Komunikácia medzi viacerými sieťami cez OpenVPN

[Michal Šmucr]

A teraz nahlas rozmýšľam ďalej... Ak môj poskytovateľ internetu ponúka verejnú ipv4 za cca 3€ mesačne a na routri ax1800 by som zapol openvpn, tak mám vlastne vyriešenú časť servera?

Jo, k tomu tak trochu směřovaly moje úvahy, byť tedy s použitím zmíněných Mikrotiků jako místo MR6400.
Na AX 1800 s pevnou veřejnou adresou bude OpenVPN server, kam se připojí klienti, pak se přidají do AX1800 statické routy do sítí za těmi klienty. Jestli to nebude firewall v AX1800 nějak hloupě blokovat bez možnosti přenastavení (ty domácí routery mají většinou ten firewall hodně "dumbed down", aby to bylo jednoduché), tak by to mělo šlapat.

A je vôbec dobrý nápad ten router vystavovať na net?

Osobně bych se toho nebál, pokud budete chtít, můžete si to ještě šoupnout třeba na nestandardní port (místo 1194 např. 20194).

Už len potrebujem klientov?

Druhá časť otázky.
Predstavme si, že v sieti 4g routra by bolo Dell wyse s openvpn klientom. Dokázalo by toto zariadenie robiť prostredníka medzi openvpn serverom a Modbus tcp zariadením?

Běží na těch Dellech Linux, BSD..?
Mohlo by to fungovat, je to trochu variace na to, co už tu padlo.
Dell bude mít normální IP z toho rozsahu za LTE routerem, stejně jako Modbus zařízení.
Na něm bude rozběhnutý OpenVPN klient připojený do VPN sítě, který vytvoří po připojení tun rozhraní a bude na něm povolené forwardování paketů (tzn. bude fungovat jako router). Na LTE routeru pak budou nastavené správné statické routy do těch vzdálených podsítí, kdy ten Dell bude sloužit jako brána.
Tzn. když Modbus zařízení začne komunikovat na jiné, co je ve vzdálené podsíti, tak dorazí pakety na výchozí bránu (LTE router), ten je podle rout. tabulky pošle dál na ten Dell, který to zas dál otočí do tun rozhraní z OpenVPN a pošle na server.. až to dorazí do svého cíle. Cesta zpátky pak podobně.

[Reklama]

[Michal Šmucr]

Jen ještě teď jsem se díval do emulátoru UI od AX 1800, fakt tam toho není moc k nastavení ani ohledně OpenVPN serveru, je tam jen úplný základ a třeba teď naprosto netuším, jestli bude běžet komunikace mezi VPN klienty (konf. volba client-to-client v OpenVPN), což je pro tohle docela důležité.

Nemáte eventuálně v síti za AX 1800 nějaký počítač, kde by mohl běžet OpenVPN server?
Opravdu to může být i RPi nebo podobný SBC, případně pokud už tam máte nějaký server tak třeba virtuál na něm.. jinak to může na pokus běžet i ve virtuálu na vašem desktopu třeba.

I když, jakmile byste měl tři podobná zařízení (2x Dell a něco dalšího), už tam můžete taky dát rovnou WireGuard, který mi přijde v mnoha ohledech pro tohle přímočařejší.

[55.lukas]

Teraz nad tým rozmýšľam a trochu sa strácam s jednou vecou.

Ja som napísal, že na AX1800 dám statickú ipv4 a spustím openvpn server. Ale teraz rozmýšľam, že zariadenie, ktoré sa bude dopytovať bude práve na ax1800. Nemal by byť potom ax1800 vlastne klient a posielať požiadavky na iné siete (aktuálne tie mr6400)?

Za ostatné príspevky ďakujem, idem to študovať vrátane wireguard.

[Michal Šmucr]

Teraz nad tým rozmýšľam a trochu sa strácam s jednou vecou.

Ja som napísal, že na AX1800 dám statickú ipv4 a spustím openvpn server. Ale teraz rozmýšľam, že zariadenie, ktoré sa bude dopytovať bude práve na ax1800. Nemal by byť potom ax1800 vlastne klient a posielať požiadavky na iné siete (aktuálne tie mr6400)?

Já doufám, že jsem otázku pochopil správně.

Ve všech případech, co tu byly zmíněny, je cílem propojit ty tři lok. sítě tak, abyste mezi nimi mohl libovolně komunikovat. Tzn. je úplně jedno odkud komunikaci začnete, jestli ze subnetu A, B nebo C a z jakéhokoliv zařízení. Ve výsledku by to mělo bez překladu adres projít bránami a tunely (zjednodušeně - tam se původní pakety zašifrují a přidají se hlavičky od konkrétního tunelovacího/VPN protokolu) a stejnou cestou pak zpátky vrátit odpověď.

Samozřejmě se to dá v dalším kole utáhnout jen na konkrétní IP adresy a porty pomocí firewallu (buď na těch PC, kde jsou klienti, nebo na routerech, pokud po poběží tam).
To, odkud a kam navazujete tunel, je pak technikálie, vedlejší věc, co se netýká komunikace uvnitř. Jakmile se tunel sestaví pakety v něm putují oběma směry.

[M_D]

Hele, pohledme do manuálu od AX1800, tak mám podezření, že ten OpenVPN server v TPlinku moc nepočítá s tím, že by se na něj připojovala celá síť? Možná počítá, že se připojuje jen koncový klient (jedne počítač). Takže můžeš mít problém mu říci, že do spojení 1 routovat segment 192.168.80.0/24 a na spojení 2 posílat 192.168.81.0/24.
Dle manuálu to má umět i wireguard, tam by asi mohlo jít toto zařídit pomocí nastavení allowed IPs (client)?

[Reklama]

[Michal Šmucr]

Hele, pohledme do manuálu od AX1800, tak mám podezření, že ten OpenVPN server v TPlinku moc nepočítá s tím, že by se na něj připojovala celá síť? Možná počítá, že se připojuje jen koncový klient (jedne počítač). Takže můžeš mít problém mu říci, že do spojení 1 routovat segment 192.168.80.0/24 a na spojení 2 posílat 192.168.81.0/24.
Dle manuálu to má umět i wireguard, tam by asi mohlo jít toto zařídit pomocí nastavení allowed IPs (client)?

No s tím OpenVPN serverem tam budou ještě další věci, kvůli kterým to přes něj pravděpodobně nepůjde řešit.
Ale asi jasno by bylo, kdyby se nastavila VPN, a pak se dohledal zkontroloval vygenerovaný server.conf, případně spuštěný  příkaz po připojení terminálem do routeru. Blbé je, že s tím asi nepůjde úplně hnout, a pak by nezbylo než opravdu nahodit ten server na jiném stroji uvnitř.

Nicméně ten Wireguard tam je potenciálně zajímavý. Já ho předtím nenašel, protože jsem se díval na HW revizi 1.2, kde je jen OpenVPN a PPTP. Ty jediné jsou pak i v emulátoru https://emulator.tp-link.com/AX1800/
HW revize 2 pak WG podle manuálu přidává, jak jste zmiňoval.

Takže vyvstává otázka, jakou má 55.lukas revizi toho AX 1800?
Pak to případně ozkoušet, jestli se tam nenarazí na nějaké další komplikace, kdy nějaká výchozí nastavení ve firmware nebo UI pro nastavení mohlo házet klacky pod nohy.

Jinak jsem byl upřímně překvapen, jak málo se tam dá pořád nastavit třeba ohledně firewallu, je tam jen globální on-off šoupátko, pingy zvenku a automaticky vytvářená pravidla pro port-mapping. IPv6 pak nastaveno asi jen z továrny - počítám, že je buď všechno iniciované z venku zakázáno, nebo povoleno
No už jsem s tím dlouho nedělal, ty staré TP-Link se zeleným UI a HTML framesetem na tom byly podobně, ale říkal jsem si, že mohli trochu rozšířit možnosti..

[55.lukas]

Akosi sa mi spať nedá   

Hardware Version:
Archer AX23 v1.20

A mrzí má trochu to, že ten router nemá ani pol roka a je to len 1.2 verzia.

[tennyson.acie]

U TP-Linků (vyjma jednoho, viz odkaz níže) to funguje pouze tak, že na routeru s veřejnou IPv4 spustíš OpenVPN server a na tento server se pak můžeš připojovat přes OpenVPN klienta, přičemž ze sítě klienta vidíš do sítě serveru - ovšem opačně to nejde! Neboli ze sítě serveru do sítě klienta vidět nelze. Řešilo se to u TP-Linku dost často, abych to nemusel celé rozepisovat, tak tady je odkaz: https://community.tp-link.com/en/home/forum/topic/637010

[meldax]

Něco podobného jsem kdysi řešil....Byla to hvězdicová síť s centrálním prvkem s pevnou veřejnou IP. Ale vzhledem k tomu, že se ta síť časem začala rozrůstat a musel fungovat i direct stream mezi jednotlivými peery, skončil jsem u Mikrotiku pomocí IPSec v transportním módu a GRE pro routování....

[Jose D]

Dle manuálu to má umět i wireguard, tam by asi mohlo jít toto zařídit pomocí nastavení allowed IPs (client)?

Jo, AllowedIPs ti (pokud používáš standardní konfiguraci) napushuje routy. Takže u definice klienta si do AllowedIPs přidej sítě, které jsou za tím klientem schované.

[František Ryšánek]

U TP-Linků (vyjma jednoho, viz odkaz níže) to funguje pouze tak, že na routeru s veřejnou IPv4 spustíš OpenVPN server a na tento server se pak můžeš připojovat přes OpenVPN klienta, přičemž ze sítě klienta vidíš do sítě serveru - ovšem opačně to nejde! Neboli ze sítě serveru do sítě klienta vidět nelze. Řešilo se to u TP-Linku dost často, abych to nemusel celé rozepisovat, tak tady je odkaz: https://community.tp-link.com/en/home/forum/topic/637010

Já jsem viděl OpenVPN zapečené ve více komerčních firmwarech, a vždycky mě to nějak omezovalo v rozletu - oproti vanilkovému OpenVPN v dospělém Linuxu nebo v OpenWRT. Prostě má cosi do sebe, mít k dispozici necenzurovaný openvpn.conf a širší prostředí otevřeného Linuxu okolo. Třeba pokud mi nevyhovuje, jakým způsobem OpenVPN server pracuje s různými klienty (že se buď vidí navzájem, aniž by traffic prošel kernelem, nebo se nevidí vůbec - konfigurační volba) tak si můžu rozjet OpenVPN server ve více instancích, můžu si nad tím rozjet dynamický routing podle svého gusta apod.

[Michal Šmucr]

Akosi sa mi spať nedá   

Hardware Version:
Archer AX23 v1.20

A mrzí má trochu to, že ten router nemá ani pol roka a je to len 1.2 verzia.

Njn. to by byla spíš náhoda, pokud byste to kupoval někdy teď . Podle release notes od firmware je V2 úplně nová (leden 2025).

Teoreticky byste mohl zkusit napsat na podporu TP-Linku, jestli neplánují dodat podporu pro Wireguard (víceméně softwarová věc) i do revize 1.2 v nějakém dalším firmware, pokud nějaký bude.
Možná naivní, vzhledem k tomu že je tam poslední verze z roku 2023 , ale jednou se mi takhle k něčemu podařilo ukecat ASUS, že do něčeho sáhli, dokonce mi poslali i beta FW.

Nicméně to teď asi realisticky vypadá, že to jen s těmi samotnými routery, co máte ve stávající podobě, to tunelování nerozjedete.

Jinak ještě když se vrátím k OpenWRT pro AX 1800 (AX23), tak to vypadá, že to nainstalovat jde, je tam 16MB flash (což je tak hraniční)
https://openwrt.org/toh/hwdata/tp-link/tp-link_ax23_v1
https://forum.openwrt.org/search?q=AX23

Bohužel to vypadá, že tam visí nějaký problém s pomalou WiFi a určitými klienty.
https://forum.openwrt.org/t/ax23-very-slow-5ghz-wifi-on-windows/
Není to jen ten zakladatel vlákna, ale potvrzují to i jiní lidé (a tak trochu klasicky prohazují různé buildy OpenWRT a originální firmware).

Ty MR6400 mají jen 8MB flash a 64MB RAM, tam to bude ještě větší problém. Tam už by bylo nutné flashovat vždy speciální malé sestavení a v kombinaci s nějakými balíčky (třeba Zerotier a OpenVPN) by to bylo nejspíš bez UI s administrací jen z terminálu.
https://openwrt.org/supported_devices/864_warning