[OpenVPN] meerdere servers, clients delen

[Netman768]

Hoi allemaal. Ik ben bezig met het uitdenken van een VPN, en ik hoop dat jullie mij kunnen helpen met een conceptuele vraag die ik hier niet eerder ben tegengekomen.

De case: ik heb drie servers die een OpenVPN server draaien, en een onbepaald aantal clients dat op één van de servers (random gekozen) inlogt. Elke server deelt IP's in een eigen IP-range uit. Op de servers draait bepaalde software die met software op de clients gaat praten, waarbij de server het initiatief neemt. De software op alle drie de servers moet met alle verbonden clients kunnen praten, ook clients die via een andere server verbonden zijn. In feite moeten hier dus drie VPN-netwerken één worden.

Er zijn vier wensen voor het samengevoegde VPN:
- Alle servers kunnen alle clients zien, ook al zijn die verbonden via een andere server
- De clients kunnen geen andere clients zien
- Het moet mogelijk zijn voor één of twee willekeurige servers om uit te vallen, zonder dat er meer gebeurt dan dat de clients even met een andere server moeten verbinden.
- Het moet eenvoudig zijn meer servers toe te voegen, het liefst zonder configuratie-veranderingen in de al draaiende servers

Ik heb een aantal oplossingen die volgens mij bijna-werken. Het is bijvoorbeeld mogelijk om de servers ook als client bij iedere andere server te laten inloggen, en de client-to-client configuratie-optie aan te zetten. Helaas kunnen alle clients elkaar dan zien. Mocht het niet anders kunnen, dan zou dat acceptabel kunnen zijn. Helaas weet ik niet of in dat geval de verbinding de andere kant ook op werkt: als server2 als client op server1 inlogt kan die alle clients van server1 zien, maar kan server1 dan ook de clients van server2 zien? Zo niet, dan kan server1 ook terugverbinden met server2, maar zou het toevoegen van een nieuwe server wel erg veel configuratie worden.

Kortom: weten jullie een slimme manier om de VPN-netwerken van deze servers samen te voegen en toch aan de wensen te voldoen?

Alvast bedankt!

[djluc]

Is een hardwarematige VPN oplossing niet veel simpeler? Waarom moeten de servers ook de VPN regelen?

[Netman768]

djluc schreef op maandag 05 maart 2007 @ 13:35:
Is een hardwarematige VPN oplossing niet veel simpeler? Waarom moeten de servers ook de VPN regelen?

Ik heb helaas geen controle over de netwerkhardware, dus een hardwarematige oplossing zit er niet in. Het systeem gaat draaien op gewone servertjes van meerdere personen, waarbij er dus niet even servertjes "over" zijn. Bovendien zijn de servers onbetrouwbaar, dus moet het allemaal erg robuust zijn, en het liefst ook geloadbalanced.

[djluc]

Staan die servers dan wel op 1 locatie? Of is dat ook niet het geval?

[Netman768]

djluc schreef op maandag 05 maart 2007 @ 15:19:
Staan die servers dan wel op 1 locatie? Of is dat ook niet het geval?

Ze zijn verbonden met hetzelfde fysieke netwerk, dat niet als trusted beschouwd moet worden.

Overigens moet ik erbij zeggen dat dit voornamelijk een gedachten-expiriment is. Rand-suggesties die "bijna" aan de voorwaarden voldoen zijn ook interessant, en "het kan niet" is ook een geldig antwoord.

[ Voor 27% gewijzigd door Netman768 op 05-03-2007 16:04 ]

[djluc]

In dat geval kan je er aan denken om de VPN server te virtualiseren en deze bij een crash automatisch naar een volgende server te laten schuiven.

Je kunt ook gewoon alle 3 tegelijkertijd gebruiken. Zolang je maar de juiste routing gebruikt kan je gewoon alle clients e.d. zien.