Re: VPN Net-to-Net con ambas IP's públicas dinámicas
El Jueves, 15 de Diciembre de 2005 00:12, Angel Claudio Alvarez escribió:
|| El mié, 14-12-2005 a las 01:21 +0100, Iñaki escribió:
|| > Hola, para mañana o pasado tengo la imperiosa necesidad de configurar
|| > una VPN entre 2 Debian que hacen de router con IP pública dinámica en
|| > ambos casos. Y por supuesto ambos tienen una subred privada
|| > (192.168.1.0/24 y
|| > 192.168.2.0/24) haciendo MASQUERADE en Iptables. Ambos tiene también un
|| > dominio dyndns asignado.
|| >
|| > El caso es que me estoy volviendo loco buscando la mejor solución para
|| > este caso.
|| >
|| > Al principio empecé con Ipsec del kernel 2.6 + racoon, pues tenía una
|| > VPN con IP's fijas disponible. No obstante he desechado la idea porque
|| > no encuentro facilidades para hacerla funcionar con ambas IP's dinámicas
|| > (me estaba haciendo un script pero no lo veo nada claro).
|| >
|| > Luego he investigado Openswan, que me ha parecido más simple aunque
|| > tampoco se comenta por Internet ningún método "nativo" para ambas IP's
|| > dinámicas.
|| >
|| > Ahora estoy mirando OpenVPN y he encontrado en su FAQ que permite
|| > facilmente IP's dinámicas en ambos routers mediante dominios dinámicos y
|| > un temporizador que restablece el túnel si no se detecta actividad en X
|| > segundos.
|| >
|| > Así pues me gustaría tirar de OpenVPN en este caso pero me gustaría que
|| > alguien me aclarase si su configuración es complicada, ya que he visto
|| > cosas al estilo de tener que crear a mano "mknod /dev/net/tun c 10 200"
|| > y peores. El caso es que ponía que si es un paquete RPM no hace falta
|| > porque se hace automáticamente durante la instalación, y me gustaría
|| > saber si también ocurre lo mismo en el paquete Debian.
|| >
|| > En definitiva, agradecería si alguien me facilita el camino indicándome
|| > algún link para debian con kernel 2.6 y OpenVPN en el que se cree una
|| > VPN entre dos redes (el tema de las dos IP's dinámicas asumo que lo
|| > tengo solucionado con un ejemplo que había encontrado).
|| >
|| > Sólo añadir que me urge mucho y que mi intención es dedicarle tiempo
|| > para aprender a manejarlas correctamente, pero ahora el tiempo apremia y
|| > me sería de ayuda un empujón inicial.
|| >
|| > Muchas gracias a todos.
||
|| Iñaki:
|| Hace unos años utilice freeswan para establecer VPNs bajo IPSec
|| ( Linux-Linux y Linux-Cisco) y si bien no tenia soporte para IP Dinamica
|| habia armado un script que te generaba el archivo de configuracion de
|| la/s VPNs en base a la ip que le asignaban los ISPs cuando se conectaban
|| y tambien por medio de iproute2 pingeaba por dentro del tunel cada x
|| segundos y si no tenia respuesta rearmaba los tuneles
|| No creo que openswan ( no trabaje con el) difiera demasiado
|| Es mas actualmente tenemos mas de 40 sucursales conectadas asi ( pero yo
|| no estoy a cargo de ese mantenimiento; aunque si queres por privado te
|| puedo conectar con la persona que lo hace ahora)
||
||
|| espero te sirva
Muchas gracias Angel. Justo ahora acabo de mandar mi problema resuelto con
OpenVPN.
Te comento que estuve tiempo mirando Openswan que se supone es la continuación
de Freeswan, y me desanimó que no permitiese VPN entre dos sedes ambas con IP
dinámica. De hecho incluso empecé a hacer scripts en plan como los que
mencionas, aunque no me gustaba demasiado la idea, lo veía demasiado
"frágil".
Entonces descubrí OpenVPN en el que sólo es necesario disponer en cada nodo de
un dominio dinámico (qué menos, y mira que son gratuitos con DynDns o
no-ip.com). Incluso comprueba cada X segundos si el remoto ha variado la IP y
en caso afirmativo procede con el cambio automáticamente.
Además, me gusta el sistema de OpenVPN de crear un interfaz (tunX ó tapX) para
cada VPN, de tal forma que es muy fácil e intuitivo adaptar el
firewall/Iptables. En cambio en Ipsec se me hace más costoso verlo claro ya
que en el kernel 2.6 no se genera un interfaz para el túnel y lo hace más
engorroso. Yo creo que Ipsec es más adecuado para el modo transporte (para el
que fue diseñado en IP6) que para el modo túnel, aunque lo digo por decir.
Saludos y muchas gracias por el ofrecimiento, de verdad.
--
que a mí ni me va ni me viene... pero por comentar...
Reply to: