Chtel bych male cloudy propojit do czfree core. Nevim jaky software pouzit a jak s nim zachazet. Vim, ze se tunely delaji pomoci CIPE nebo VTUN, ale tady se porad omila nejaky BGP.
Potrebuju vedet, co musim dat da czfree branu, nejaky naslouchac? Rad bych aby server nasloucha na portu treba 5000 a po spojeni prenesl komunikaci na jiny port, aby mohl naslouchat dal.
Routery v cloudech se budou vypinat a vetsinou maj neverejny IP, vetsinou se jedna o domaci routery pripojeny na komercni ISP. Nekde redhat, nekde slackware.
Tunely se pouzivaji pro spojeni siti mezi, kterymi je nekolik routeru (Internet) a neni mozne (vhodne - velke routovaci tabule apod.) je mezi sebou proroutovat pridanim smerovacich zaznamu na jednotlive routery at uz staticky nebo dymicky.
Schema:
CZFree.net ---> CZFree router ---------INTERNET---------- tvuj router ---> tvoje sit
CZFreenet - sit postavena na privatnich IP adresach z bloku 10.0.0.0/8
CZFree router - router pripojeny jednim rozhranim s privatni IP do site CZFree a druhym s verejnou IP adresou pripojenym pres ISP do Internetu
INTERNET - jsme radi ze to vubec funguje... ;-)
tvuj router - router pripojeny jednim rozhranim s privatni IP do tve site a druhym s verejnou IP adresou pripojenym pres ISP do Internetu
Jak se konfiguruje funguje CIPE...
- na routeru bezi daemon na portu 9999 (pro kazdy dalsi tunel se prideli jiny port)
- v konfiguraci se nastavuje ptp IP pro tunel... 172.16.0.1 (CZFree) <-> 172.16.0.2 (tvuj router)
Pozn.: Momentalne nevim jaka IP CZFree pro tunely pouziva...
- dalsim nastavenim je verejne IP protejsiho routeru s bezicim CIPE
- po nahozeni daemona CIPED se objevi zarizeni cipcbX
- aby fungovalo sifrovani je treba na obou stranach pouzivat stejny klic
Idealnejsi tunelovaci SW je VTUN jelikoz se u nej da nastavit velikost MTU cimz se da predejit problemum s fragmentaci paketu a spatnou funkci tunelu. Obsahuje hromadu moznosti konfugurace.
Dadsi moznosti je implementace IPIP tunelu. To je vyhodne v pripade ze je potreba byt kompatibilni v nelinuxovymi routery (Cisco a pod...).
P.S.:
Taky by rad vedel, kdo ma tynely v CZFree nastarosti... ;-)
Netdavovi jsem psal nekolik mailu, ale jeste si neudelal cas... :-/
Ja mam mezi sebou a yankem OpenVPN tunel... pokud potrebujes zkus se zeptat jej nebo mne - ale ja jsem v tomhle smeru trochu lame a moc si toho nepamatuju... ale na nekolikaty pokus by se snad podarilo :-)
PS.: BGP je routovaci protokol pokud se nemylim...
4: eth1: <BROADCAST,MULTICAST,ALLMULTI,UP> mtu 1500 qdisc pfifo_fast qlen 100
link/ether 00:40:c7:77:2f:44 brd ff:ff:ff:ff:ff:ff
inet 172.2.1.1/30 brd 172.2.1.3 scope global eth1
prez tento iface je pripojen muj 2.comp
5: tun0: <POINTOPOINT,MULTICAST,NOARP,UP> mtu 1255 qdisc pfifo_fast qlen 10
link/ppp
inet 172.0.0.2 peer 172.0.0.1/32 scope global tun0
vpn realizovany prez eth0, ktere ma 2. konec nekde na internetu
problem u mne je ze pokud prijde neco z ty 172.2.1.2 a ma MTU vetsi nezli je v tomto pripade 1255, tak to openvpn nefragmentuje. ale oseka.. tzn. na 2. konci tunnelu vylezou corrupted packety.
pokud na 2. compu dam ethernetu MTU 1255, tak je vse ok.
diky za rady, ten openvpn vypada slibne, ale nepodarilo se mi zjistit, jestli muze mit jedna strana priovatni IP adresu? Ja mam privatni. Vtun je pry od zakladu koncipovan jako client-server, takze klient muze mit privatni IP, ale vtun se mi nepodarilo zkompilovat, ani nainstalovat z binarek (slackware 9), hlasi tohle:
1) najit inkriminovany radek a zmenit 18 na 20 a pak to jde zkompilovat.
2) lepsi reseni, stahnout vtun 2.6, ktery vysel pred par dny, ja jsem zkousel verzi 2.5. sice mi napsal peknou hroamdu chyb s zlib knihovnou a tak jsme zlib disabloval a zkompiloval jsme to jen s jednim warningem. Zrejme mam zlib nainstalovany bud spatne nebo vubec.
Je potreba rozlisovat tunelovane konce tunelu a fakticke konce.
Je jasne, ze na tech tunelovanych mam privatni IP, tedy ty z CZFree, ty jsou na zarizenich tunX nebo tapX, podle toho co se pouzije.
Na faktickych koncich tunelu jsou ty IP, ktere potrebuju obejit, takze minimalne na jednom konci verejna, na druhem muze byt privatni (konkretne ja mam 192.168... od myho providera).
Trochu jsme prostudoval ten vtund, pujde to s nim, je primo delanej jako klient - server, a da se zapnout i persistentni spojeni, takze se muze klient s privatni IP vypinat a na stav tunelu to nebude mit vliv, po zapnuti nebo po vypadku spojeni se tunel automaticky obnovi.
Skoda jen, ze se musi konfigurovat tolik serveru, kolik bude tunelu, presun komunikace na jiny volny port tam neni, asi kvuli bezpecnosti.
Zanedlouho budu testovat, pokud bude chtit druha strana s verejnou IP. Pokud by nekdo mel zajem o test, at se ozve, budu rad.
Pouzivam 'zapojeni' privatniip -> verejnaip (zde neni naprosto nic nastavovane) -> druha strana, komunikace probiha pres UDP takze NAT to pochopi sprave a posila i pakety zpatky... a to ve vicero provedeni, openvpn mam nastaven jako client, mam zapnuty jeste ping aby ten tunel casem nevytimeoutoval
openvpn daemonu mam tolik co tunelu, nevadi mi to, aspon je muzu spravovat kazdeho zvlast
takova je moje situace: dve PC s WinXP spojena Wifi USB adapterama, oba maji modem a dalsi napojeni na ethernet. Bohuzel ty WIFIny neumej nic jinyho nez zabezpeceni pomoci 128bit WPA. Chci to trochu lepe zabezpecit proti cizimu prolomeni, ale nevim jak. Jediny co mam je zonealarm, a interni firewall z WInXP. Co dál. Chtěl bych nejlépe kompletně šifrovat spojení. Ovšem je nutný aby vše běželo transparentně, tak abychom mohli porad chatovat po zadani IP a hrat hry...
Dal bych chtel svazat nějak IP a MAC adresu, protoze ani to neumej ty wifky.
Nejpepsi by bylo reseni z WIN ale nejak se v tom chaosu nevyznam, nebo nejaky free řešení...
chtel bych se zeptat, jestli by sel presmerovat provoz pomoci pridani dalsiho rozhrani (tun1 nebo jak ..) bez toho abych na druhem stroji na ktery se to bude predavat byl root. vyhovuje mi openvpn ale potreboval bych neco abych nemusel byt na druhem stroji root.. diky
Mam obavy, ze to nepujde. Nekdo musi ten tunel nakonfigurovat i na druhe strane. Pokud ten tunel nechces delat "na cerno" ;-) tak asi nebude problem domluvit se s ROOTem serveru na druhe strane. ;-) Bylo by smutne kdyby si kazdy uzivatel, ktery ma pristup k shellu mohl menit IP na serveru zrovna jak se mu to libi i bez opravneni uzivatele root. :-o)
nechci to delat "na cerno", me by se to docela libilo kdyby mel kazdej roota, ale nechtel bych bejt spravcem napr kdyz delam tunel prez ssh a jen prez to tuneluji porty tak taky nemusim bejt na druhy strane kam to tuneluji root, jen obyc. user, tak jsem se ptal jestli neni nejakej tunnel neco podobnyho jako openvpn ale bez potreby roota...... na moji strane by byla dalsi sitovka (ten tunel) a na druhe by bezel asi jen nejaky daemon nebo tak neco ..... snad jsem dnes svuj pozadavek napsal srozumitelneji
CIPE je jednoduchy tunel bezici na tebou definovanem portu na UDP. Pouzival ho a jsem v celku spokojeny akorat jsem ho jako normalni uzivatel nespoustel. Program, ktery by pokryl tve potreby by mel byt spis odvozeny od ssh tunelu a upraveny pro vsechny porty, pokud je neco takoveho mozne... ;-)
Porad ale jde o tunel a o nastavovani IP adres v systemu beznym uzivatelem, coz mi prijde dost insecure... :-o
Predstav si, ze serveru nahodis tunnel s ip adresou brany zminovaneho serveru, tak ho tim v pohode odriznes od netu. :-(
27.04.2003 v 13:01
napr kdyz delam tunel prez ssh a jen prez to tuneluji porty tak taky nemusim bejt na druhy strane kam to tuneluji root, jen obyc. user, tak jsem se ptal jestli neni nejakej tunnel neco podobnyho jako openvpn ale bez potreby roota...... na moji strane by byla dalsi sitovka (ten tunel) a na druhe by bezel asi jen nejaky daemon nebo tak neco ..... snad jsem dnes svuj pozadavek napsal srozumitelneji
