Шифрованный туннель с помощью vtun

Автор: lissyara.

    Продолжая свои изыскания на тему, организации защищённых туннелей между сетями, нашёл ещё одну интересную программу - vtun. Тоже делает туннели, шифрует с помощью OpenSSL... Короче - годится. Надо сразу заметить, что у меня разные машины - на одной 4.11 FreeBSD x86, а на другой 6.0 AMD64 (что значения не имеет - прекрасно ставиться и работает на обоих).
   Исходные данные:
   111.111.111.111 - сервер (центральный офис) - внешний IP
   222.222.222.222 - филиал (клиент) - внешний IP
   192.168.20.254 - внутренний ип сервера
   192.168.30.254 - внутренний IP клиента (филиала)
Я не использую отдельную сеть внутри туннеля, и так пора переходить на динамическую маршрутизацию - в сети уже чёрт рога сломает, и лишняя сеть мне ни к чему, а использую те же IP что висят на внутренних интерфейсах сетей.
   Ставим:


/usr/ports/>make search name='VTUN' Port: bsdbktr_tvtune-0.02 Path: /usr/ports/multimedia/bsdbktr_tvtune Info: A console Brooktree (bktr) TV tuner Maint: webmaster@topfx.com B-deps: R-deps: WWW: http://www.topfx.com Port: vtun-2.6_2 Path: /usr/ports/net/vtun Info: Virtual Tunnels over TCP/IP networks with traffic shaping Maint: ports@FreeBSD.org B-deps: autoconf-2.13.000227_5 lzo-1.08_2,1 m4-1.4.4 perl-5.8.8 R-deps: lzo-1.08_2,1 WWW: http://vtun.sourceforge.net/ /usr/ports/>cd /usr/ports/net/vtun /usr/ports/net/vtun/>make && make install && make clean

После установки топаем править конфиг:


/usr/ports/net/vtun/>cd /usr/local/etc/ /usr/local/etc/>ls | grep vtu vtund.conf vtund.conf.example /usr/local/etc/>

В итоге, на сервере (в офисе) имеем /usr/local/etc/rc.d/vtund.conf:


# Файл конфигурации vtund - центральный офис # Общие настройки options { # Порт который слушаем port 5000; # "Источник" для логов syslog daemon; # Пути к программам ppp /usr/sbin/pppd; # pppd ifconfig /sbin/ifconfig; # конфиг интерфейсов route /sbin/route; # роутинг firewall /sbin/ipfw; # фаерфолл # ip /sbin/ip; # а такого во фре не водится } # Дефолтовые опции для сессии default { compress no; # Компрессия (по дефолту - no) speed 0; # скорость (0 - анлим) } # туннель к филиалу ametist { passwd my_password; # пароль для установки соедиения type tun; # Тип соединения - туннель proto tcp; # Используемый протокол (UDP|TCP) compress lzo:9; # тип компрессии и уровень сжатия. # 9 - максимум. И по ресурсам тоже :) encrypt yes; # Шифруется, или нет соединение keepalive yes; # Восстанавливать, или нет # соедиение в случае обрыва # телодвижения предпринимаемые в случае удачного соединения up { # конфигурим интерфейс ifconfig "%% 192.168.20.254 192.168.30.254 netmask 255.255.255.0"; # ставим MTU (можно было одной командой с предыдущей) ifconfig "%% mtu 1500"; # роутинг - добавляем маршрут на удалённую сеть, предварительно # удалив его же - ибо были глюки по этому поводу - маршрут уже # есть, и новый не добавляется, а старый не пашет route "add 192.168.30.0/24 192.168.30.254"; }; # телодвижения когда гасим туннель down { # Гасим интерфейс ifconfig "%% down"; # Грохаем запись в таблице маршрутизации (обычно, фря её сама # грохает, но лучше явно указать) route "delete 192.168.30.0"; }; }

После чего добавляем строку в /etc/rc.conf, и запускаем сервер:


/usr/local/etc/rc.d/>ls | grep vtun vtunclient.sh vtund.sh /usr/local/etc/rc.d/> /usr/local/etc/rc.d/>echo 'vtund_enable="YES"' >> /etc/rc.conf /usr/local/etc/rc.d/>./vtund.sh start Starting vtund. /usr/local/etc/rc.d/> /usr/local/etc/rc.d/>sockstat | grep vtun root vtund 86001 3 dgram -> /var/run/logpriv root vtund 86001 4 tcp4 *:5000 *:* /usr/local/etc/rc.d/>

Запустился. Надо заметить, что несмотря на рекомендованную конфигурацию с udp я поставил tcp - он даже при установке udp слушает tcp порт :) Баг, или мои кривые руки - не знаю. Поставил tcp - всё нормально. Не забываем добавить вверху файрволла примерно такие правила:


ipfw add allow ip from any to any via tun0 ipfw add allow tcp from 111.111.111.111 to 222.222.222.222 5000 ipfw add allow ip from 192.168.30.254 to 192.168.20.254 via ${LanIn} ipfw add allow ip from 192.168.20.254 to 192.168.30.254 via ${LanIn}

Где ${LanIn} - внутренняя сетевуха.
После чего топаем на машину филиала, там устанавливать. Установка отличий не имеет, главное не забыть обновить порты. Конфиг получился такой /usr/local/etc/rc.d/vtund.conf:


# файл конфигурации vtund - филиал # Общие настройки options { # Порт который слушаем port 5000; # "Источник" для логов syslog daemon; # Пути к программам ppp /usr/sbin/pppd; # pppd ifconfig /sbin/ifconfig; # конфиг интерфейсов route /sbin/route; # роутинг firewall /sbin/ipfw; # фаерфолл # ip /sbin/ip; # а такого во фре не водится } # Дефолтовые опции для сессии default { compress no; # Компрессия (по дефолту - no) speed 0; # скорость (0 - анлим) } # туннель к филиалу ametist { passwd my_password; # пароль для установки соедиения type tun; # Тип соединения - туннель proto tcp; # Используемый протокол (UDP|TCP) compress lzo:9; # тип компрессии и уровень сжатия. # 9 - максимум. И по ресурсам тоже :) encrypt yes; # Шифруется, или нет соединение keepalive yes; # Восстанавливать, или нет # соедиение в случае обрыва # телодвижения предпринимаемые в случае удачного соединения up { # конфигурим интерфейс ifconfig "%% 192.168.30.254 192.168.20.254 netmask 255.255.255.0 up"; # ставим MTU (можно было одной командой с предыдущей) ifconfig "%% mtu 1500"; # роутинг - добавляем маршрут на удалённую сеть, предварительно # удалив его же - ибо были глюки по этому поводу - маршрут уже # есть, и новый не добавляется, а старый не пашет route "add 192.168.20.0/24 192.168.20.254"; }; # телодвижения когда гасим туннель down { # Гасим интерфейс ifconfig "%% down"; # Грохаем запись в таблице маршрутизации (обычно, фря её сама # грохает, но лучше явно указать) route "delete 192.168.20.0"; }; }

После рихтовки конфига, добавляем строки (первая про запуск клиента, а вторая представляет собой имя конфигурации и IP-адрес сервера) в /etc/rc.conf, и запускаем это хозяйство:


/usr/local/etc/rc.d/>echo 'vtunclient_enable="YES"' >> /etc/rc.conf /usr/local/etc/rc.d/>echo 'vtunclient_flags="ametist 111.111.111.111"' \ ? >> /etc/rc.conf /usr/local/etc/rc.d/>./vtunclient.sh start Starting vtunclient. /usr/local/etc/rc.d/> /usr/local/etc/rc.d/>sockstat | grep vtun root vtund 36404 4 tcp4 222.222.222.222:4314 111.111.111.111:5000 root vtund 36404 3 dgram syslogd[117]:3 /usr/local/etc/rc.d/>

Добавляем в фаер правила (тока три, т.к. у меня этот сервер имеет право соединяться с кем угодно по tcp, значит про 5000 порт не надо.)


ipfw add allow ip from any to any via tun0 ipfw add allow ip from 192.168.30.254 to 192.168.20.254 via ${LanIn} ipfw add allow ip from 192.168.20.254 to 192.168.30.254 via ${LanIn}

Где ${LanIn} - внутренняя сетевуха
После чего смотрим, появился ли интерфейс и пробуем пингануть удалённую сетку:


/usr/local/etc/rc.d/>ifconfig tun0: flags=8051<UP,POINTOPOINT,RUNNING,MULTICAST> mtu 1500 inet 192.168.30.254 --> 192.168.20.254 netmask 0xffffff00 Opened by PID 89903 /usr/local/etc/rc.d/> /usr/local/etc/rc.d/>ping 192.168.20.1 PING 192.168.20.1 (192.168.20.1): 56 data bytes 64 bytes from 192.168.20.1: icmp_seq=0 ttl=127 time=134.485 ms 64 bytes from 192.168.20.1: icmp_seq=1 ttl=127 time=134.909 ms 64 bytes from 192.168.20.1: icmp_seq=2 ttl=127 time=135.900 ms 64 bytes from 192.168.20.1: icmp_seq=3 ttl=127 time=138.260 ms 64 bytes from 192.168.20.1: icmp_seq=4 ttl=127 time=133.772 ms ^C --- 192.168.20.1 ping statistics --- 5 packets transmitted, 5 packets received, 0% packet loss round-trip min/avg/max/stddev = 133.772/135.465/138.260/1.558 ms /usr/local/etc/rc.d/>

Всё нормально. Бегает. Если интересует шифруется ли - то tcpdump -i _имя_интерфейса_ -lex вам поможет. Вначале на интерфейсе tun0, а потом на внешнем. На tun будет видно, что это icmp (при пингах), а на внешнем это уже будет Unknown :)

P.S. Косяк - если перезапустить сервер (например перезагрузка понадобилась), то клиенты отваливаются навсегда. Пришлось нарисовать такой скрипт на шелле:


#!/bin/sh # Скрипт перезапуска клиента vtun, на случай падений # где живут программы - переменные ps="/bin/ps" grep="/usr/bin/grep" wc="/usr/bin/wc" # если число "нагрепаных" туннелей меньше одного, # то выполняем условие if [ `${ps} -ax | ${grep} "vtun" | ${wc} -l` -lt 1 ] then # запускаем клиента /usr/local/etc/rc.d/vtunclient.sh start #> /dev/null 2>&1 else # всё пучком, ничё не делаем fi exit

И запихать в планировщик (рутовый). Я поставил раз в минуту. Можно и реже.


  Этот информационный блок появился по той простой причине, что многие считают нормальным, брать чужую информацию не уведомляя автора (что не так страшно), и не оставляя линк на оригинал и автора — что более существенно. Я не против распространения информации — только за. Только условие простое — извольте подписывать автора, и оставлять линк на оригинальную страницу в виде прямой, активной, нескриптовой, незакрытой от индексирования, и не запрещенной для следования роботов ссылки.
  Если соизволите поставить автора в известность — то вообще почёт вам и уважение.

© lissyara 2006-10-24 08:47 MSK