DHCP over Tunnel/VPN

[AlexanderB]

voor uitbreiding van ons netwerk hebben we een systeem nodig dat zich gedraagt als een virtuele fisieke kabel. dat wil zeggen, op locatie A staan onze servers, en er worden op meerdere locaties (B, C, D, etc..) 'domme' DHCP apparaten geplaatst, die met een van de servers op locatie A moeten communiceren. een leased line is natuurlijk veel te duur (zeker aangezien we in de toekomst zeker tientallen, zoniet honderden verbindingen nodig gaan hebben)

de enige oplossing om DHCP over een tunnel te krijgen, is, (na stevig inlezen) L2TP/IPsec.

de huidige situatie:

apparaat (dhcp client) ----------- switch --------- server (dhcp)

en de situatie waar we naartoe moeten is

apparaat (dhcp client) --- [tunnel kastje] ----- {internet} ----- [tunnel server] ---- switch ---- server (dhcp)

ik heb een stapetje apparatuur om een testopstelling te bouwen, als het werkend te krijgen is zal het uitgerold worden over een aantal locaties.
ik heb op dit moment een DrayTek Vigor 2130 voor de apparaatzijde, en er komt een x86 based, waarschlijnlijk linux / router distro based apparaat als 'tunnel server'.

waar ik echter niet achter kan komen, is welke distributie of pakket, zo is in te stellen dat het L2TP/IPsec verbindingen accepteert, zodanig dat DHCP aan de clientzijde werkt alsof er een fisieke verbinding is met de dhcp/overig server op locatie A. via google kom ik een hoop succesverhalen tegen, maar allemaal mensen die niet posten hoe ze het nou gedaan hebben..

[ik222]

Als je een kant en klaar oplossing zoekt wat je op een server kan installeren dan moet je kijken naar dingen als pfsense en clearos. Echter in een professionele omgeving zou ik overwegen dedicated hardware te gebruiken, bijvoorbeeld cisco heeft prima oplossingen hiervoor. Want als ik het goed begrijp ben je gewoon op zoek naar een site to site VPN.

Maar sowieso moet je per locatie een ander subnet gebruiken, anders wordt de routering namelijk onmogelijk.

[ Voor 9% gewijzigd door ik222 op 18-01-2011 15:02 ]

[AlexanderB]

hoezo onmogenlijk, een router snapt het toch ook gewoon als er een lankabel van 200m tussen zit? waarom dan niet een tunnel van ?? meter, die zich gedraagt als een kabel.. (iig, dat is de bedoeling uiteindelijk) ik wil graag aan beide kanten hetzelfde subnet, in fact, de dhcp server aan 1 kant die verbinding maakt met de client aan de andere kant alsof ze in dezelfde fisieke switch zitten aangesloten.

[ik222]

Je wilt een tunnel maken over het internet. Dus simpel gezegd moet je router wel weten welk verkeer over de tunnel moet en welk verkeer lokaal moet blijven. En daarom is het nodig per locatie een ander subnet te gebruiken.

Aan beide kanten hetzelfde subnet kan dus niet.

[ Voor 12% gewijzigd door ik222 op 18-01-2011 15:26 ]

[TrailBlazer]

waarom wil je zo graag op beide sites hetzelfde subnet. Zeker als je het over honderden sites hebt is dat vragen om problemen. Je krijgt een enorm traag broadcast domein over alle sites. Bovendien als er een iemand een fuckup maakt op een site zijn veel eerder al je andere sites geimpact. L3 scheiding per site is echt veel makkelijker.

[AlexanderB]

waarom ik.. lees: mijn collega dat wil: omdat we n hele stapel domme apparaten hebben die met een centrale server moeten communiceren, en blijkbaar is t vereist dat ze op hetzelfde subnet zitten.

ik ga het slechte nieuws hier maar melden denk ik..
eens kijken of het te maken is door de dhcp per locatie te laten draaien, vpn te draaien en het layer 3 dataverkeer gewoon richting de juiste server ("standaard gateway"?) te sturen.. informeren bij de fabrikant van de server/software hoe die software daar mee omgaat..

[ Voor 23% gewijzigd door AlexanderB op 18-01-2011 15:31 ]

[Glewellyn]

Misschien heel simpel gedacht, maar waarom überhaupt DHCP? Is een static IP geen optie?

[ik222]

Dat je per locatie een ander subnet gebruikt betekent niet dat je dan adressen uit het LAN subnet van de hooflocatie niet kan bereiken. Daar heb je nu juist routers voor

[Fish]

Het kan -> http://www.openvpn.net/in...76-ethernet-bridging.html

Ok geen ipsec maar ssl, maar dat mag de pret niet drukken imho.
Het probleem is vaak de lagere bandbreedte op je wan wat idd wel eens vol kan lopen met broadcasts
Als je nou een 1 gig lan hebt net als op werk oid , maar dat heb je niet denk ik ?

[Glewellyn]

ik222 schreef op dinsdag 18 januari 2011 @ 15:34:
Dat je per locatie een ander subnet gebruikt betekent niet dat je dan adressen uit het LAN subnet van de hooflocatie niet kan bereiken. Daar heb je nu juist routers voor

Maar misschien maken die machines gebruik van multicast? (Ik doe ook maar een gok hoor!)

[ItsValium]

Ik kan me niet voorstellen dat het niet mogelijk zou zijn om het netwerk zodanig op te zetten dat elke site een eigen subnet kan krijgen. Als je aan de serverkant een degelijke machine met PfSense plaatst dan krijg je zowiezo default routes toegewezen in het systeem voor elk subnet. Als je dan het firewall gedeelte zo configureert dat er niet gefilterd wordt tussen die subnetten dan is het voor de server even makkelijk om zijn eigen subnet, danwel een remote subnet te bereiken zonder enige vorm van aanpassing van software op de server zelf. Hetzelfde is ook van toepassing op de andere kant van de verbinding, die drayteks maken ook default routes aan voor hun tunnels waarna je simpelweg het subnet van de server kan bereiken zonder aanpassing aan de software ... Zelfs multicast werkt hierover.

Ik gebruik dit soort opstelling veelvuldig in mijn bedrijf en werkt vlotjes.

[Fish]

Rijst de vraag dus, Waarom wil je maar 1 subnet ?

Sta je nu niet te kloten om ander gekloot te fixen ?

[AlexanderB]

fish schreef op dinsdag 18 januari 2011 @ 15:44:
Sta je nu niet te kloten om ander gekloot te fixen ?

ik denk het.. ik ga eens de documentatie doorspitten en t eisenlijstje wat korter maken, hoe langer ik hier mee bezig ben, hoe belachelijker het klinkt..

bedankt voor de hulp zover..

[ik222]

fish schreef op dinsdag 18 januari 2011 @ 15:34:
Het kan -> http://www.openvpn.net/in...76-ethernet-bridging.html

Ok geen ipsec maar ssl, maar dat mag de pret niet drukken imho.
Het probleem is vaak de lagere bandbreedte op je wan wat idd wel eens vol kan lopen met broadcasts
Als je nou een 1 gig lan hebt net als op werk oid , maar dat heb je niet denk ik ?

Dat moet je echt niet willen imo. Ik zou nu echt gewoon een degelijke netwerk setup bouwen waarin je sites netjes in een ander subnet hebt zitten.

[Tha_Butcha]

AlexanderB schreef op dinsdag 18 januari 2011 @ 15:17:
hoezo onmogenlijk, een router snapt het toch ook gewoon als er een lankabel van 200m tussen zit? waarom dan niet een tunnel van ?? meter, die zich gedraagt als een kabel.. (iig, dat is de bedoeling uiteindelijk)

Omdat een tunnel geen kabel is. Hoe wil je van locatie A een tunnel op zetten, als je op locatie B geen plek hebt om naar te tunnelen.

Plemp gewoon op locatie A en B een server neer, pfsense kan prima, en dan draai je op locatie B gewoon een DHCP server die de DHCP server van locatie A relayed. Zelfs als het zou kunnen wat jij wilt, dan wil je nog mogelijkheden hebben tot het beveiligen van locatie B, als je daar zoveel domme apparaten hebt.

[Remco]

Tha_Butcha schreef op dinsdag 18 januari 2011 @ 15:52:
[...]
Plemp gewoon op locatie A en B een server neer, pfsense kan prima, en dan draai je op locatie B gewoon een DHCP server die de DHCP server van locatie A relayed. Zelfs als het zou kunnen wat jij wilt, dan wil je nog mogelijkheden hebben tot het beveiligen van locatie B, als je daar zoveel domme apparaten hebt.

Aangezien de TS niet al te veel netwerk kennis heet is het denk ik helemaal vragen om problemen om daar een Linux server neer te zetten.
En kosten technisch is het denk ik veel interessanter om gewoon een site-to-site vpn oplossing te bouwen met routers.

@TS: dat systeem wat jullie gaan implementeren is dat een thin-client/Citrix oplossing ?

[ Voor 6% gewijzigd door Remco op 18-01-2011 16:08 ]

[ItsValium]

Remco schreef op dinsdag 18 januari 2011 @ 16:07:
[...]

Aangezien de TS niet al te veel netwerk kennis heet is het denk ik helemaal vragen om problemen om daar een Linux server neer te zetten.
En kosten technisch is het denk ik veel interessanter om gewoon een site-to-site vpn oplossing te bouwen met routers.

@TS: dat systeem wat jullie gaan implementeren is dat een thin-client/Citrix oplossing ?

Als de TS aan de server kant een draytek neerzet met tientallen tunnels naar de remote sites, dan vrees ik echt voor de performance, aan die kant van de verbinding moet toch echt iets staan die genoeg power aan boord heeft om tientallen tunnels gelijktijdig up te houden, met nog een goeie bandbreedte naar alle remote sites erbovenop.

[Fish]

ik222 schreef op dinsdag 18 januari 2011 @ 15:49:
[...]

Dat moet je echt niet willen imo. Ik zou nu echt gewoon een degelijke netwerk setup bouwen waarin je sites netjes in een ander subnet hebt zitten.

Ik ben het met je eens dat het over het algemeen een afrader is (zonder enige andere kennis van zijn opzet)
Maar het kan dus wel itt wat je hierboven beweerd

[AlexanderB]

tipje van de sluier, het gaat om hotspots die via een centrale server de billing en services krijgt, die server deelt dhcp uit en aan de hand daarvan identificeert ie zn klanten. op zich leuk als je een groot, transparant netwerk kan uitrollen, maar niet als men ineens besluit losstaande hotspots via adsl lijntjes naar de centrale te willen verbinden, dan gaat het gewoon stuk.

net ff n heftige discussie gehad, we hebben nu eigenlijk nog 2 opties:
- leased lijnen + straalverbindingen om alles aan elkaar te knopen (daarbij, het hoeft niet tot in timboektoe beschikbaar te zijn via internet, slechts enkele (tientallen at most) km. straalverbindingen kwamen dr toch al.
- die centrale vaarwel zeggen en een betere oplossing zoeken. (blijkft zeer zeker een optie, zeker als we verder gaan uitrollen en dus (veel) meer capaciteit nodig gaan hebben.)

[Tha_Butcha]

Dus je gaat er geld mee verdienen? Niet lullig naar jou bedoeld, maar dan kunnen ze toch wel een fatsoenlijke netwerk gast er op zetten. Die hotspots wil je sowieso los koppelen in dit geval (al dan niet met een DMZ).

Voor de rest ben ik met itsvalium: die draytek is leuk voor thuis, maar om daar nou tientallen clients aan te hangen?

[ItsValium]

AlexanderB,

Ik kan je alvast vertellen dat ik hier veel ervaring mee heb. Op tientallen locaties draaien "hotspots" waarover ik het beheer heb. Dit zijn campings, hotels, bedrijfspanden en conferentiecentra. Als je hier echt verder mee wil gaan raad ik je toch echt aan om te gaan investeren in het opzetten van een degelijke infrastructuur. Als je dit niet doet kan dit je later zuur gaan opbreken, als in UREN/DAGEN/WEKEN tijd verliezen in het troubleshooten en zoeken van oplossingen voor onder andere netwerkproblemen en verbindingsproblemen. Om dan nog maar te zwijgen over klachten van de gebruikers, eventuele restituties enz.

Om even een kort tipje van de sluier op te lichten: Centrale server met beheersinterface - Server met PfSense - internet - draytek - hotspotAP's. (Ik ga niet verder in detail treden, maar hou rekening met redundantie en zoverder)

Zo doe ik het hier en heb tot nu toe geen enkele probleem ondervonden (2.5 jaar up and running). De beide servers draaien in het datacenter, de internetlijnen zijn voorzien van voldoende bandbreedte voor de beoogde gebruikersaantallen op de remote sites. En de gebruikers moeten via een goed opgezette structuur inloggen op een portal site vooraleer ze kunnen surfen. Ik heb net even ingelogd op de server en er zijn op dit moment iets meer dan 3400 gebruikers verspreid over 107 locaties aan het surfen via dit systeem. Om maar even te duiden dat je het beheer over dergelijke omgevingen echt wel goed moet plannen en implementeren.

[ Voor 6% gewijzigd door ItsValium op 18-01-2011 19:06 ]

[josvane]

Wat door ItsValium gezegd wordt,hang de servers in een datacenter. Deze hebben dan altijd voldoende uplink. Als je dan tussen de vestigingen en het datacenter een IP-VPN realiseert, kan performance nooit een issue zijn.

Zoek trouwens ook eens op cisco een een DHCP-Helper.

[Fish]

en ga eens op zoek naar wat je allemaal kan doen met een radius server

[AlexanderB]

zo, daar was ik weer, ik heb een oplossing gevonden: bridge-vpn met openvpn, (aka TAP tunnel)

echter, ik krijg het nog niet fatsoenlijk geinstalleerd. configuratie volgens de voorbeelden gedaan, maar still nothing, en ik kreeg t zonet ook nog niet voor elkaar* om een account aan te maken op het openvpn.net forum.. mja, heb ik nu iig een richting om verder te zoeken..

* de captcha pagina laad niet goed

[Fish]

Zo, die heb je snel gevonden.

wat krijg je precies niet voor elkaar ?

[AlexanderB]

2 xp machines, 1 als server, 1 als client.

TAP adapter heet TAP (beide kanten)
TAP adapter bridgen aan de LAN adapter,

server config:

code:

local <wan adapter ip>
proto udp
dev tap
dev-node TAP
ca ca.crt
cert server.crt
key server.key
dh dh1024.pem
server-bridge <lan ip> 192.168.2.50 192.168.2.100
keepalive 10 120
cipher BF-CBC
comp-lzo
status openvpn-status.log
verb 3

client:

code:

client
dev tap
dev-node TAP
proto udp
remote <wan ip server> 1194
resolv-retry infinite
nobind
ca ca.crt
cert client.crt
key client.key
ns-cert-type server
cipher BF-CBC
comp-lzo
verb 3

en ik krijg aan beide kanten "network cable disconnected" en n hoop zooi in mn logs:

-NOTE: could not get adapter index for {device nummer}
en heel vaak in mn server log:
-client1/<lan ip client>:1702 Authenticate/Decrypt packet error: bad packet ID (could be a replay packet)

(dat laatste is pas sinds net, zal daar ook ff naar googlen..)

[Flyduck]

AlexanderB schreef op dinsdag 18 januari 2011 @ 16:57:
tipje van de sluier, het gaat om hotspots die via een centrale server de billing en services krijgt, die server deelt dhcp uit en aan de hand daarvan identificeert ie zn klanten.

Begrijp ik nou goed dat die server maar 1 scope kan draaien?
Denk dat je het met die bridging setup echt veel te ingewikkeld gaat maken,..

[Remco]

Flyduck schreef op woensdag 02 februari 2011 @ 19:58:
[...]
Denk dat je het met die bridging setup echt veel te ingewikkeld gaat maken,..

Ja, dat zeggen we allemaal, maar de TS wil het volgens mij nog steeds niet begrijpen.

[Verwijderd]

Mogelijk dat Cisco pseudo wire ook een oplossing zou zijn, deze maakt een L2 lan verbinding over een L3 netwerk.

[BHQ]

Hmm, OpenVPN met l2 tunneling is wel de oplossing hiervoor (alhoewel, brakke kop, dus pin me d'r niet op vast ). Draai je het op Windows machines? Volgens mij moet je dan nog de adapter defineren in je config (de adapternaam die je in het configuratiescherm ziet).

En niet de bridge vergeten met de netwerkkaart die aan het LAN hangt

[ Voor 8% gewijzigd door BHQ op 04-02-2011 11:07 ]

[AlexanderB]

ah, probleem gevonden, als je je device een naam geeft, noem het dan niet TAP, maar iets anders..
* AlexanderB slaat zichzelf voor zn kop, zo simpel..

de setup werkt in VM, ik ga morgen ff n testje uitrollen..

[VisionMaster]

brrr, deze oplossing kan je dus niet integreren met een ander netwerk zonder problemen. Zijn de clients allemaal exclusief op het kastje geinstalleerd dat de tunnel maakt?

[Thijs B]

Kan je niet beter een andere hotspot oplossing kiezen ?

Ben zelf ook iets dergelijks aan het opzetten met (ja funy name) http://www.ruckuswireless.com/ wireless spul.

Kan je corperate wifi sidd aanbieden op meerdere locaties + gasten wifi/hotspot waarbij je het hotspot/gasten wifi van alle locaties inclusief dhcp kan tunnelen naar een centrale wifi controller in een data centre en daar via een appart vlan aan je internet router knopen.