Deepwalker12 фев 2009 в 04:05

VPN, полное покрытие

5 мин

32K

Cisco *

+27

Комментарии 43

merlin-vrn 12 фев 2009 в 06:13

Ответьте, вы сумели заставить OpenNHRP работать!?

Deepwalker 12 фев 2009 в 07:40

Я не работал с VPN на базе Linux/BSD. У меня везде были маршрутизаторы Cisco.
Возможно проходящий хабрагражданин расскажет о своем опыте.

merlin-vrn 12 фев 2009 в 07:56

Я, я проходящий гражданин.

Я так и не сумел заставить OpenNHRP работать. Статическую сеть mGRE, совместимую с Cisco — поднял (там без IPsec, но его туда добавить — это раз плюнуть), т.е. адреса в NBMA-сети прописывал руками. А вот чтоб динамически — регистрироваться на хабе и строить каналы между собой — тоже только на Cisco получилось сделать.

Deepwalker 12 фев 2009 в 07:58

В общем раззадорили интерес: ) Я сейчас тоже попробую.

Deepwalker 12 фев 2009 в 08:02

Чёрт, он видимо не 64-bit дружественный:

nhrp_peer.c:1286: error: cast from pointer to integer of different size

merlin-vrn 12 фев 2009 в 08:07

Странно. А я собирал его на amd64 (на которой сейчас сижу, собственно). Он даже есть собранный. И он даже запускается, только не работает :(

Deepwalker 12 фев 2009 в 08:20

Блин, вот ну не знаю я C, но ведь как то правлю каждый раз, и таки собираю. Вот как?? Это такой необходимый талант OSS админа?

merlin-vrn 12 фев 2009 в 10:35

Я вообще собираю emerge opennhrp, стянул ebuild в каком-то alpine linux. Там ещё есть утилита администрирования — с ней не разбирался (возможно, зря).

merlin-vrn 12 фев 2009 в 10:36

distrib-coffee.ipsl.jussieu.fr/pub/linux/alpine/alpine-portage/ вот собственно portagetree, утилиты — app-admin/acf-opennhrp и net-misc/opennhrp

merlin-vrn 12 фев 2009 в 06:25

> У каждого маршрутизатора есть IP адрес специальной NBMA сети (например 10.0.1.0/24)
Вообще-то, неправильно вы написали.

NBMA-сеть — это как раз Internet (NBMA = без широковещания, но с множественным доступом), через который всё гоняется. (Объяснение на сайте Cisco) А как раз виртуальная сеть, которую вы строите на базе mGRE, вполне может быть сделана с поддержкой широковещания — для этого нужно к конфигурации виртуальных интерфейсов добавить «ip nhrp map multicast nbma-address» — сообщить системе, на каком NBMA-адресе слушать широковещания для виртуальной сети.

Более того, у вас это широковещание используется для работы ospf.

Ну и, конечно же, адреса вида 10.0.1.0/24 не могут быть адресами концентраторов, т.к. это адреса сетей, а не конечных устройств. Вы имели ввиду 10.0.1.1/24 или что-то в этом роде?

Deepwalker 12 фев 2009 в 06:30

спасибо за отличный комментарий, переправлю.

10.0.1.0/24 это адрес сети, из которой берутся адреса.

icCE 12 фев 2009 в 07:13

Как то в таком варианте больше склоняюсь к OpenVPN, но все равно спасибо интересно.

Deepwalker 12 фев 2009 в 07:40

А в OpenVPN есть подобный механизм?

Здесь просто используются стандартные протоколы, которые есть практически везде.

icCE 12 фев 2009 в 07:44

Использование OpenVPN стандартных протоколов TCP и UDP позволяет ему стать альтернативой IPsec в ситуациях, когда Интернет-провайдер блокирует некоторые VPN протоколы. © Wikipedia

К сожалению придется ставить свой клиент, но возможностей хватает.
сам я в силу обстоятельств использую или железное решение (офис — офис) или программное L2TP (без ipsec) клиент — офис

Deepwalker 12 фев 2009 в 07:46

Ну все так, вот только если вам придется дружить с cisco, то придется заводить opennhrp, я думаю.

icCE 12 фев 2009 в 07:48

ну думаю да =)
но про openvpn надо помнить.

вот тут кстати одно из решений, одного хорошего человека, почитайте может будет интересно.
bigkaa.blogspot.com/2008/11/open-vpn.html

pablo 12 фев 2009 в 14:57

«Использование OpenVPN стандартных протоколов TCP и UDP позволяет ему стать альтернативой IPsec в ситуациях, когда Интернет-провайдер блокирует некоторые VPN протоколы»

Думаю, имеется в виду NAT-T, который есть у всех на самом деле.

merlin-vrn 12 фев 2009 в 07:50

Вы различайте функционал.

Если вы построите сеть OpenVPN — связь между двумя пирами-«споками» будет осуществляться непременно через хаб. Скажем, OpenVPN-сервер в Москве, а клиенты — в Красноярске и Перми — и весь трафик между последними двумя будет ходить через Москву.

А DMVPN позволяет динамически организовывать виртуальные каналы между споками, т.е. трафик между Пермью и Красноярском не будет ходить через Москву, а напрямую.

Тут скорее с gpve нужно сравнивать по функционалу, а не с OpenVPN, но gvpe не умеет строит динамические каналы.

merlin-vrn 12 фев 2009 в 07:53

… gvpe не умеет строить динамические каналы. А статически такую сеть можно построить либо на gvpe, либо — на mGRE+IPsec (без OpenNHRP). Такую сеть гарантированно можно связать с Cisco.

odessky 12 фев 2009 в 07:43

А еще можно вместо циски поставить старый пенек (pentium/celeron) линукс (для любителей всего и сразу — mikrotik) и завести все это там, не покупая дорогущих цисок

icCE 12 фев 2009 в 07:46

старый пенек, может
а) неожиданно умереть
б) не выдержать нагрузки

ну и последнее оно не надо =)
Любая самая захудалая точка доступа для SOHO умеет делать VPN.

odessky 12 фев 2009 в 11:15

У меня еще рядом стоят 2 пенька на готове — хотсвоп
Нагрузку держут лучше чем эти ваши длинки

icCE 12 фев 2009 в 11:17

каждому свое. Длинки не рекомендую =) но пеньки то же не вариант.

mawrodaki 13 фев 2009 в 09:30

Имею интранет-сеть центральный офис + 6 филиалов. Реализовано все на IP-COP + Zerina OpenVPN.
Изначально стояли «старые пеньки», двое за полгода сдохли, поменял; еще двоих поменял сам на Celeron (III). Сеть неплоха в настройке и обслуживании, легко и быстро настраивается.

mawrodaki 13 фев 2009 в 09:33

Кстати при помощи IP-COP + Zerina OpenVPN можно сделать что-то типа multi-point.

nshopik 12 фев 2009 в 08:32

А еще можно использовать cisco easyvpn чтобы он делал всю конфигурацию тогда получаеться DVTI тунели. Плюс непонятно зачем вы целую подсеть вешаете на тунель, это serial соединение. используйте просто ip unnambered c другого вашего интерфейса.

nshopik 12 фев 2009 в 08:33

в смысле не serial а point-to-point

merlin-vrn 12 фев 2009 в 10:27

Вы статью-то прочитайте, ага. Там многоточковый туннель, а не точка-точка.

nshopik 12 фев 2009 в 11:50

Виноват, читал по диагонали. Всегда считал что multi-point для VPN не существует, будем изучать, пробовать.

huko 12 фев 2009 в 19:09

хорошая статья, на надо иметь в виду, что такое работает при условии, что в каждом из филиалов подключен «public internet», далеко не все компании позволяют себе такую «роскошь», особенно всякие там банки и прочие серьезные организации. У таких есть выделенный канал и связь только с центром, и по этому там по старинке будут в ручную городить n-ое кол-во туннелей и только и мечтать DMVPN & NHRP ;-)

Deepwalker 13 фев 2009 в 09:00

Cisco распространяет свою концепцию не только на WAN IP сети. Почитайте документ по ссылке.

С другой стороны — а зачем банковским филиалам между собой общаться? Это конечно спорно все, сферический банк в вакууме.

Halt 15 мая 2009 в 14:14

Не, ну как же. Такое вполне возможно. Перевод денег между отделениями например. И общение по VoIP в процессе. Да мало ли чего может быть :)

Впрочем, по поводу сферического коня вы правы :)

kuten 13 фев 2009 в 07:43

Статья класс!
До этого на хабре были статьи про Cisco для newbies, так вот их забросили, у вас нет желания продолжить?
Буду очень благодарен!

Deepwalker 13 фев 2009 в 08:41

Не знаю, я пишу по темам которые так или иначе заинтересовали. Если что нибудь такое придет в голову обязательно напишу: )

Навскидку могу описать свой метод разборок с адресами, масками в уме — для CCNA весьма полезно.

kuten 13 фев 2009 в 09:15

Это который 256 — маска, а потом выбираешь из диапозона?

Deepwalker 13 фев 2009 в 09:45

Не совсем понял, распишите плз.

kuten 13 фев 2009 в 09:57

Ну например 172.22.1.97 маска 255.255.255.224 надо найти ip сети и broadcast ip.

256(лучше 255) — 224 = 32(тогда 31)
а потом типа считаешь в уме

0-31 далее 32-63 далее 64-95 далее 96-127 далее 128-149 и т.д

берешь 172.22.1.96 — сеть, 172.22.1.127 — broadcast

Это Вендел Одом так учит, Я ща самостоятельно курс CCNA учу

Deepwalker 13 фев 2009 в 14:17

Правильно учит! У Cisco пару раз видел в мануалах страшные схемы с переводом в двоичную систему: )

Khris 13 фев 2009 в 13:15

Ребят я могу быт похож из-дали на лузера, но писать все эти команды ручками, потом ещё некоторые сертификацию проходят. Кучу бабла и время тратят на все эти дела.

Не проще ли программы использовать?

Хоть и стоят примерно столько-же, но иногда в целях тестирования к примеру можно пренебрегать ломалками, наглядный графический интерфейс, как например у KERIO и подобных. Куча вкусняшек типа контент фильтров прикрученых и антивирусов/антиспамеров.

Я конечно понимаю, что от слова CISCO у большинства стоит! Ну где же здравый смысл?

Deepwalker 13 фев 2009 в 14:14

Программа то заточена на фильтрацию, кеширование и тп. А мне нужна динамическая маршрутизация! Вот и проще отдать денег за Cisco, чем за Kerio и получить все что нужно. В любом случае — если я использую Linux/BSD, то настройки там отнюдь не красочные (ну слышал что то про mikrotik, но не смотрел — не нравится мне их отношение к GPL наплевательское).

Конечно для Cisco может понадобится к примеру Radius сервер, syslog, netflow коллектор, взрослые технологии без свистелок. В общем надо разуметь куда и что ставить. Где то Kerio вполне хватит, а где то оборудование Cisco, или его unix аналоги, необходимо.

kuten 13 фев 2009 в 14:32

Кстати в Kerio WinRoute Firewall, VPN нету!

kuten 13 фев 2009 в 14:36

да и потом в Cisce тоже граф интерфейс есть

Deepwalker 13 фев 2009 в 14:47

Да суть даже не в интерфейсе, в том что GUI сам по себе зло для новичка. На эту тему правда много разжевано, что надо вначале как следует разобраться в назначении галочек и кнопочек.

Ну и мне быстрее маршрутизатор (один из кучи однотипных) настроить, к примеру, копирнув в него шаблон.

Зарегистрируйтесь на Хабре, чтобы оставить комментарий