Komunikácia medzi viacerými sieťami cez OpenVPN

Komunikácia medzi viacerými sieťami cez OpenVPN
« kdy: 02. 04. 2025, 12:36:48 »
Chcem Vás poprosiť o nakopnutie správnym smerom na ďalšie štúdium.

Doma mám sieť 192.168.77.X cez DHCP, router AX1800, neverejná IP cez optiku.
Lokalita 1 má router MR6400 so SIM T-Mobile, sieť nastavená na 192.168.80.X.
Lokalita 2 má router MR6400 so SIM T-Mobile, sieť nastavená na 192.168.81.X.

Všade DHCP prideľované v rozsahu X.X.X.100-200, dotknuté zariadenia majú pridelenú statickú IP s koncovkou 53.
192.168.77.53 je MASTER zariadenie, ktoré chce komunikovať so SLAVE zariadeniami (192.168.80.53 a 192.168.81.53).

Jedná sa o MODBUS TCP zariadenia, nie je to nič kritické, jedná sa len o ďalšie štúdium a pokusy.

Otázky: Vie uvedené prepojenie sietí vyriešiť OpenVPN? (oba routre ho podporujú)

Druhá vec je vlastne cena. Na stránke https://openvpn.net/pricing/ vidím, že majú free verziu pre 2 spojenia a potom až platenú za 55 EUR / 1 mesiac za 5 spojení.

Dá sa to poriešiť aj inakšie?

Ďakujem


Re:Komunikácia medzi viacerými sieťami cez OpenVPN
« Odpověď #1 kdy: 02. 04. 2025, 13:01:33 »
U VPNek potřebujete někde nějakou veřejnou IP adresu ... Bez toho to bude těžké, resp. můžete platit nějakému "prostředníkovi" (což si rovnou můžete už zaplatit nějaký VPSko)  ;-)

OpenVPN jako takové limity nemá, pokud máte veřejnou IP, můžete na ní mít třeba 100 tunelů a routovat mezi nimi požadavky.

Re:Komunikácia medzi viacerými sieťami cez OpenVPN
« Odpověď #2 kdy: 02. 04. 2025, 13:23:18 »
Ďakujem za odpoveď. Teraz sa len nahlas pýtam ...

Takže vlastne potrebujem niečo s verejnou IP k čomu sa budú všetky routre pripájať. Free verzia OpenVPN umožňuje 2 spojenia, tak viem prepojiť 2 routre. Ak by som chcel viac spojení, tak 55 € mesačne.

Ale keby som si zaplatil VPS so statickou IPv4 a tam spojazdnil OpenVPN, tak za cenu samotnej VPS si viem spojazdniť aj viacej spojení.



Re:Komunikácia medzi viacerými sieťami cez OpenVPN
« Odpověď #3 kdy: 02. 04. 2025, 13:35:50 »
Tam je trochu komplikace v tom, že všechny zmíněné routery mají bohužel jen OpenVPN server (ne klienta).
Tzn. je to vymyšlené na to, když chcete přistupovat do konkrétní LAN sítě za routerem odněkud zvenku.

Předpokládám, že daná zařízení (nevím nějaké převodníky) nemají svého vlastního VPN klienta, tak vám ani VPS nebo hostovaný VPN server sám o sobě nepomůže.

Musel byste pak totiž mít navíc v každé síti nějaký počítač (může být třeba RPi), kde pak poběží VPN klient, co se připojí k danému VPN serveru venku (protože nemáte žádnou statickou IP, jak psal cznarg). Klient bude mít přístup do nějaké společné VPN podsítě (např. 10.0.1.0/24) a povolené forwardování paketů. Na routerech v každé lokaci pak budete muset udělat odpovídající statické rout. záznamy, tak aby se do těch ostatních vzdálených LAN segmentů dostával přes počítač na kterém běží ten VPN klient.
Jinými slovy potřebujete udělat site-to-site VPN.

Re:Komunikácia medzi viacerými sieťami cez OpenVPN
« Odpověď #4 kdy: 02. 04. 2025, 14:02:49 »
Jako teoreticky je tam ještě další možnost, i když spíš na nějaké zkoušení ne na produkční nasazení, protože se vám to s dynamickými IP může rozpadat.

Nastavíte OVPN servery na těch dvou LTE modem/routerech. Každý pak bude mít odlišný VPN subnet
např. 10.8.0.0/24 a 10.8.1.0/24
Povolíte dynamickou DNS (třeba přes tu službu od TPLinku), takže když se jim změní adresa, aktualizuje záznam pro jejich hostname.

V té třetí síti si pak uděláte nějaký počítač (zas RPi, virtuál.. cokoliv), kde rozjedete OVPN klienta, který se bude připojovat k těm dvěma serverům pomocí těch aktualizovaných hostname. Takže tam budete mít dvě rozhraní např. tun0 a tun1, které každé dostane adresu z těch zmíněných rozsahů a pak fyzické, co bude připojeno do lokální sítě.
Zas povolíte forwardování paketů a upravíte routovací záznamy na routerech, aby to procházelo.
Nakonec si budete muset na počítači s klienty nejspíš nějak oskriptovat nové navazování tunelů, pakliže se tunel rozpadne, změní se adresa OVPN serveru a jeho dynamický DNS záznam.

Je to na dost laborování, ale mohlo by to na nějaké blbnutí jít udělat, pokud tam nebude nějaký další renonc v těch TP-Link routerech.


Re:Komunikácia medzi viacerými sieťami cez OpenVPN
« Odpověď #5 kdy: 02. 04. 2025, 16:05:11 »
Tam je trochu komplikace v tom, že všechny zmíněné routery mají bohužel jen OpenVPN server (ne klienta).
Tzn. je to vymyšlené na to, když chcete přistupovat do konkrétní LAN sítě za routerem odněkud zvenku.

Předpokládám, že daná zařízení (nevím nějaké převodníky) nemají svého vlastního VPN klienta, tak vám ani VPS nebo hostovaný VPN server sám o sobě nepomůže.

Musel byste pak totiž mít navíc v každé síti nějaký počítač (může být třeba RPi), kde pak poběží VPN klient, co se připojí k danému VPN serveru venku (protože nemáte žádnou statickou IP, jak psal cznarg). Klient bude mít přístup do nějaké společné VPN podsítě (např. 10.0.1.0/24) a povolené forwardování paketů. Na routerech v každé lokaci pak budete muset udělat odpovídající statické rout. záznamy, tak aby se do těch ostatních vzdálených LAN segmentů dostával přes počítač na kterém běží ten VPN klient.
Jinými slovy potřebujete udělat site-to-site VPN.

Ďakujem za info, zase som o čosi múdrejší.

Vyzerá to, že len niektoré TPLinky vedia OpenVPN klienta. Respektíve tu sa dajú vyfiltrovať všetky s OpenVPN klientom: https://www.tp-link.com/us/home-networking/wifi-router/?filterby=AND%7C6112

jjrsk

  • *****
  • 714
    • Zobrazit profil
Re:Komunikácia medzi viacerými sieťami cez OpenVPN
« Odpověď #6 kdy: 02. 04. 2025, 16:46:48 »
...
Jedná sa o MODBUS TCP zariadenia, nie je to nič kritické, jedná sa len o ďalšie štúdium a pokusy.
Nefixuj se na openvpn ...

Pokud si chces hrat, tak existuje cela rada dalsich variant. Jen pro kazdou jednu holt budes (NE)potrebovat(jak by ti rek martinpoljak) henten internet.

Jinak receno potrebujes, jak tu zaznelo, alespon jeden stroj s verejnou adresou. Samotny tunel muzes vyrobit treba pomoci ssh, coz typicky skoro kazda krabicka umi. Nejspis i ty zmineny MR6400 a AX1800.

Mimochodem fous vedle je clanek ze tdebile na mobilnich sitich zavadi (zmrvene) ipv6. Takze az ti to pripadne nejak zacne fungovat, tak jen jeste potrebujes doresit tu treti nejmenovanou sit.

https://www.root.cz/zpravicky/t-mobile-cr-spustil-ipv6-ve-sve-mobilni-siti/


Re:Komunikácia medzi viacerými sieťami cez OpenVPN
« Odpověď #7 kdy: 02. 04. 2025, 21:27:27 »
Sry za reklamu, jsem jenom občasný spokojený zákoš: Forpsi má nejlevnější VPSku s Linuxem (tuším Debian) za 85 Kč měsíčně vč.DPH. To má veřejnou statickou IPv4 adresu a dá se na tom kutit ledacos. Doporučuji využít fail2ban minimálně na SSH (spíš na všecky služby, na které to půjde. Matně tuším, že na SSH je možná zapnutý už v počáteční šabloně).

A na ty tři routery bych se pokusil dostat OpenWRT.

Až si pohrajete s OpenVPN, VPSku můžete zrušit aby nežrala peníze - a to OpenWRT na routerech si třeba nechte.

M_D

  • ****
  • 363
    • Zobrazit profil
    • E-mail
Re:Komunikácia medzi viacerými sieťami cez OpenVPN
« Odpověď #8 kdy: 02. 04. 2025, 22:00:32 »
Pokud se mu podaří dostat do těch TP linků OpenWrt, tak pro něj už je třeba Zerotier klient k mání. Co pak zkusit tunelovat pomocí toho? Pokud ty CG-NATy před tím nejsou typu "symmetric", tak to centrální Zero servery použije jen k proražení UDP a jede provoz napřímo.
Podobných řešení je víc, tohle je takové user friendly outboxové. :-)

Re:Komunikácia medzi viacerými sieťami cez OpenVPN
« Odpověď #9 kdy: 02. 04. 2025, 23:42:19 »
Vyzerá to, že len niektoré TPLinky vedia OpenVPN klienta. Respektíve tu sa dajú vyfiltrovať všetky s OpenVPN klientom: https://www.tp-link.com/us/home-networking/wifi-router/?filterby=AND%7C6112

Jo těch dalších možností, jak to udělat dál, případně co třeba koupit, bude spousta.
Od výměny LTE routerů za jiné, přes přidání nějakých lacinějších základních Mikrotiků, kam by se třeba připojila jen ta zařízení, co na sebe mají vidět, až po třeba zkoumání toho jestli by na stávajících TP-Linkách nemohl běžet OpenWRT, jak zmínili ostatní.

U té poslední zmíněné možnosti je jen pořád potřeba mít na paměti, že to není oficiální firmware, a musíte mít i trochu štěstí s modelem, že to bude v pohodě chodit.
Proces toho přeflashování nemusí být úplně jednoduchý a pořád tam je nějaká míra rizika, že pokud se něco nepodaří, můžete router "bricknout" a znefunkčnit. Pak můžete potřebovat na i připojení z PC na interní JTAG rozhraní, abyste se z toho dostal.
Další problémy můžou nastat i v provozu, kdy nemusí všechno dobře chodit. Třeba WiFi, nebo jsem také zažil situaci (zrovna s nějakým starým TP-Linkem), kdy se s OpenWRT přehříval SoC, pak celé mrzlo a musel jsem se vrátit na původní firmware.
Finálně také můžou nastat problémy i s malou flash paměti zařízení, protože se tam pak nemusí vejít všechny balíčky, co chcete.
Nakonec i samotné OpenWRT má sice relativně spousty možností, ale i své quirky a třeba upgrady major verzí můžou být víceméně na re-flash.

Což není tak, že bych hanil OpenWRT, které umí vdechnout život zařízením, kterých byste se jinak musel zbavit, nebo vás od toho chtěl nutně odradit. Jen dodávám další kontext. Určitě si načtěte nějaké info pročtěte fóra. Nicméně je klidně možné, že to pro vás nebude a radši se rozhodnete sáhnout po něčem hotovém (třeba ty Mikrotiky).

Re:Komunikácia medzi viacerými sieťami cez OpenVPN
« Odpověď #10 kdy: 02. 04. 2025, 23:55:22 »
Jinak receno potrebujes, jak tu zaznelo, alespon jeden stroj s verejnou adresou. Samotny tunel muzes vyrobit treba pomoci ssh, coz typicky skoro kazda krabicka umi. Nejspis i ty zmineny MR6400 a AX1800.

A jak by mu to ssh v té situaci mělo pomoct? V krabičkách bude nejspíš Dropbear ssh server čistě pro administraci. Ten spousty užitečných věcí neumí (třeba tunelování s tun rozhraními), také mít nejspíš vypnutý i remote TCP forwarding.
Navíc se sice v těch routerech dá spousta věcí nakopnout ad-hoc, třeba tak že se tam připojíš telnetem, zabiješ nějaký proces a spustíš ho s jinými parametry, ale už tam není žádná možnost jak to nastavení udělat persistentní. Má to většinou své read-only init skripty, co nemají žádný hook, kde by se daly spustit jakékoliv další příkazy.


Re:Komunikácia medzi viacerými sieťami cez OpenVPN
« Odpověď #11 kdy: 03. 04. 2025, 05:15:16 »
Ďakujem za odpovede.

VPS za pár € mesačne nie je problém, to by som si zaplatil. Aj to Forpsi je v pohode. Lenže, ako ste už viacerí spomenuli, bude mi to na nič, lebo existujúce routre OpenVPN klienta nepodporujú.

ZeroTier mám, ale len na PC. Zase som skončil na tom, že routre to nepodporujú.

Ja mám tie TPlinky celkom rád, lebo mne na moje veci fungujú. Nastavím si, čo a ako potrebujem (pripojenie, dhcp, pevné ip, white list, ...) a hotovo. Lenže ak sa chcem pohnúť ďalej, budem musieť niečo začať s Mikrotikmi. Idem kdesi pozháňať nejaký a začať skúšať ...

OpenWRT pre mňa nie je cesta, bojím sa toho :D

M_D

  • ****
  • 363
    • Zobrazit profil
    • E-mail
Re:Komunikácia medzi viacerými sieťami cez OpenVPN
« Odpověď #12 kdy: 03. 04. 2025, 09:46:19 »
Při myšlence přidat si tam malý Mikrotik a Zerotier, tak pozor na to, že jen pro některé architektury CPU to Mikrotik umí. Zdá se, že stále platí omezení pro modely s ARM/ARM64 procesorem: https://help.mikrotik.com/docs/spaces/ROS/pages/83755083/ZeroTier

Jiná možnost je nějaké malé RPi, do toho Zerotier nebo jiný typ VPN půjde nacpat...

Žádná krabice neí dokonalá. A kdy už umí vše, tak zase je udělaná tak, že nesplňuje třeba požadavky na EMC. :-)

Re:Komunikácia medzi viacerými sieťami cez OpenVPN
« Odpověď #13 kdy: 03. 04. 2025, 11:44:28 »
Při myšlence přidat si tam malý Mikrotik a Zerotier, tak pozor na to, že jen pro některé architektury CPU to Mikrotik umí. Zdá se, že stále platí omezení pro modely s ARM/ARM64 procesorem: https://help.mikrotik.com/docs/spaces/ROS/pages/83755083/ZeroTier

Jiná možnost je nějaké malé RPi, do toho Zerotier nebo jiný typ VPN půjde nacpat...

Žádná krabice neí dokonalá. A kdy už umí vše, tak zase je udělaná tak, že nesplňuje třeba požadavky na EMC. :-)

Jo, s tím Zerotierem a ARMem to je samozřejmě dobrý point. Stejné omezení pak platí i pro kontejnery na RouterOS.
Já tam ZT třeba ani nezkoušel právě proto, že mám své dva starší routery, co mají ještě MIPS CPU.

Ale stran toho Zerotieru asi bude záležet hlavně na tom, jestli to bude fungovat na konkrétních připojeních s dvojitým NATem, přesně jak jste psal. Ideální by z tohohle hlediska bylo přímé IPv6, což už tu říkal jjrsk. Kdoví možná to pro ta LTE připojení chystá i slovenský TME.

Já co se teď v rychlosti díval, tak třeba tahle škatule vypadá jako vcelku rozumná náhrada těch MR6400.
Má to ARM, LTE modem, integrovaný Wireguard, OpenVPN, L2TP/IPSEC a i ten Zerotier
https://mikrotik.com/product/hap_ax_lite_lte6
Za 1800,- (resp. něco přes 70 EUR) bez daně mi to nepřijde o moc dražší sranda než třeba dokoupit něco jako RPi4, zvlášť pokud by se podařilo prodat ty původní TP-Linky.

A pak bude spousta možností, jak to udělat.. VPS, VPN služba venku, Zerotier, přikoupení pevné IP pro server na jednom z těch míst.

Re:Komunikácia medzi viacerými sieťami cez OpenVPN
« Odpověď #14 kdy: 03. 04. 2025, 15:33:08 »
A teraz nahlas rozmýšľam ďalej... Ak môj poskytovateľ internetu ponúka verejnú ipv4 za cca 3€ mesačne a na routri ax1800 by som zapol openvpn, tak mám vlastne vyriešenú časť servera?

Už len potrebujem klientov?

A je vôbec dobrý nápad ten router vystavovať na net?

Druhá časť otázky.
Predstavme si, že v sieti 4g routra by bolo Dell wyse s openvpn klientom. Dokázalo by toto zariadenie robiť prostredníka medzi openvpn serverom a Modbus tcp zariadením?