Как организовать шифрованную сеть без сервера?

Question

[redya69]

Есть несколько(3+) машин на Centos7. Каждая содержит 2 сетевых интерфейса. Один из них смотрит в интернет, второй организовывает серую внутреннюю сеть. Есть какие-то подходы позволяющие объединить внутренние сети каждой машины через шифрованный интернет-канал не выделяя при этом одну из машин в сервер? Т.е. при падении любого кол-ва узлов, связь между остальными должна оставаться.

---
UPD
С ключевым словом mesh-сеть догуглил до решения tinc vpn. По описанию вроде то что нужно.
Никто не сталкивался?

Comments

[redya69]

С ключевым словом mesh-сеть догуглил до решения tinc vpn. По описанию вроде то что нужно.
Никто не сталкивался?

[Виктор]

Я, конечно, не спец по сетям и шифрованию, но вовремя вспомнил, что есть готовый протокол, покрывающий поставленную задачу - это Tox. Никаких серверов не требует (их роль играют машины пользователей), шифрует, к тому же бесплатный и открытый. Буду рад, если это поможет.

[Дмитрий]

Виктор,

Tox — протокол для текстовой, голосовой и видеосвязи в интернете

это немного не то. ТС хочет шифрованный VPN между машинами и по нему траффик гонять.

Answer 1

[Алексей Скобкин]

Tinc - то, что нужно.

Answer 2

[Дмитрий]

Можно построить Mesh-сеть (т.е. каждый с каждым), но такой вариант плохо масштабируется и много ручной работы по созданию туннелей до каждого узла и прописыванию пачки статических маршрутов на каждом. Или как предложил Sergey Ryzhkin, купить дорогие циски и сделать DMVPN

Answer 3

[Sergey Ryzhkin]

Как вариант купить дорогой маршрутизатор.

Comments

[redya69]

Не должно быть узла, от которого зависит связь всех машин

[Дмитрий]

redya69, поставьте в центр два узла и организуйте кластер

[Sergey Ryzhkin]

redya69, Так не бывает, всегда кто-то от кого то будет зависеть.

[Sergey Ryzhkin]

redya69, Почитайте какие бывают Топологии сети и поймете в чем их минусы.

Answer 4

[athacker]

В зависимости от степени упоротости. Если степень велика -- стройте VPN-каналы через интернет "каждый-с-каждым".

Если степень умеренная :-) -- соедините 3 машины между собой VPN-каналами, обозначив их как основные VPN-сервера, а остальные пусть подключаются к двум из трёх этих машин по VPN.

В любом случае, придётся настраивать динамическую маршрутизацию в этих VPN-сетях, через OSPF или iBGP, как будет удобнее. В итоге после отвала любого канала у вас маршрутизация перестроится, и связность останется. Я бы пошёл по второму пути, он проще масштабируется. В первом случае при добавлении нового узла вам придётся руками обходить все остальные узлы и вносить изменения в конфиги.

Answer 5

[Максим Гришин]

"Любого" не получится. Если у машин белые (т.е. публичные) IP-адреса, можно построить полносвязную сеть IPsec-туннелей между ними, если у части машин белые адреса, то ту часть полностью связать, а остальные ходят до всех с белыми адресами и их соединения типа транспорт, чтобы каждому соединению типа туннель не добавлять все остальные подсети в качестве локальных или удаленных. Если ни у одной машины нет белого адреса, будут проблемы, понадобится минимум проброс ESP или udp/500, udp/4500 внутрь ната хотя бы для одной машины. Поверх собранной топологии имеет смысл поднять какой-нибудь протокол динамической маршрутизации.

Answer 6

[АртемЪ]

Есть какие-то подходы позволяющие объединить внутренние сети каждой машины через шифрованный интернет-канал не выделяя при этом одну из машин в сервер?

Есть.
Выделите все машины в сервер!

Answer 7

[user2k]

на ум приходят pptp туннели и ospf

Answer 8

[Дмитрий Александров]

Могу посоветовать:
-gre тунели, даже статейка на хабре есть
-можно еще попробовать экзотику в виде eoip
-vxlan