[VPN] Linux machine als router-on-a-stick voor ipsec?

[Mephix]

Aangezien in dit geval de linux machine niet als gateway wordt gebruikt, kan ik geen verkeer routeren tussen intern netwerk en extern netwerk (internet). Het configureren van ipsec op een linux bak met maar 1 been wordt dus wat lastiger.

Is er iemand die mij kan uitleggen (liefst misschien met een visio-tje) hoe ik me zo'n constructie moet voorstellen ? Worden er 2 ipadressen gekoppeld aan 1 fysieke netwerk interface, of gaat dit anders ? En wat doe ik met de default gateway van de clients ? Is het handiger om deze dan ook via die "interne router" te laten lopen (maar dan niet via ipsec) of is het handiger om op de clients een extra route in te stellen voor het subnet van de andere kant -> via ipsec gateway?

Dit is dus niet linux specifiek, want het zou net zo goed een cisco box kunnen zijn of whatever. Het gaat me meer om de constructie internet --- router/firewall --- switch --- [ip sec dev + clients]

router/firewall zal in dit geval wat aan ipsec passtrhu ed. moeten doen, maar dat is wel te regelen.

Thnx alvast!

[engelbertus]

waarom slechts 1 fysiek ip?
ik begrijp de hele vraag niet goed volgens mij. een pc (linux on a stick) kan toch twee netwerkkaarten hebben?

je moet denken aan een tunnelconstructie waarbij intern verkeer aan netwerk1 via netwerk2 (de tunnel) naar een andere vpn server gestuurd, met netwerk 3

netwerk 1 en 3 zijn twee lokale netwerken, of clients, en netwerk 2 bestaat alleen in de tunnel en gaat via het externe netwerk, of in jou geval via internet

client op netwerk 1 naar vpn server op netwerk 1 die stuurt het naar netwerk 2 dat via de externe netwerkkaart via internet wordt gestuurd naar de andere vpn server, en daar gaat het in omgekeerde volgorde weer naar netwerk 3 ( of client op dat netwerk.)

maar goed. misschien bedoel je heel iets anders.....

[Mephix]

Hmm, 2 netwerkkaarten in die linux bak had ik eigenlijk nog niet aan gedacht. Moet ik daarbij nog opletten dat beide netwerkkaarten een ip adres krijgen in verschillende subnets ?

En hoe zit het met routes vanaf clients ?

[Verwijderd]

Sorry hoor, maar ik krijg een beetje het idee dat je niet echt weet waar je mee te maken hebt. Als jij een router hebt, dan heb je automatisch verschillende subnets (anders is het geen router). En dat kan met één of met twee netwerkkaarten; het gaat om de interfaces.

Dus probeer even voor jezelf duidelijk te hebben wat je precies wil bereiken en wat je vragen nou eigenlijk zijn.

Move PNS > NT

[engelbertus]

het meest logische bij modem->router->netwerkje is dat de al twee netwerkkaarten in de pc hebt. volgens mij kunnen niet alle modems en switches overweg met twee ipadressen/netwerken op 1 poort.

in het geval van slechts 1 netwerkkaart werkt het weinig anders.
netwerk1 netwerk 2 en netwerk 3 intern en extern, zijn eigenlijk maar benamingen voor verschillende netwerken, die om die reden een nder subnet hebben, en dus ook andere ipranges.

daar is een router voor bedoeld, om daar weer kaas van te maken.ik denk dat als je twee netwerkkaarten hebt je bij linux bij de interfaces (config betand) gewoon daar op moet geven welek subnetmasker e moet gebruiken, maar denk dat als je al dhcp van je modem gebruikt, dat je je dan om die netwerkkaart dus geen zorgen meer hoeft te maken.
de andere kaart moet je dan dus wel configureren zo dat hij niet hetzelfde netmast en subnet krijgt.

maar heb je het over router on a stick ? is dta een distributie ?
dan is daar toch gewoon een uitleg bij? die zal ook wel uitgaan van twee netwerkkaarten.
en anders staat er wel bij hoe het wel werkt

je kunt dan ook gewoon je linux server/rouyter die je nu hebt aanpassen, of er een windows licentie voor aanschaffen
die kan ook wel vpn's opzetten en zo, en ipsec is dan volgens mij standaard ?

[JackBol]

sorry, geen visio bij de hand...



EDIT: ff uitleg erbij is makkelijk.

Stel: PC1 wil communiceren met een computer op netwerk 10.0.0.0 (bijv 10.0.0.1)

1. PC1 maakt IP pakketje met L3 DST --> 10.0.0.1 en L2 DST --> router a
2. router a ontvangt pakketje, gooit L2 header weg, en plakt L2 DST --> ipsecbak
3. ipsecback ontvangt pakketje, gooit L2 header weer weg, encrypt rest van het pakket, voegt EXTRA L3 header toe, L3 DST --> wan IP router b en nieuwe L2 DST --> router a.
4. router a ontvangt pakketje weer, gooit L2 header weg, husselt de L3 header door de NAT engine, en stuurt het pakketje met een legale L3 header (wan ips router a en router b) het internet op.
5. router b ontvangt pakketje (hopelijk NAT-T geconfigureerd ) opnieuw NATten.
6. Router b (=tunnel endpoint) ontvangt pakketje, gooit L2 en L3 header weg, decrypt de rest van het pakketje, plakt er nieuwe L2 header voor DST systeem aan en schopt weer op de kabel.

7. en vise versa het zelfde maar dan andersom natururlijk!

[ Voor 87% gewijzigd door JackBol op 14-12-2005 20:09 ]