Newsgroup: it.comp.os.linux.sys
Titolo: Mi date un consiglio su una VPN?

Com'e' preferibilefare metter su un server che permette a portatili 
road-warrior di connettersi alla rete aziendale?
ipsec,openvpn o pptp?


pptp è una socca, ipsec non fa nat traversal.
voto per openvpn

 ipsec,openvpn o pptp?
Non pptp; openvpn è decisamente più semplice rispetto ad ipsec, visto
che hai anche installer per windows (e puoi pensare a ripacchettizzare
l'installer con già belli e pronti i certificati, la chiave e la
configurazione, volendo)

 ipsec non fa nat traversal.
Molte implementazioni lo fanno .

 ipsec,openvpn o pptp?
OpenVPN funziona con tutto, dala linea GSM a 9600bps al link 
satellitare, attraverso proxy,fastweb, UMTS/GPRS/HSDCC e tutto (ipsec 
no)....
Se le performance non sono un problema OpenVPN !


e come fanno se l'header del pacchetto ip non è modificabile?



http://www.microsoft.com/technet/community/columns/cableguy/cg0802.mspx
è microsoft ma è il primo link che google mi ha dato con "ipsec nat 
traversal"
La soluzione del problema è incapsulare.
max
-- 
A: Because we read from top to bottom, left to right.
Q: Why should i start my reply below the quoted text?

 Se le performance non sono un problema OpenVPN !
che ci azzecca la performance ?
openvpn non va meno di un ipsec.


 La soluzione del problema č incapsulare.
a questo punto meglio openvpn, che lo fa gią di suo

 ipsec,openvpn o pptp?
Grazie a tutti, visto che tutti acclamate a gran voce OpenVPN..... vada per 
OpenVPN!
Un'ultima cosa, per una vpn tra due lan, il consiglio e' lo stesso? 

 a questo punto meglio openvpn, che lo fa già di suo
Forse non hai letto bene: anche ipsec "lo fa già di suo" ;-)
Uno svantaggio, se cosi' si puo' chiamare, di adottare openvpn
e' che in contesti aziendali e' probabile che a un certo punto
si debba comunque adottare *anche* ipsec, per interoperare con
partner/soci/fornitori/cazzi/mazzi/lazzi finendo cosi' a dover
gestire due tecnologie di vpn.
Voterei comunque per openvpn.
Fabio

 Voterei comunque per openvpn.
:-)

 openvpn non va meno di un ipsec.
Stai scherzando vero ?
Non è nemmeno paragonabile !

 Un'ultima cosa, per una vpn tra due lan, il consiglio e' lo stesso? 
Meglio IPSec con PSK !

 e come fanno se l'header del pacchetto ip non è modificabile?
Stai parlando di AH.

 openvpn non va meno di un ipsec.
Non direi, ma nella gran parte delle situazioni openvpn va bene.

 Non č nemmeno paragonabile !
Con OpenVPN vai tanto quanto IPSec, provato.
-- 
Flavio Visentin
Membro del CICAP
Comitato Italiano per il Controllo delle Affermazioni di P4

 Un'ultima cosa, per una vpn tra due lan, il consiglio e' lo stesso? 
Sì.


 Con OpenVPN vai tanto quanto IPSec, provato.
Su un link >= 100mbit? :-)


E' abbastanza raro utilizzare link WAN con tale velocità. *Comparazioni*
tra OVPN e IPSEC le ho fatte solo su link WAN fino a 8Mbit, anche se con
tutte le tecnologie, dal modem analogico al link satellitare (con 20
secondi di latenza), passando per le varie DSL.
Per curiosità ho creato una VPN su un link Gb che è l'HB di un cluster
ed è fatto con un cavo cross UTP Cat. 6.
Le due macchine sono identiche, IBM x306 PIV 3.2 con Debian etch x86_64
Linux SERVER_1 2.6.15-1-em64t-p4-smp #2 SMP Mon Mar 20 12:55:47 UTC 2006
x86_64 GNU/Linux
Ecco come ho configurato openvpn.
-------- SERVER 1 ---------
dev tunxxx
remote 10.255.255.254
local 10.255.255.253
ifconfig 10.1.1.1 10.1.1.2
ca ca.crt
cert server.crt
key server.key
dh server.pem
tls-client
-------- SERVER 2 ---------
dev tunxxx
remote 10.255.255.253
local 10.255.255.254
ifconfig 10.1.1.2 10.1.1.1
ca ca.crt
cert server.crt
key server.key
dh server.pem
tls-server
Ho poi aperto su SERVER 1 due finestre, una con l'output di top e una
con l'output di iftop (iftop -n -N -i tunxxx)
Poi su SERVER 2 ho avviato un server netcat
nc -l -u -p 11111 > /dev/null
e quindi su SERVER 1 un client netcat
cat /dev/zero | nc -u 1.1.1.2 11111
La CPU è andata ovviamente al 100%, e questo era il limite delle
performances. Il transfer rate ha raggiunto il picco di 678Mb/s con una
media su circa 30 secondi (di più non potevo) di circa 500Mb/s
Il risultato è visibile su 
http://www.zipman.it/images/TestOpenVPN.png
Purtroppo non ho raffronti con IPSEC nella stessa configurazione, ma
dubito che possa fare di meglio, anche a fronte delle maggiori richieste
di CPU del protocollo.


 di CPU del protocollo.
Non ti seguo, francamente: cosa intendi?
Del resto, mi sembra abbastanza avidente che una vpn che gira in userspace
sia più onerosa, in termini di cpu, di una vpn che è in kernel space,
come nel caso di ipsec.
Poi possiamo fare valutazioni d'altro tipo ed anch'io sceglierei 95 volte
su 100 openvpn, eh.

 su 100 openvpn, eh.
Alla fine quel che più interessa è la versatilità e l'affidabilità e su
questo terreno openvpn è imbattibile.


 e come fanno se l'header del pacchetto ip non è modificabile?
Non lo so, principalmente perchè ho risolto i miei casini con
(appunto) openvpn... ;) Però potrei giurare che si *PUO'* fare,
se sgoogoli "ipsec nat traversal" qualcosa di interessante vien
fuori ... se ricordo bene dai tempi in cui ci sgoogolai io, era
in qualche modo possibile usare ipsec tramite un singolo NAT
lato client (road warrior), posto che il router "autore" del
NAT lo supportasse esplicitamente  ...
CMQ mi trovo "DA DIO" con openvpn, ammetto di non avere grossi 
requirements quanto a prestazioni e non ho mai nemmeno fatto
benchmarks in tal senso ... però posso dire che non ho *MAI*
avuto neanche mezza parvenza di problema con openvpn sotto
linux (debian), windows e mac os x, pur usandolo quotidianamente
con tutte e tre le piattaforme... da reti nattate anche due volte
(ie: fastweb residenziale con router personale in NAT).
I like it ! ;)
ciao, f.

 ha scritto nel messaggio 
news:44ad5e39$1...@news.telnetwork.it...
 > Sě.
Ok, vi ringrazio tutti.
OpenVPN funziona alla grande. Il fatto che l'ho gia' configurato e in queso 
momento lo sto usando fa capire che e' anche abbastanza facile da utilizzare 
:-)
Volevo fare alcune piccole domande ancora se non vi dispiace.
1) Quando mi collego in vpn il dhcp mi assegna un ip ma non i dns, 
praticamente se voglio interrogare il dns interno alla lan lo devo 
aggiungere a manina. Come mai?
2) Strano problema. Se dal client in vpn cerco di collegarmi in https ad una 
macchina che ho nella lan, succede che il browser mi fa scaricare 
correttamente il certificato ma poi mi da un errore 403 accesso negato! Da 
dentro la lan, quindi non in vpn, con lo stesso portatile va tutto bene. 
Come mai?
Grazie. 

io ho grosse soddisfazioni con openvpn+iptables
sul server linux, e openvpn sui client windows.
mai un problema in diversi mesi, e possibilita' di definire regole
"per tutti" di firewalling indicando tutte le interfacce vpn con tun+ ,
con lo stesso strumento (iptables) che stavo gia' usando.

 Come mai?
Impostazioni del server web. Devi abilitare la classe IP delle VPN ad
accedere alla pagina.


 accedere alla pagina.
Ma io al webserver accedo tranquillamente, e sulle pagine ssl che dopo aver 
scaricato regolarmente il certificato mi da errore . 

 scaricato regolarmente il certificato mi da errore . 
Se non hai impostato regole di firewall, il fatto che tu provenga da una
VPN non comporta alcunissima differenza rispetto al fatto che tu
provenga da una normale rete ruotata.
Questo implica che il problema non è sicuramente dipendente dalla VPN,
quindi può essere localizzato:
a) sul server VPN che ti ruota e blocca la comunicazione, ma non è il
caso dato che il certificato lo ricevi)
b) sul server web
Non so quale possa essere il motivo, ma sono sicuro al 99% che sia un
problema di server WEB. La prova rapida che puoi fare è qualla di
nattare chi arriva dalla VPN:
iptables -t nat -I POSTROUTING -s tuo.ip.della.vpn -o eth0 -j MASQUERADE
Vedrai che funziona.


 nattare chi arriva dalla VPN:
La prova del NAT l'avevo gia' fatta, ed in effetti funziona.
Volevo chiederti un'altra cosa, nella lan ci sono 4 pc linux (varie distro) 
e qualche pc windows.
Dal portatile agganciato alla VPN succede che sfoglio tranquillamnete le 
risorse dei linux, ma non riesco a sfogliare le risorse dei pc windows.
I pc window non hanno ulteriori firewall tipo ZA o similari, e da dentro la 
lan riesco a sfogliarli tranquillamente.
Qualche idea?

 Qualche idea?
NetBIOS si basa su broadcast. Devi usare i WINS.


  ma non riesco a sfogliare le risorse dei pc windows.
"Sfgoliare le risorse" è, fondamentalmente, cacca.
Tantè che persino MS ci è arrivata ed in un dominio "puro"
AD quell'obbrobrio non c'è più.
Ad ogni buon conto, con openvpn puoi fare anche quello, se
proprio ci tieni, con interfaccia tap e bridging al posto
del punto-punto con tun.

 del punto-punto con tun.
Ma io non voglio il broadcasting!
Per sfogliare le risorse intendo \\ip.del.pc
Cosi' dovrebbe andare, se va con i pc linux non vedo perche' non debba
andare con i pc windows|


Quello non e' "sfogliare le risorse" ma l'indirizzamento UNC, e per
funzionare non richiede nulla di particolare se non che "ip.del.pc"
sia risolvibile almeno via DNS. Quindi, nessuna necessita' di query
nbns sull'indirizzo broadcast della subnet, o altre cose strane. Se
non funziona, probabilmente il problema e' da cercare altrove.
Fabio