Connexion VPN dans un réseau local

Support Debian
#1

Bonjour :wink:

J’aurais besoin de documentation pour créer un VPN comme ce qui suit.

En fait créer un vpn entre deux serveurs locaux. Mais je ne trouve pas grand chose qui m’aide sur le net… si vous aviez quelques liens utiles cela m’aiderait beaucoup !

Merci :slightly_smiling:

Edit: Sachant que les deux VPN doivent être des VPN serveurs et que je compte utiliser OpenVPN

#2

hello,

une p’tit question, pourquoi un vpn sur un reseaux local? faire du vpn sur le net oui, en local je ne comprend pas :think:

perso, je fait PC ExterieurInternet- VPN - Server 1 - SSH - SERVER2

et ca roule.

#3

Un VPN en local ne sert pas à grand chose. Un connexion ssh suffi ( selon ce que tu veux faire ).

Dit nous déjà dans quel bute tu veux créer un vpn ( multisite permanant, accès distant…)

Une bonne piste : OpenVPN

#4

Lut all,
Je ne serai pas aussi catégorique que vous…
même sur un réseau local un VPN peut servir (contraintes légales, parano :laughing: etc…)
Bon il est vrai que dans la plupart des cas, on considère le LAN comme une zone de confiance mais bon…

Sinon pour la proposition du VPN SSH, ça n’est pas forcément viable: par exemple il n’est pas possible de faire passe de l’UDP (en tout cas pas nativement) dans un tunnelling SSH.

@ Saachaa :
Que veux tu faire exactement (fonctionnellement parlant) que veux tu protéger?
Tes peers VPN seront des Roadwarrior
ou bien du site à site
ou un mélange des deux selon les cas ?

Veux tu faire du Nat entre tes peers ou ont ils besoin d’etre accessible en routé?

A l’oeil et peut importe la configuration, il te faudra de la conf vpn (openVPN ou autre si ton choix n’est pas fixe) de l’iptables (forwarding / NAT / filtrage).
A l’oeil toujours, ton premier serveur (celui en frontal du net) se configure de façon assez classique par rapport à la masse de tuto que tu trouve sur le net.
Sauf qu’il te faut un tunnel vers le NET et un tunnel vers serveur 2?
Du coup pour t’aiguiller sur les docs, quel est ton niveau d’aisance avec GNU/Linux en général et Debian, openssl, openvpn, iptables, le concept de VPN ?

#5

Bonjour :wink:

Merci de vos réponses.

En fait ce sera pour router les connexions entrantes sur un serveur X, et les Nater vers un serveur Y (toujours dans le même réseau local).

J’ai trouvé ceci qui semble correspondre à mes besoins :

openvpn.net/index.php/open-sourc … dging.html

:041

#6

Lut ,
Merci pour le retour.
J’i regardé vite fait la doc que tu as envoyé et cela ne semble pas correspondre à ton besoin (en même temps j’ai lu très vite).

Un interface bridge est l’équivalent une extension artificielle de ton niveau deux ici un pont quoi :wink:, si tu veux faire du NAT pas besoin de “bridger” tes interfaces. Ce qu’il te faut c’est deux “vrai” interface et les règles iptables qui vont bien…

Mais après avec du bridge ça doit fonctionner aussi :slightly_smiling:

#7

Bonjour,

Le but de base c’est de faire ceci :

interface1 ---> interface2
      
               interface2 <---> serveurs virtuels

interface1 <--- interface2

Et de router les infos un peu comme un NAT, en effet il nous faut deux interfaces mais le principe du pont VPN marche bien aussi du coup, on fait un pont entre les deux interfaces :slightly_smiling:

#8

Lut,
Oui oui les deux solutions doivent pouvoir fonctionner, mais par contre au niveau implémentation ça change pas mal.

Je m’explique:
Si tu bridge les IPs qui devront être routées et visible sont celles de tes clients (attribué par le srv VPN frontale).
Tu devras donc faire tes règles iptables (forward etc…) avec ces IPs.
Faire ton routage sur tes peers avec ce network.

Si tu fais du NAT alors plus besoin de routage (tes peers VPN sont caché par l’IP du serveur d’accès).
Mais tu devras tout de même faire tes règles iptables (NAT output etc…)

Voila ++

#9

Bonjour,

Oui de toute façon le NAT est obligatoire ici.

En revanche :

Je ne savais pas… En fait au lieu de router directement les flux vers les serveurs on va les router à travers un VPN vers ces serveurs, moi je le vois ainsi.

Niveau sécurité c’est mieux je pense qu’un simple routage.

Rien n’empêche non plus d’utiliser MASQUERADE avec IPtables qui devrait si je ne m’abuse, masquer mon adresse IP privée ?

#10

Lut,
Alors je me suis peut être mal fait comprendre :laughing:

Attention je ne suis pas expert Openvpn…
Ce que je voulais dire c’est que :
Ton VPn t’attribue des IP dans une plage disons 192.168.234.0/24 par exemple.

Pour moi “bridge” signifie que le paramétrage est fait de tel façon que le réseau 234.X est accroché à une interface de type TAP (manifestement) de ton serveur.
Concrètement tu n’as qu’un seul niveau 2 (si tu vois ce que je veux dire, ARP MAC etc…).

L’IP visible et utilisable depuis tes serveurs “protégés” est l’IP en 234 pas l’IP publique de tes clients ni de tes serveurs.

Quant à l’utilisation du masquerade concretement ce que tu veux faire reviens à :
utiliser un mode niveau 2 de opvpn
filtrer les flux (j’espère :smiley: )
Les translater pour que seul l’IP de ton srv VPN (interne ?) apparaissent c’est ça?

Parce que si c’est ça autant utiliser le mode router directement sauf si tu dois utiliser des applis qui dépendent du broadcast…

Bref en conclusion il nous faudrait plus de détails sur tes besoins (en termes applicatif, implémentation, complexité evolutivité toussa), et aussi sur ton archi (plusieurs ip par serveur ou une seul, administres tu l’environemennement ou tu est sur du dédié en loc…).
Car j’ai l’impression que tu ne t’oriente pas forcément vers la solution la plus pratique.
Bien que les deux soient faisable comme j’ai déjà dit ^^
++