Newsgroup: it.comp.os.linux.sys
Titolo: Tunneling con Virtual Tunnel Daemon... domanda...

Volevo chiedere a chi magari lo sa se è possibile sfruttare il tunneling con
VTunD (Point to Point) per collegare in cascata 3 macchine, in pratica la
prima ha come gateway la seconda che a sua volta è puntata in tunneling
sulla terza (che ne gestisce il traffico su una rete).
Alcuni clienti della mia azienda infatti hanno magari 2 sedi, tutte e due
equipaggiate con server linux che sono attualmente in tunneling sul nostro
server firewall per l'accesso ad un AS/400 in modalità ASP. Per motivi di
controllo del traffico effettuato, vorremmo poter fare in modo che per ogni
cliente con più sedi soltanto uno dei server si colleghi direttamente al
nostro in modo da avere un dato unico e riassuntivo del traffico effettuato.
Solo che provando con le route statiche non ho ottenuto nulla: L'idea di
base è una cosa simile:
192.168.4.1-tun--->192.168.3.1--tun--->192.168.1.1 (il nostro firewall)
in modo che al nostro firewall arrivi la richiesta di accesso all'AS solo
dalla macchina 3.1 (diciamo il server della sede principale del cliente)..
Qualcuno conosce una soluzione possibile che usi il VTunD? (forse con IPSec
si può ma per ragioni di monitoraggio usiamo il VTund e devo tenere quello)
La stessa cosa sarebbe da poter fare per consentire alle sedi distaccate di
utilizzare un unico router ISDN che i clienti devono avere per forza per
obbligo delle case madri (sono concessionarie di auto)..
Un Grazie sentito a chiunque potrà darmi qualche suggerimento.
--
Stefano Finetti
Area Sistemi
Lynx Automotive srl


Nel totale si tratta solamente di "giocare" colle tabelle di routing:
Il caso è riconducibile a quello di una vpn con 2 tunnel che hanno come 
centro stella il "secondo gateway":
hai PC1 sulla rete A che forma un tunnel sulla rete B con PC2
PC2 forma poi un tunnel verso la rete C con PC3.
se usi vtun, hai che tra le interfacce tap di PC1 e PC2 si crea una 
subnet con mask a 30 bit che chiamiamo ab. Analogamente tra PC2 e PC3 
sarà bc.
sia la notazione PCx(Y) l'ip assegnato alla macchina x per la rete Y, e 
avrai nella configurazione di vtund:
route "add -net B netmask 255.255.255.0 gw PC2(ab)";
route "add -net C netmask 255.255.255.0 gw PC2(ab)";
in questo modo hai
rete A ]---[PC1]-----(vpn)----[PC2]-----(vpn)------[PC3]---[rete C
                                |
                            [rete B]
Nota che in questo caso hai traffico crittato tra PC1 e PC2. poi PC2 
decritta e ricritta (neologismo?) fino a PC3.
In alternativa puoi pensare di avere traffico vpn (insomma, la sessione 
che contiene i dati compressi e crittati. Per le vlan si parla di trunk, 
per le vpn esiste un termine??? ) a sua volta incapsulato in traffico 
vpn. La cosa si fa un po' + complessa (se vuoi ne discutiamo per via 
privata). In questo caso:
                          _                _
                          |                |
reteA ]---[PC1]---(vpn)---|[PC2]---(vpn)---|[PC3]]---[rete C]
                          |                |
PRO: PC2 è "meno carico" dato che si occupa di crittare solo una sessione.
CONTRO: la banda sarà lievemente limitata per via dell'overhead 
dell'ulteriore incapsulamento. Inoltre questo ti obbliga a tenere per il 
collegamento tra PC1 e PC2 un mtu + basso del default (1500) altrimenti 
dopo l'incapsulamento sali al di sopra dello stesso.
Inoltre la rete A non ha visibilità della rete B, ma solo della rete C.
Nel totale, consiglio la prima ipotesi.
Spero di essere di qualche utilità.
In caso, ci spostiamo per via privata. Ciao.
-- 
Emanuele "SKULL" Balla
--------------------------------------------------------------------
"How should I know if it works?  That's what beta testers are for.  I only
coded it."
(Attributed to Linus Torvalds, somewhere in a posting)


[CUT]
il tempo di decifrare il tutto e ti faccio sapere, domattina la provo
dall'ufficio :)
Grazie Comunque :)
--
Jarsil