. Se devi far passare tutto il traffico dei client attraverso la vpn ricordati di impostare questa direttiva nel file di configurazione del server:

push "redirect-gateway"

[WizOfOz]

Grazie mille Wiz ,

esattamente è cosi , solo che su internet per openssh e tap non si trova una ceppa...

in che senso? esempi?

[GrG]

In pratica devo far in modo che gli N client , passando per il server ( che ha IP pubblico) possono collegarsi direttamente .

Tra di loro o all'esterno?

Perchè OpenVPN apre alle connessioni tra i client. La VPN risulta PtP ma puoi connetterti coi client.

Se in più vuoi ruotare da lì il traffico esterno ti basta impostare come Default GW l'ip dell'altro lato del PtP.

Scusa, potresti chiarire meglio la richiesta che rischio di spararti troppe pirlate?

Non ho capito se:

- Dai client vuoi accedere ad internet TRAMITE il server
- Dai client vuoi connetterti al server in modo che tu sia connesso direttamente alla sua LAN (senza hop in mezzo)

[matrix845]

Inanzitutto grazie.

Il mio obiettivo è quello di collegare N macchine tra loro come se fossero tutto in una stessa lan , ma queste macchine sono tutte in lan fisiche diverse . Come indirizzi virtuali da assegnare utilizzerò la classe 5.x.x.x .

Premesso ciò ho tre obiettivi fondamentali.

- che gli ip/schede virtuali siano viste dagli applicaativi in maniera trasparente ed uguale ad un dispositivo fisico
- di non aprire nessuna porta su eventuali firewall/router presenti a monte delle varie macchine sparse.

- che ogni macchina possa comunicare con un'altra , ovviamente passando per il server centrale



Quindi posso usare openvpn, con configurazione routed o bridged , oppure sono fuori strada?

[Rebel]

Puoi usare openvpn. Se devi utilizzare windows shares allora devi usare una configurazione bridged.
Dal sito ufficiale:

Determining whether to use a routed or bridged VPN

See FAQ for an overview of Routing vs. Ethernet Bridging. See also the OpenVPN Ethernet Bridging page for more notes and details on bridging.
Overall, routing is probably a better choice for most people, as it is more efficient and easier to set up (as far as the OpenVPN configuration itself) than bridging. Routing also provides a greater ability to selectively control access rights on a client-specific basis.
I would recommend using routing unless you need a specific feature which requires bridging, such as:

• the VPN needs to be able to handle non-IP protocols such as IPX,
• you are running applications over the VPN which rely on network broadcasts (such as LAN games), or
• you would like to allow browsing of Windows file shares across the VPN without setting up a Samba or WINS server.

[matrix845]

Grazie a tutti ,

allora mi metto al lavoro!

Ciao

[GrG]

Il mio obiettivo è quello di collegare N macchine tra loro come se fossero tutto in una stessa lan , ma queste macchine sono tutte in lan fisiche diverse . Come indirizzi virtuali da assegnare utilizzerò la classe 5.x.x.x .

Allora è una normalissima configurazione OpenVPN. Se riesci stai in Routed, che configura praticamente i client in PtP e ruota tutto attraverso il server centrale.

[2busy]

- di non aprire nessuna porta su eventuali firewall/router presenti a monte delle varie macchine sparse.

Questo è un problema.

[matrix845]

Questo è un problema.

esatto , non c'è altra soluzione che non richieda la porta aperta??

[GrG]

Prova, perchè secondo me non avrai problemi.

[matrix845]

ok , provo e vi dirò!