Alternativa al proxy amb VPN - Historial de revisió

Solleric a 11:31, 12 set 2014

2014-09-12T11:31:29Z

Solleric: /* Assumpcions */

2014-09-12T10:07:05Z

‎Assumpcions

Solleric: /* La xarxa als routers clients */

2014-09-12T08:03:55Z

‎La xarxa als routers clients

Solleric: /* La xarxa als routers clients */

2014-09-12T08:02:42Z

‎La xarxa als routers clients

Solleric: /* La Idea */

2014-09-12T08:02:32Z

‎La Idea

Solleric: /* La xarxa al servidor */

2014-09-12T08:02:20Z

‎La xarxa al servidor

Solleric: /* Enllaços externs */

2014-09-11T10:18:44Z

‎Enllaços externs

Solleric: /* DHCP */

2014-09-11T10:16:11Z

‎DHCP

Solleric: /* Resolució de problemes habituals */

2014-09-11T10:15:07Z

‎Resolució de problemes habituals

Solleric: /* Instal·lació de programari al TP-LINK WR841N */

2014-09-11T10:10:35Z

‎Instal·lació de programari al TP-LINK WR841N

@@ Línia 7: / Línia 7: @@
 La idea consisteix en fer servir un servidor VPN a un dels nodes, connectat tant a l’ADSL com a guifi.net, i que encamini el trànsit dels clients cap a fora. A l’altre extrem de la xarxa de guifi.net, els clients VPN poden ésser tant dispositius finals (portàtils) com APs domèstics. En el cas dels APs domèstics, aquests emeten dos SSIDs:
-· Un d’obert i que només permet accedir a les rutes de guifi.net i impedeix que el trànsit vagi per la VPN.
+* Un d’obert i que només permet accedir a les rutes de guifi.net i impedeix que el trànsit vagi per la VPN.
+* Un de privat, que encamina tot el trànsit que no va a cap IP pública de guifi.net a través del túnel VPN.
-· Un de privat, que encamina tot el trànsit que no va a cap IP pública de guifi.net a través del túnel VPN.
 [[Fitxer:Nodesvpn.jpeg|center|thumb|upright=2.5|Esquema de la infraestructura d'un servidor VPN amb múltiples clients dins guifi.net ]]
@@ Línia 16: / Línia 15: @@
 Abans de començar, aquesta documentació suposa que la xarxa del node '''client''' té les següents característiques:
-. Hi ha una antena que es connecta a la xarxa guifi, i que funciona sense bridge entre eth0 i wlan0: És a dir, fa de router entre la xarxa privada interna (192.168.1.0/24) i la xarxa pública de guifi.net sense fils que fa el radioenllaç amb el supernode (10.0.0.0/8).
+# Hi ha una antena que es connecta a la xarxa guifi, i que funciona sense bridge entre eth0 i wlan0: És a dir, fa de router entre la xarxa privada interna (192.168.1.0/24) i la xarxa pública de guifi.net sense fils que fa el radioenllaç amb el supernode (10.0.0.0/8).
+# L'antena fa NAT o MASQUERADING amb el transit que surt per la interfície wlan0 (generalment, el radioenllaç amb el supernode).
-. L'antena fa NAT o MASQUERADING amb el transit que surt per la interfície wlan0 (generalment, el radioenllaç amb el supernode).
+# El servidor DHCP de l'antena està DESACTIVAT.
+# Es disposa d'un router, del que se n'explicarà la configuració als apartats següents, que està connectat a la xarxa privada interna (192.168.1.0/24). Aquest router funciona de punt d'accés WiFi, de servidor DHCP i d'encaminador.
-. El servidor DHCP de l'antena està DESACTIVAT.
-−
-. Es disposa d'un router, del que se n'explicarà la configuració als apartats següents, que està connectat a la xarxa privada interna (192.168.1.0/24). Aquest router funciona de punt d'accés WiFi, de servidor DHCP i d'encaminador.
 === La xarxa als routers clients ===
@@ Línia 28: / Línia 24: @@
 Els routers clients tendran en compte tres xarxes:
-· La xarxa oberta, rang 192.168.0.0/24, amb WiFi oberta sense accés a Internet, però amb accés a guifi.net. La IP del router en aquesta xarxa serà la 192.168.0.1/24.
+* La xarxa oberta, rang 192.168.0.0/24, amb WiFi oberta sense accés a Internet, però amb accés a guifi.net. La IP del router en aquesta xarxa serà la 192.168.0.1/24.
+* La xarxa privada, rang 192.168.1.0/24, amb WiFi tancada amb accés a Internet i a guifi.net. Aquesta xarxa inclourà també l'antena amb IP 192.168.1.1/24.
-· La xarxa privada, rang 192.168.1.0/24, amb WiFi tancada amb accés a Internet i a guifi.net. Aquesta xarxa inclourà també l'antena amb IP 192.168.1.1/24.
+* La xarxa pública de guifi.net, de rang 10.0.0.0/8.
+* La xarxa d'VPN.
-· La xarxa pública de guifi.net, de rang 10.0.0.0/8.
-−
-· La xarxa d'VPN.
 La infraestructura dels nodes híbrids sol ser bastant senzilla i bastant pareguda entre tots ells, especialment si la configuració de l'antena està feta amb el ''One Click''. A l'apartat anterior queden reflectits les suposicions que prenem abans de començar amb la instal·lació.
@@ Línia 48: / Línia 41: @@
 El servidor tendrà en compte 3 xarxes:
-· La xarxa interna de casa: La nostra xarxa de casa on s'hi troba el servidor i el router/modem ADSL. Suposem que és la xarxa 192.168.1.0/24.
+* La xarxa interna de casa: La nostra xarxa de casa on s'hi troba el servidor i el router/modem ADSL. Suposem que és la xarxa 192.168.1.0/24.
+* La xarxa pública de guifi.net: La xarxa de guifi.net.
-· La xarxa pública de guifi.net: La xarxa de guifi.net.
+* Internet.
-−
-· Internet.
 La xarxa del servidor VPN haurà de ser exactament la mateixa que la d'un servidor proxy: Tendrà dos NICs: Un connectat a la LAN de casa amb accés a Internet i un altre NIC connectat a la xarxa pública de guifi.net amb una IP pública del rang 10.0.0.0/8. Aquest servidor enrutarà tot el trànsit que vagi a la 10.0.0.0/8 i a la 172.16.0.0/16 per la interfície de guifi.net, mentre que tot el trànsit per defecte anirà per la interfície amb accés a Internet.
@@ Línia 126: / Línia 117: @@
 Una vegada el paquet openvpn i openssl estiguin instal·lats, feim el següent per deixar-lo apunt per començar a distribuir certificats als clients:
-. Copiam la configuració per defecte de l'easy-rsa
+* Copiam la configuració per defecte de l'easy-rsa
 <code>cp -r /usr/share/doc/openvpn/examples/easy-rsa/2.0 /etc/openvpn/easy-rsa
 </code>
-. Modificam el fitxer
+* Modificam el fitxer
 <code> vim /etc/openvpn/easy-rsa/vars </code>
@@ Línia 143: / Línia 134: @@
 <code>export EASY_RSA=”/etc/openvpn/easy-rsa”</code>
-. Carregam les variables de l'easy-rsa
+* Carregam les variables de l'easy-rsa
 <code>source /etc/openvpn/easy-rsa/vars</code>
-. Netejam la base de dades de claus i certificats.
+* Netejam la base de dades de claus i certificats.
 <code> /etc/openvpn/easy-rsa/clean-all </code>
@@ Línia 153: / Línia 144: @@
 '''COMPTE! No executeu això una vegada hàgiu distribuït els certificats o els revocareu tots i haureu de tornar-los a distribuir!'''
-. Cream els certificats de la CA i del servidor
+* Cream els certificats de la CA i del servidor
 <code>
@@ Línia 195: / Línia 186: @@
 Per configurar el router de fàbrica cal:
-. Connectar-se al servidor web que ens ofereix el router de fàbrica.
+# Connectar-se al servidor web que ens ofereix el router de fàbrica.
+# Carregar la imatge del firmware adjunta. [https://jfdeu.files.wordpress.com/2014/07/openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory-bin-zip.odt] Recordau que una vegada descarregat cal canviar el nom del fitxer a openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory.bin.zip per poder descomprimir bé la imatge.
-. Carregar la imatge del firmware adjunta. [https://jfdeu.files.wordpress.com/2014/07/openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory-bin-zip.odt] Recordau que una vegada descarregat cal canviar el nom del fitxer a openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory.bin.zip per poder descomprimir bé la imatge.
+# Una vegada la imatge estigui carregada connectau-vos al router mitjançant telnet a la IP 192.168.1.2 i se vos obrirà un senzill programa de configuració.
+# Canviau la contrasenya de root i reiniciau el router.
-. Una vegada la imatge estigui carregada connectau-vos al router mitjançant telnet a la IP 192.168.1.2 i se vos obrirà un senzill programa de configuració.
+# Sol·licitau un certificat del servidor VPN contactant amb l'administrador i copiau els fitxers amb l'extensió <nom_cert_client>.crt i <nom_cert_client>.key al directori /etc/openvpn. En aquest directori també hi haureu de copiar el certificat de la CA (ca.crt). És probable que hàgiu de canviar el nom també dels certificats del client, és a dir, que els fitxers de la clau del client s'han d'anomenar client1.crt i client1.key.
+# És important tenir un servidor NTP dins la xarxa guifi.net per no tenir problemes amb els certificats. Posau el nom o la IP del servidor NTP a /etc/config/system.
-. Canviau la contrasenya de root i reiniciau el router.
-−
-<code>
-   passwd
-   reboot
-</code>
-−
-. Sol·licitau un certificat del servidor VPN contactant amb l'administrador i copiau els fitxers amb l'extensió <nom_cert_client>.crt i <nom_cert_client>.key al directori /etc/openvpn. En aquest directori també hi haureu de copiar el certificat de la CA (ca.crt). És probable que hàgiu de canviar el nom també dels certificats del client, és a dir, que els fitxers de la clau del client s'han d'anomenar client1.crt i client1.key.
-−
-. És important tenir un servidor NTP dins la xarxa guifi.net per no tenir problemes amb els certificats. Posau el nom o la IP del servidor NTP a /etc/config/system.
 == Administració ==

@@ Línia 14: / Línia 14: @@
 === Assumpcions ===
-Abans de començar, aquesta documentació suposa que la xarxa de '''clients''' té les següents característiques:
+Abans de començar, aquesta documentació suposa que la xarxa del node '''client''' té les següents característiques:
 . Hi ha una antena que es connecta a la xarxa guifi, i que funciona sense bridge entre eth0 i wlan0: És a dir, fa de router entre la xarxa privada interna (192.168.1.0/24) i la xarxa pública de guifi.net sense fils que fa el radioenllaç amb el supernode (10.0.0.0/8).

@@ Línia 28: / Línia 28: @@
 Els routers clients tendran en compte tres xarxes:
-· La xarxa oberta, amb WiFi oberta sense accés a Internet, però amb accés a guifi.net. IPs 192.168.0.1/24.
+· La xarxa oberta, rang 192.168.0.0/24, amb WiFi oberta sense accés a Internet, però amb accés a guifi.net. La IP del router en aquesta xarxa serà la 192.168.0.1/24.
-· La xarxa privada, amb WiFi tancada amb accés a Internet i a guifi.net. Aquesta xarxa inclourà també l'antena. IPs 192.168.1.1/24.
+· La xarxa privada, rang 192.168.1.0/24, amb WiFi tancada amb accés a Internet i a guifi.net. Aquesta xarxa inclourà també l'antena amb IP 192.168.1.1/24.
-· La xarxa pública de guifi.net.
+· La xarxa pública de guifi.net, de rang 10.0.0.0/8.
 · La xarxa d'VPN.

@@ Línia 29: / Línia 29: @@
 · La xarxa oberta, amb WiFi oberta sense accés a Internet, però amb accés a guifi.net. IPs 192.168.0.1/24.
 · La xarxa privada, amb WiFi tancada amb accés a Internet i a guifi.net. Aquesta xarxa inclourà també l'antena. IPs 192.168.1.1/24.
 · La xarxa pública de guifi.net.
 · La xarxa d'VPN.

←Versió més antiga		Revisió de 08:02, 12 set 2014
Línia 8:		Línia 8:

	· Un d’obert i que només permet accedir a les rutes de guifi.net i impedeix que el trànsit vagi per la VPN.		· Un d’obert i que només permet accedir a les rutes de guifi.net i impedeix que el trànsit vagi per la VPN.
		+
	· Un de privat, que encamina tot el trànsit que no va a cap IP pública de guifi.net a través del túnel VPN.		· Un de privat, que encamina tot el trànsit que no va a cap IP pública de guifi.net a través del túnel VPN.

@@ Línia 281: / Línia 281: @@
 == Enllaços externs ==
-Imatge del firmware pel TP-LINK WR841 preconfigurada [https://jfdeu.files.wordpress.com/2014/07/openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory-bin-zip.odt]
+Imatge del firmware pel TP-LINK WR841 V9 preconfigurada [https://jfdeu.files.wordpress.com/2014/07/openwrt-ar71xx-generic-tl-wr841n-v9-squashfs-factory-bin-zip.odt]
 Pàgina d'OpenVPN [https://openvpn.net/]

@@ Línia 271: / Línia 271: @@
 === DHCP ===
 És important desactivar el DHCP de l'antena, ja que l'únic que ha de proporcionar el DHCP és el router.
-La default route dels terminals és la 192.168.1.2 (el router). Se suposa que l'antena té la IP 192.168.1.1 o alguna altra.
+La default route dels terminals és la 192.168.1.2 (el router). Se suposa que l'antena té la IP 192.168.1.1
 == Exemples reals en servidors autogestionats ==

@@ Línia 267: / Línia 267: @@
 </code>
-Teniu en compte que al firewall es fa masquerading a la tun0, perquè el servidor pugui respondre, i a la LAN, perquè des de la interfície de guest (wlan0-1) es pugui accedir a fora. La interfície eth1 (WAN) no es fa servir.
+Teniu en compte que al firewall es fa masquerading a la tun0, perquè el servidor pugui respondre. També es fa masquerading a la br-lan perquè des de la interfície de guest (wlan0-1) es pugui accedir a fora. La interfície eth1 (WAN) no es fa servir.
 === DHCP ===

@@ Línia 230: / Línia 230: @@
 Tot i que el router escollit permet la instal·lació de OpenWRT, la seva memòria flash és molt petita (4 MB) i no permet que s'hi instal·lin paquets amb l'opkg.
-Per instal·lar el paquet OpenWRT, s'ha de crear una image nova amb aquest paquet preinstal·lat. Es pot fer compilant el codi des de 0 o amb l'Image Builder, que és més còmode [http://wiki.openwrt.org/doc/howto/obtain.firmware.generate]. Amb l'Image Builder, s'ha de fer servir el PROFILE=TLWR841 i incloure el paquet PACKAGES="openvpn-openssl". La comanda feta servir és:
+Per instal·lar el paquet OpenVPN, s'ha de crear una image nova amb aquest paquet preinstal·lat. Es pot fer compilant el codi des de 0 o amb l'Image Builder, que és més còmode [http://wiki.openwrt.org/doc/howto/obtain.firmware.generate]. Amb l'Image Builder, s'ha de fer servir el PROFILE=TLWR841 i incloure el paquet PACKAGES="openvpn-openssl". La comanda feta servir és:
 <code>
 make image PROFILE=TLWR841 PACKAGES="openvpn-openssl" FILES=files/