Newsgroup: it.comp.os.linux.sys
Titolo: OpenVPN: client-to-client "selettivo"

Ciao!
Normalmente quando vari clienti si connettono a un OpenVPN server non
possono comunicare fra loro, a meno che non sia attivata l'opzione
client-to-client. Quindi non sembrano esserci molte alternative:
* o tutti comunicano con tutti
* o ciascuno comunica solo col server
O invece vorrei poter imporre che *solo determinati
client*(identificati dal certificato SSL) possano comunicare con tutti
gli altri, come si può ottenere una cosa del genere? A colpi di client-
script? Qualche idea?
Qualche dettaglio sul mio scenario: uso interfacce TAP anziché TUN
perché devo trasportare IPv6. Da esperienza fatta, gli IPv4 RFC1918
vanno sempre in conflitto prima o poi con qualcosa di esistente... per
questo ho scelto di usare questi indirizzi qua:
http://tools.ietf.org/search/rfc4193
In pratica ho scelto una /48 all'interno del blocco fd00::/8, seguendo
l'algoritmo che, combinando MAC address, data e ora, garantisce alte
probabilità di unicità.
Mi serve per accedere in remoto a macchine altrimenti irraggiungibili
(NAT, etc.). Si tratta di un parco macchine diversificato
geograficamente e che può crescere nel tempo.
Grazie e buona Pasqua :)
Guido

 probabilità di unicità.
Ma scusa, perché se vuoi usare IPv6 non usi una classe di indirizzamento
ufficiale????? Non costa nulla e sei *sicuro* della loro univocità, oltre al
fatto che ti semplifichi la gestione e sei già pronto al passaggio quando
dovrà avvenire. Tanto il firewall ce lo devi mettere comunque, non è che vi
siano problemi di sicurezza.
Con Sixxs puoi accumulare crediti per una /48 in due settimane.
-- 
Flavio Visentin
Ubuntu in Zulu significa "Non so usare Debian". (cit. CtRiX)

 Con Sixxs puoi accumulare crediti per una /48 in due settimane.
Veramente sto avendo problemi con SixXS, al momento di richiedere un
tunnel mi dice "no POPs available" e mi chiede di inviare una
richiesta manuale via mail a 
in...@sixxs.net
, l'ho mandata qualche
giorno fa ma ancora nessuna risposta. Così, visto che tutto sommato
l'obiettivo non è l'instradamento con la Internet v6 globale, gli
indirizzi IPv6 ULA mi son sembrati un ottima soluzione per il momento.

 indirizzi IPv6 ULA mi son sembrati un ottima soluzione per il momento.
Per curiosità, hai provato a chiedere una classe IPv6 al tuo provider? Quasi
tutti già hanno le allocazioni, e alcuni, almeno a titolo sperimentale, già
le distribuiscono a chi le richiede.


 le distribuiscono a chi le richiede.
No, aspetto di risolvere la cosa con SixXS, comunque questo è l'ultimo
dei miei problemi, per il momento quello che mi preme di più è una
buona configurazione di OpenVPN :)

 stata usare qualcosa come --fragment 1300 --mssfix e --proto udp).
IMHO è preferibile la seconda scelta, e al posto di 1300 puoi usare anche
1400 o 1450. Personalmente uso TCP *solo* quando ho di mezzo router o
firewall del cazzo che non gestiscono bene udp.


Beh, già che ci sono pongo un altro quesito.
Non riesco a far funzionare radvd. Preciso che se configuro l'ndirizzo
IPv6 del client manualmente le due TAP si pingano perfettamente.
Questo è l' --up script sul server, semplicissimo:
#!/bin/sh
ip link set up dev $1
ip addr add fdad:592d:6c64:2::1/64 dev $1
e questo l'altrettanto semplice /etc/radvd.conf
interface tap6
{
  AdvSendAdvert on;
  prefix fdad:592d:6c64:2::/64
  {
    # provato varie combinazioni di queste opzioni,
    # anche nessuna opzione... :-P
    AdvOnLink on;
    AdvAutonomous on;
    AdvRouterAddr on;
  };
};
Oltretutto, dal lato del client ottengo correttamente (con radvdump):
interface tap6
{
        AdvSendAdvert on;
        # Note: {Min,Max}RtrAdvInterval cannot be obtained with
radvdump
        AdvManagedFlag off;
        AdvOtherConfigFlag off;
        AdvReachableTime 0;
        AdvRetransTimer 0;
        AdvCurHopLimit 64;
        AdvDefaultLifetime 1800;
        AdvHomeAgentFlag off;
        AdvDefaultPreference medium;
        AdvSourceLLAddress on;
        prefix fdad:592d:6c64:2::/64
        {
                AdvValidLifetime 2592000;
                AdvPreferredLifetime 604800;
                AdvOnLink on;
                AdvAutonomous on;
                AdvRouterAddr on;
        }; # End of prefix definition
}; # End of interface definition
Però l'ip "scope global" non viene aggiunto all'interfaccia del
client:
# ip -6 addr show dev tap6
19: tap6: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qlen 100
    inet6 fe80::4a9:c9ff:febb:4f4d/64 scope link
       valid_lft forever preferred_lft forever
Qualche idea? Grazie.
--
G.

 Qualche idea? Grazie.
Purtroppo non ho mai usato questa configurazione e al momento non ho tempo
di fare test, quindi passo. Anyway consiglierei un thread a sè, magari anche
su it.comp.reti.ip-admin
