Newsgroup: it.comp.os.linux.sys
Titolo: VPN

Ho un dubbio.
Devo fare VPN tra 7 sedi remote e fare in modo che ogni sede sia 
raggiungibile (direttamente, senza passare dagli altri server a mo di 
'ponte').
Niente di particolarmente complesso a parte un piccolo dettaglio di cui 
vorrei conferma.
Ovviamente tutte le sedi hanno la loro subnet. Esempio:
10.176.1.0
10.176.2.0
...
10.176.7.0
E fin qui non ci piove.
Ora devo creare in ogni firewall/router di ogni sede le rispettive 7 VPN 
  delle sedi remote.
Ma diventa un bagno di sengue da gestire.
E' così o c'è una soluzione molto più semplice che non riesco a vedere?
Potrebbe essere più semplice instaurare le 7 VPN su una unica sede 
centrale di 'centro stella' in modo da far fare tutto il routing a lui?
Ad esempio
sede A -> centro stella -> sede b
Non mi sembra il massimo in termini di performance però inoltre, se il 
centro stella va giù, non funziona più nessuna VPN.

 E' così o c'è una soluzione molto più semplice che non riesco a vedere?
si', usare ospf o altri protocolli di routing dinamico
il bordello di meshare la rete ti resta, anyway
ciao,
--
oggei

 il bordello di meshare la rete ti resta, anyway
Allora gli dico che non si fa.
Guarda la soluzione centro stella (ho buttato giù un disegnino) 
sembrerebbe la più 'semplice' per i seguenti motivi:
1- vpn tutte su un singolo server
2- routing tutto su un singolo server gestito direttamente da openvpn 
(impostando il routing su ogni vpn instaurata)
ma la complicazione (alquanto enorme ed a prima vista insormontabile):
1- che banda ci vuole per gestire 7 sedi (50-70 client ognuno) tutte 
attraverso un centro stella?!? Mamma mia!!
Se la sede A cerca di aprire un documento sulla sede B e la sede C cerca 
di aprirne uno sulla sede D, tutto il traffico passa attraverso il 
centro stella.
Meglio fare una soluzione On-Demand (già detto al telefono) ovvero il 
signore che vuole la VPN attiva openvpn windows, fa quello che vuole ed 
è a posto.
il lato positivo è che ogni 'signore' si collega quando serve 
direttametne al server necessario evitando quindi strani percorsi di 
routing.
il lato negativo è che ogni sede deve avere un ip pubblico. e nessuna 
sede al momento ce l'ha. Volevo evitare come la peste servizi di dns 
dinamico. piuttosto faccio cambiare l'adsl nelle sedi.

 dinamico. piuttosto faccio cambiare l'adsl nelle sedi.
non capisco questo accanimento contro i servizi di dns dinamico, ma
tant'e' :)
btw, te lo puoi fare anche te se sei auth per una zona dns
ciao,
--
oggei

 centro stella va giù, non funziona più nessuna VPN.
http://www.tinc-vpn.org/
E' solo un'idea, non un suggerimento (occhio alle note sulla sicurezza).
Alessandro.

 btw, te lo puoi fare anche te se sei auth per una zona dns
In futuro si, ma devo ancora studiarmi come fare l'update da remoto.
no-ip usa una soluzione molto semplice. comunica l'ip tramite una pagine 
web al server ed il server aggiorna la zona. (l'ho visto proprio dal 
codice di no-ip)

 E' solo un'idea, non un suggerimento (occhio alle note sulla sicurezza).
Be, cambierebbe poco.
Il problema non è il software vpn (openvpn va benissimo) ma la struttura 
di rete meno problematica.
usare tinc-vpn o openvpn cambia poco.

 è a posto.
Cosi' devi configurare, e manutenere, un client openvpn su
ogni client previsto delle 7 sedi, + un server openvpn per
ogni sede. Non capisco perche' preferisci questa soluzione
invece di configurarne solo i 7 endpoint con un quagga che
ti gestisca il routing ospf.
 
Fabio

 usare tinc-vpn o openvpn cambia poco.
Conosco superficialmente entrambi ma mi pare che tinc a differenza di 
openvpn ti possa evitare la struttura a stella senza dover configurare 
esplicitamente un tunnel per ogni link.
Alessandro.

 codice di no-ip)
cioe' apache riscrive i datafiles di bind ? :o
speriamo di no
ciao,
--
oggei

 ti gestisca il routing ospf.
Sinceramente non so con esattezza chi deve fare cosa con ste VPN.
Al momento mi han chiesto se era possibile collegare le 7 sedi tra loro.
Io gli ho detto SI. (è possibile, come non lo so, però si possono collegare)
Mi sembra di aver capito che uno dei soci deve utilizzare il suo 
portatile a milano ed accedere al server di roma, per esempio.
Resta comunque il problema degli ip fissi (un non problema a dire il 
vero. Perchè si risolve in qualche minuto)
Sicuramente non sono disposti a mettere un HDSL/CDN nel centro stella. 
Quindi la soluzione centro stella non è applicabile. (troppo traffico = 
troppo costo di linea).
Soluzione ad anello nemmemo a parlarne. (la sede A che trasferisce 200 
mega dalla sede E intasa la sede B, C, D)
L'alternativa era quella di fare, a parole molto poco tecniche, un 
'groviglio' di vpn in modo che ogni server raggiunga gli altri 6 
direttamente. Poca banda necessaria. Un mare di VPN da configurare.
7 per server.Il problema è proprio quello. Volevo evitare di gestire 
tutte queste VPN.
Per la tabella di routing non ci sarebbe nemmeno problema.
Così facendo openvpn si autoconfigura il routing per raggiungere il 
server remoto quindi dovrei preoccuparmi solo di instaurare le 7 VPN per 
server.
Guarda, a conti fatti, credo che sia più difficile a 'immaginarlo' a 
livello teorico che metterlo in pratica.
Forse mi spaventano il numero enorme di VPN da mantenere in simultanea, 
ma openvpn si configura in un attimo.
Credo di vedere problemi dove non ci sono.

 speriamo di no
Prova a scaricare no-ip per linux e guarda il codice che effettua 
l'aggiornamento.
punta ad una pagina tipo
http://no-ip.org/?update&pass=abcd&user=cippolo
tempo fa era così.
Quindi presumo ci sia un qualche script, su 
no-ip.org
 che fa la verifica 
della password e dell'utente, e se corretti, aggiorna il dns di quel 
dato utente basandosi sull'ip da cui proviene la richiesta.

 dato utente basandosi sull'ip da cui proviene la richiesta.
la questione e' il come li aggiorna, boh me lo guardero' :)
ciao,
--
oggei

> la questione e' il come li aggiorna, boh me lo guardero' :)
#!/bin/sh
echo "{ zona dns }" >> /etc/named.conf
rndc reload
:)

Alessandro ha scritto:

ecco, stanno male :)
ciao,
--
oggei

 Credo di vedere problemi dove non ci sono.
;-)
Fabio 

 Come dicevo sopra, forse stai sovrastimando il lavoro da fare. 
Come ho detto sopra: si lo sto sovrastimando. ho preso un colpo solo ad 
immaginare 7 vpn su 7 sedi.

 centro stella va giù, non funziona più nessuna VPN.
Te la butto li. Se hai accesso agli apparati di rete delle varie sedi e
supportano IPsec puoi fare un concentratore che facia routing.
Eventualmente puoi ridondarlo.
ciao
-- 
Luca Corti
PGP Key ID 1F38C091
Adesso dico: "Fede."