linux VPN met tinc

[xantos]

Ik probeer een VPN op te zetten tussen twee linux servers doormiddel van tinc (http://tinc.nl.linux.org/).

Zijn er mensen die dit al gebruiken? Misschien kun je eens je config-bestanden posten dan kan ik die eens vergelijken.

Met behulp van de manual kom ik er niet uit.

[xantos]

of zijn er soms andere mogelijkheden om een vpn te maken die eenvoudiger zijn?

[it0]

In de kernel zit toch ethertap?

dat heb ik heb wel eens met veelpijn en moeite aan de gang gekregen..

[pistole]

Waarom tinc? Met GRE tunneling heb je e.e.a.zeer snel en eenvoudig voor elkaar (tenzij er in tinc iets extra's zit)

[igmar]

Waarom tinc? Met GRE tunneling heb je e.e.a.zeer snel en eenvoudig voor elkaar (tenzij er in tinc iets extra's zit)

Een VPN is wat anders als een tunnel. Een VPN is gecrypt, een tunnel niet.

[Onno]

Op maandag 16 juli 2001 10:19 schreef igmar het volgende:
Een VPN is wat anders als een tunnel. Een VPN is gecrypt, een tunnel niet.

Da's wat kort door de bocht. Een VPN is immers ook een tunnel.

[pistole]

Op maandag 16 juli 2001 10:29 schreef Onno het volgende:

[..]

Da's wat kort door de bocht. Een VPN is immers ook een tunnel.

Maar over encryptie heeftie wel gelijk ja. Zijn daar geen andere opties voor dan? IPSec ofzo

[charlie]

Ik ben momenteel met cipe aan het experimenteren, maar heb het voorlopig nog niet werkend. (probleem is dat sommige providers veel te graag poorten blokkeren)
Ik heb voroeger wel een vpn verbinding draaiende gehad met ssh over een (virtuele) ppp verbinding.
Zie http://www.linuxdoc.org/HOWTO/VPN-HOWTO.html

[xantos]

Ik ben gewoon opzoek naar een manier om een vpn op te zetten.

Kijk maar eens op www.linuxmag.nl in het archief jaargang 2000 uitgave 2. Daar staat een artikel in over tinc.

Het ziet er alleen makelijker uit dan het is.

[charlie]

Ik zal het thuis eens rustig doorlezen en proberen, ik hou deze thread wel bij in mijn favorieten, als ik iets getest heb, laat ik het je wel weten.
BTW, Het is nooit eenvoudig, de configuratie met de ppp tunnel heeft mij ook veel moeite gekost, maar werkte wel prima. Ik ben nu echter mijn linux servers aan het upgraden naar suse 7.2 met kernel 2.4 en iptables, en moet alles opnieuw configureren.

[xantos]

ok, dat is goed. Iemand anders nog die een VPN aan het werken heeft gekregen op linux?

[Verwijderd]

vpnd
http://hkt.linuxberg.com/conhtml/adnload/017-009-010-040_2312.html

kun je als je 2 linuxbakken hebt, (ook via internet) een vpn maken.

[xantos]

Ik zal het eens bekijken.

[igmar]

Da's wat kort door de bocht. Een VPN is immers ook een tunnel.

Een VPN is een koppeling tussen twee netwerken over een gecrypte verbinding. Da's wat anders als een tunnel

[igmar]

ok, dat is goed. Iemand anders nog die een VPN aan het werken heeft gekregen op linux?

www.freeswan.org

[charlie]

vpnd heeft als nadeel dat hij zichzelf de das om kan doen als de verbinding niet al te stabiel is. Alhoewel ik er dikwijls een uptime van enkele weken mee gehaald heb.

Ipsec protocollen worden niet door alle (kabel of adsl) providers ondersteund, zij maken gebruik van een speciaal ip protocol ESP, en dit wordt niet door alle routers ondersteund... (zeker niet als je van NAT gebruik maakt)

[Martin Sturm]

Op woensdag 18 juli 2001 19:40 schreef igmar het volgende:

[..]

Een VPN is een koppeling tussen twee netwerken over een gecrypte verbinding. Da's wat anders als een tunnel

Een VPN is wel een tunnel. Een VPN verstuurt pakketten over geencrypt over het netwerk via poorten die jijzelf kunt bepalen. Hierdoor is het bv. mogelijk om gewoon door routers etc. heen te gaan.

Ik gebruik een VPN om netbios zooi te kunnen benaderen, op een andere bak, terwijl dit door mijn ISP wordt geblockt.

[Onno]

Op woensdag 18 juli 2001 19:40 schreef igmar het volgende:

[..]

Een VPN is een koppeling tussen twee netwerken over een gecrypte verbinding. Da's wat anders als een tunnel

En wat is een tunnel? Precies: een koppeling tussen twee netwerken. Een VPN is dus gewoon een tunnel. (maar een tunnel is niet altijd een VPN: koe <-> dier verhaal, enz blabla)

via poorten die jijzelf kunt bepalen.

Da's implementatie-specifiek. Een IPsec VPN werkt bijvoorbeeld helemaal niet over poorten die jezelf kunt bepalen, werkt nl. uberhaupt niet met poorten. (maar met een compleet ander IP protocol dan UDP en TCP)

Ipsec protocollen worden niet door alle (kabel of adsl) providers ondersteund, zij maken gebruik van een speciaal ip protocol ESP, en dit wordt niet door alle routers ondersteund... (zeker niet als je van NAT gebruik maakt)

Alleen als je van NAT gebruikt maakt zou ik zeggen... of je moet een niet TCP/IP-compliant ISP hebben, en die ben ik nog niet tegengekomen. Routers hebben niets te maken met alles boven de IP laag, of het nou TCP, UDP, ESP, ICMP, of weer iets anders is: dat maakt niet uit.

[igmar]

[quote]
Een VPN is wel een tunnel. Een VPN verstuurt pakketten over geencrypt over het netwerk via poorten die jijzelf kunt bepalen. Hierdoor is het bv. mogelijk om gewoon door routers etc. heen te gaan.
[quote]

Wat een VPN doet is twee netwerken (lees : twee verschillende netmasken) met elkaar koppelen. De data'connectie' zelf is een tunnel, het VPN zelf noem ik geen tunnel. Een tunnel is bij mij iets tussen twee PC's niet tussen twee netwerken.

192.168.0.0/255.255.0.0 <--> 10.1.1.1/255.0.0.0

Bovenstaand verhaal betekend dat de netwerken elkaar kunnen zien, en dat je er alles overheen kan gooien wat je wil. Poorten staan compleet los van dit verhaal.

Een tunnel noem ik protocol X encapsulated in protocol Y. De data van VPN is inderdaad een tunnel, maar het VPN zelf dus niet. De definities varieeren helaas.

Ik gebruik een VPN om netbios zooi te kunnen benaderen, op een andere bak, terwijl dit door mijn ISP wordt geblockt.

Da's idd het grote voordeel ja. Zonder VPN is dat echt een nachtmerrie, ook al ondersteund je ISP het wel.

[igmar]

En wat is een tunnel? Precies: een koppeling tussen twee netwerken. Een VPN is dus gewoon een tunnel. (maar een tunnel is niet altijd een VPN: koe <-> dier verhaal, enz blabla)
[..]

Een tunnel noem ik protocol X in protocol Y tussen twee IP's.

Da's implementatie-specifiek. Een IPsec VPN werkt bijvoorbeeld helemaal niet over poorten die jezelf kunt bepalen, werkt nl. uberhaupt niet met poorten. (maar met een compleet ander IP protocol dan UDP en TCP)

Alleen de keyexchange is een UDP poort. 500 als ik me het goed herinner. Vergeet die dus niet open te zetten

[Onno]

Op maandag 23 juli 2001 18:11 schreef igmar het volgende:
Een tunnel noem ik protocol X in protocol Y tussen twee IP's.

Ja, en... waar wijkt een VPN van die definitie af? (lekker beperkt trouwens, tunnels bestaan voor jou alleen in TCP/IP?)

Wat een VPN doet is twee netwerken (lees : twee verschillende netmasken) met elkaar koppelen. De data'connectie' zelf is een tunnel, het VPN zelf noem ik geen tunnel.

Wat je hier zegt is behoorlijk wazig. Een VPN verbindt twee netten met elkaar, maar een VPN is geen dataconnectie/tunnel, en een dataconnectie/tunnel verbindt dus geen netwerken met elkaar? Wat doet een dataconnectie/tunnel dan *wel* in jouw optiek?

Een tunnel is bij mij iets tussen twee PC's niet tussen twee netwerken.

Er is geen verschil. Een verbinding ligt altijd tussen twee hosts, en nooit tussen twee netwerken. Wat is een verbinding tussen twee netwerken volgens jou? Een verbinding tussen twee hosts, waarover geroute wordt? Geen verschil. Blijft het nog steeds een verbinding tussen twee hosts van.

[charlie]

Op maandag 23 juli 2001 17:27 schreef Onno het volgende:

Alleen als je van NAT gebruikt maakt zou ik zeggen... of je moet een niet TCP/IP-compliant ISP hebben, en die ben ik nog niet tegengekomen. Routers hebben niets te maken met alles boven de IP laag, of het nou TCP, UDP, ESP, ICMP, of weer iets anders is: dat maakt niet uit.

Inderdaad, maar de adsl router die Belgacom installeert voor adsl pro maakt nu eenmaal gebruik van NAT

NAT of Masquerading is schitterend om een internetverbinding te delen, maar laat niet toe om vanop een client een vpn verbinding te maken met ipsec. (Zie http://gathering.tweakers.net/forum/list_messages/186593)

[Martin Sturm]

Op dinsdag 24 juli 2001 08:46 schreef Charlie23 het volgende:

[..]

Inderdaad, maar de adsl router die Belgacom installeert voor adsl pro maakt nu eenmaal gebruik van NAT

NAT of Masquerading is schitterend om een internetverbinding te delen, maar laat niet toe om vanop een client een vpn verbinding te maken met ipsec. (Zie http://gathering.tweakers.net/forum/list_messages/186593)

Probeer jij hier te zeggen dat het niet mogelijk zou zijn om een VPN te maken die door IP MASQ gaat? Als dat zo is, dan moet ik je ongelijk geven.

[JayTaph]

Ik denk dat hij het probleem bedoeld met het AH-protocol, welke de src-IP meeneemt in de checksum van de encryptie. En ja, als dit door een volgend hop veranderd wordt (wat de hele essentie is van masquerading), dan wordt dat pakket gewoon aan het einde gedropt alszijnde incorrecte checksum.

Ik moet erbij zeggen dat ik er nog nooit mee gespeeld heb, maar by normaal ESP verkeer moet dit gewoon goed gaan...

Als ik het mis heb, dan zou ik graag willen weten wat dan het juiste antwoord moet zijn , aangezien ik binnenkort ook een VPN'etje over 3 masq-boxen moet aanleggen..

[charlie]

Wel, secure shell van checkpoint werkt in ieder geval niet via masquerading. Dit kan zijn omdat er inderdaad een checksum van de tcp paketten wordt meegestuurd, maar kan evengoed liggen aan het feit dat iptables problemen heeft met het maskeren van ESP pakketten.
VPN oplossing die van pure tcp of beter nog udp pakketten gebruik maken moeten wel werken om een vpn verbinding te maken met masquerading.
Ik heb al wat geëxperimenteerd met cipe, op de ene machine krijg ik het aan de praat, op de andere niet...