Animocheck NOS GoTVPN

[TrailBlazer]

nee doet doet die ook niet. Geen enkele van de drop rules def policies loopt op.

jaa gefixed
moet het ook op de core aanzetten bedacht ik me opeens. Me is happy happy happy weer een hobbel weg

[ Voor 44% gewijzigd door TrailBlazer op 03-11-2005 09:29 ]

[r0b]

Klinkt leuk, wil sowieso wel een client inzetten zodra ik m'n bak weer up and running heb.

[Zym0tiC]

Vanaf maandag heb ik de komende 2 weken vrij op een enkele dag werken na. Geef maar een seintje als je hulp nodig hebt

[dj_dysaster]

* dj_dysaster meldt zich ook met z`n debian doos

Ik wil ook wel mee testen, en ik ben elke avond na 6 uur wel online (en zo`n beetje het hele weekend).

offtopic: ik heb #gotvpn ook maar ff gejoind

[RupS]

We hebben nu de basis geloof ik draaien
Nog even het plaatje:


Nu hadden we het net over het volgende @ #gotvpn:
Op het moment dat ik down ga, zal al het verkeer EN het return verkeer bedoeld voor AS 65200 over BSS gaan. Op zich niet onoverkomelijk, maar wel vervelend aangezien hij backup is

Wat we dus eigenlijk zouden willen is dat de primaire bakken de backups kennen en vice versa. Dus ik zou nog een link moeten maken met BSS en Kritz met Trailblazer. Als we dat niet doen betekent dat ook dat als ik stuk ga, er een HOP extra komt voor verkeer van 65200 naar 65100, namelijk: "client" -> Kritz -> BSS -> Trailblazer -> andere "client"

Dus Kritz en ik dachten eigenlijk dat het wel leuk was om de kruisverbindingen ook aan te leggen

Als iemand er anders over denkt hoor ik het natuurlijk graag

--edit--
Nu zitten wij ons te bedenken dat dit idee met huidige opstelling niet werkt. Je zou dan vanuit een core op twee manieren naar hetzelfde AS gaan, ik heb te weinig bgp-kaas gegeten om te weten hoe/of dat gaat Misschien moeten er dan wel 4 AS-en komen?

[ Voor 24% gewijzigd door RupS op 07-11-2005 16:30 ]

[Verwijderd]

En wat je vervolgens kan doen...

Je hebt 4 verschillende "providers" (de huidige cores) van verbindingen met het VPN. Je kunt dan bij 1 of meerdere "providers" aanmelden om op het VPN te komen en dus eventueel bij een extra provider een tunneltje nemen om de boel redundant uit te voeren. En hoe elke "provider" zijn authenticatie dan regelt is zijn zorg

Hoewel ik het zelf via een formuliertje op een webpagina zou doen. Vervolgens de userinfo in mysql kletteren en openvpn hiermee laten kletsen. De client config info kun je op het moment van authenticififirerereren direct genereren.

voor de bgp config zal ook wel e.e.a. automagisch te genereren zijn. Automagisch ASN's uitdelen enzo.

[ Voor 5% gewijzigd door Verwijderd op 07-11-2005 16:34 ]

[TrailBlazer]

RupS schreef op maandag 07 november 2005 @ 16:23:
We hebben nu de basis geloof ik draaien
Nog even het plaatje:
[afbeelding]

Nu hadden we het net over het volgende @ #gotvpn:
Op het moment dat ik down ga, zal al het verkeer EN het return verkeer bedoeld voor AS 65200 over BSS gaan. Op zich niet onoverkomelijk, maar wel vervelend aangezien hij backup is

het idee van een backup is vaak dat deze nooit wordt gebruikt behalve bij problemen. Dus als hij niet gebruikt zou mogen worden heeft die ook geen zin.

Wat we dus eigenlijk zouden willen is dat de primaire bakken de backups kennen en vice versa. Dus ik zou nog een link moeten maken met BSS en Kritz met Trailblazer. Als we dat niet doen betekent dat ook dat als ik stuk ga, er een HOP extra komt voor verkeer van 65200 naar 65100, namelijk: "client" -> Kritz -> BSS -> Trailblazer -> andere "client"

Dus Kritz en ik dachten eigenlijk dat het wel leuk was om de kruisverbindingen ook aan te leggen

Als iemand er anders over denkt hoor ik het natuurlijk graag

--edit--
Nu zitten wij ons te bedenken dat dit idee met huidige opstelling niet werkt. Je zou dan vanuit een core op twee manieren naar hetzelfde AS gaan, ik heb te weinig bgp-kaas gegeten om te weten hoe/of dat gaat Misschien moeten er dan wel 4 AS-en komen?

uiteraard kan dit. Je kan het zo gek niet bedenken of het kan met bgp. De config wordt er hooguit een stuk complexer door maar daar zijn we niet bang voor toch. Overigens in de file naar huis heb ik ook nog over het geheel na lopen denken en ik heb nog wel een ideetje denk ik om het aantal tunnels gelijk te houden maar toch iets meer redundantie in het netwerk te brengen. maar dit moet ik nog ff helemaal uitwerken.

Verwijderd schreef op maandag 07 november 2005 @ 16:34:
En wat je vervolgens kan doen...

Je hebt 4 verschillende "providers" (de huidige cores) van verbindingen met het VPN. Je kunt dan bij 1 of meerdere "providers" aanmelden om op het VPN te komen en dus eventueel bij een extra provider een tunneltje nemen om de boel redundant uit te voeren. En hoe elke "provider" zijn authenticatie dan regelt is zijn zorg

Hoewel ik het zelf via een formuliertje op een webpagina zou doen. Vervolgens de userinfo in mysql kletteren en openvpn hiermee laten kletsen. De client config info kun je op het moment van authenticififirerereren direct genereren.

voor de bgp config zal ook wel e.e.a. automagisch te genereren zijn. Automagisch ASN's uitdelen enzo.

in principe een hardstikke leuk idee. Er zal dan wel echter iemand moeten zijn die alle ip addressen en AS nr's bij houdt.

[TrailBlazer]

technobabbel de bgp config van de cores ziet op op dit moment zo uit

code:

router bgp 65100
 no synchronization
 bgp router-id 172.23.1.2
 network 172.23.0.1 mask 255.255.255.255
 network 172.23.1.2 mask 255.255.255.255
 neighbor clients peer-group
 neighbor clients maximum-prefix 5
 neighbor clients prefix-list loopbacks in
 neighbor clients prefix-list loopbacks out
 neighbor 172.22.1.8 remote-as 65108
 neighbor 172.22.1.8 peer-group clients
 neighbor 172.22.1.9 remote-as 65109
 neighbor 172.22.1.9 peer-group clients
!

nou wat staat hier nou allemaal

code:

router bgp 65100
 no synchronization
 bgp router-id 172.23.1.2
 network 172.23.0.1 mask 255.255.255.255
 network 172.23.1.2 mask 255.255.255.255

het unieke as nummer voor deze machine plus wat standaard dingen die ik al eerder heb genoemd

code:

 neighbor clients peer-group
 neighbor clients maximum-prefix 5
 neighbor clients prefix-list loopbacks in
 neighbor clients prefix-list loopbacks out
!
ip prefix-list loopbacks seq 10 permit 172.23.0.0/16 le 32

het is als je veel bgp neighbors hebt niet handig om elke keer dezelfde dingen te configureren. Daarom kan je zogenaamde eer-groups maken. Alle neighbors die lid zijn van deze peergroup hebben dan dezelfde eigenschappen.
In dit geval wil ik maximaal 5 routes inleren van elke client en ook nog alleen als ze aan een zogenaamde prefix voldoen. Ook worden er alleen routes naar de clients verspreid als ze aan dezelfde prefix voldoen.

code:

neighbor 172.22.1.8 remote-as 65108
 neighbor 172.22.1.8 peer-group clients
 neighbor 172.22.1.9 remote-as 65109
 neighbor 172.22.1.9 peer-group clients

een tweetal clients met hun peer-group statement

code:

ip prefix-list loopbacks seq 10 permit 172.23.0.0/16 le 32

Dit is dus de prefix-list. Deze list staat enkel addressen toe in het 172.23.0.0/26 netwerk met een masker van 32 bits of kleiner. Dit zijn dus loopback addressen.

[vtx]

Ik wil ook graag een test client worden.

bkostjens AT ilimburg DOT nl

[TrailBlazer]

update core2 is nu ook helemaal online en de 1e client hangt eraan. Ook verkeer van een client achter core 1 naar een client2 achter core gaat goed

root@server:~# ping -I 172.23.1.8 172.23.2.9
PING 172.23.2.9 (172.23.2.9) from 172.23.1.8 : 56(84) bytes of data.
64 bytes from 172.23.2.9: icmp_seq=1 ttl=62 time=24.6 ms
64 bytes from 172.23.2.9: icmp_seq=2 ttl=62 time=24.3 ms
64 bytes from 172.23.2.9: icmp_seq=3 ttl=62 time=22.8 ms

--- 172.23.2.9 ping statistics ---
3 packets transmitted, 3 received, 0% packet loss, time 2001ms
rtt min/avg/max/mdev = 22.836/23.957/24.649/0.799 ms
root@server:~#

de tooling is nu ook sterk verbeterd en het toevoegen van clients gaat een stuk eenvoudiger nu.
Op dit moment moeten we eigenlijk wat services aan gaan bieden op het VPN. Ik heb al een irc server draaien en een DNS voor gotvpn. Meer suggesties zijn welkom. Uiteraard kan je deze ook gewoon op je lokale bak draaien.

[Verwijderd]

Wat dacht je van Nagios voor de link monitoring, snmpd+cacti voor interface statistieken, smokeping voor de latency's, ed ed. Mischien dat een smtp gateway richting inet ook leuk is.

Iig heb ik, dankzij Avatar, een hele mooie DEC AlphaServer (1000a 5/300 | 448MB ram | 1 x 18G + 1 x 36G | 2 x 100mbit) klaarstaan voor het GotVPN project. In de loop van de dag klus ik er eea aan software op. Als de Core operators toegang nodig hebben, graag ff via email (systems AT ix DOT nl DOT eu DOT org) laten weten.

[RupS]

Verwijderd schreef op woensdag 09 november 2005 @ 13:56:
Wat dacht je van Nagios voor de link monitoring, snmpd+cacti voor interface statistieken, smokeping voor de latency's, ed ed. Mischien dat een smtp gateway richting inet ook leuk is.

Iig heb ik, dankzij Avatar, een hele mooie DEC AlphaServer (1000a 5/300 | 448MB ram | 1 x 18G + 1 x 36G | 2 x 100mbit) klaarstaan voor het GotVPN project. In de loop van de dag klus ik er eea aan software op. Als de Core operators toegang nodig hebben, graag ff via email (systems AT ix DOT nl DOT eu DOT org) laten weten.

Nagios is loik op zich, alleen wel een pokke werk om op te zetten... mijn ifaces worden al becacti'd op het moment.
smokeping ken ik niet, maar klinkt prima

smtp gateway kan inderdaad, qmail met de mysql db voor authenticatie of zo?

offtopic:
Ben jaloers op je DEC

[TrailBlazer]

gisteren op IRC is er een discussie geweest over de keys die tot vandaag op mijn webspace stonden. Helaas heb ik deze niet kunnen volgens omdat ik moest leren voor mij Cisco SECUR examen
Het hele VPN en alles eromheen is een project wat nog continue in ontwikkeling is. Kijk naar de omschakeling van vtun naar openvpn. Ik steek er best veel tijd in maar ik moet toch prioriteiten stellen. Op dit moment is zeker documentatie en een goede website voor aanmeldingen nodig. Voor de website heb ik gewoon te weinig kennis om dit binnen kort tijd op te zetten. Het ideaal zou zijn als hier ook gewoon de key beschikbaar zou zijn na authenticatie. Dus vrijwillgers heel graag

[TrailBlazer]

voor de mensen die gebruik willen maken van mijn DNS server zet dit in je named.conf en het zou als het goed is moeten werken. Op dit moment enkel ip naar host straks ook van host naar ip

code:

zone "23.172.in-addr.arpa" {
type forward;
forwarders {172.23.1.2;};
};
zone "22.172.in-addr.arpa" {
type forward;
forwarders {172.23.1.2;};
};
zone "gotvpn" {
        type forward;
forwarders {172.23.1.2;};
};

[Zym0tiC]

kick!

Loopt het project nogwel? irc is ook al een beetje dood. of zit iedereen via vpn te ircen

@trailblazer: heb je al eens proberen te mailen en contact te zoeken via irc over toegang tot gotvpn maar heb nog niets terug...

[lordgandalf]

ik zouw ook graag info zien over hoe ik mijn bak kan instellen zodat ik op de gotvpn kan inhaken

[TrailBlazer]

ja leeft nog wel heb het alleen ff erg druk plus mijn laptop is een paar dagen dood geweest

[Verwijderd]

Gaat er nog wat gebeuren met GotVPN?

[riotrick]

Ik ben ook weer online inmiddels. Verhuisd en nieuwe adsl lijn is aangesloten, ben er klaar voor

[TrailBlazer]

ja er gaat bog wel wat gebeuren heb alleen de laatste tijd veels te weinig tijd door examens. Ook is mijn Adsl verbinding nogal brak op het moment. Ik zal morgen avond proberen een herstart te doen

[Mitch]

Kom dit topic veel te laat tegen natuurlijk ... zit er nog wat leven in dit project ?

[TWBMS]

niet echt.. maar zullen vast nog genoeg mensen zijn die het in de gaten houden.

[HunterPro]

ik wil ook nog steeds wel meedoen alleen beetje weinig tijd gehad lately.

[Verwijderd]

Voor degene die alsnog met bgp en routers willen spelen is wellicht NAP-IX een alternatief. Sorry als ik hiermee dit project omver schop of ego's doe krenken, maar omdat hier genoeg animo voor is post ik het linkje toch.