Доступ в сеть посредством VPN?

Question

[kiranananda]

Здравствуйте!

Встала задача поднять на linux VPN сервер для доступа клиентов из вне. Сейчас на самом деле все поднято и работает на pptpd. Но я так понял этот протокол потихоньку вымирает и на маках уже давненько нет поддержки. А хотелось бы пускать в сеть как windows так и MacOS .
Мысли 2, пока в теории: openvpn но тут надо софт всем ставить. И может быть есть возможность на l2tp, на маке вроде из коробки есть поддержка как и на винде. Но поддержка l2 мне вроде нафиг не нужна :)...

Подскажите в какую сторону копать?

Answer 1

[Алексей Черемисин]

Настоятельно рекомендую использовать openvpn. Под винду клиентов полно, даже с GUI. Под OSX - thunnelblick. Плюсов огромное количество, начиная от проброса маршрутов, и заканчивая авторизацией, не говоря уж о всевозможных режимах работы как сервера, так и клиента.
Да, единственный минус - клиент не из коробки.

Comments

[kiranananda]

Спасибо!
Вот я на него тоже пока смотрю. Давно знаком с этим протоколом.
Подождем еще предложений чуток :)

[Алексей Черемисин]

kiranananda, Не ждите. Лет 10 назад уже все перепробовали. У нас и офисы и поезда - все на нем ездит, и мониторится. И еще у пары знакомых фирм.
Как альтернатива - брать что-то покупное, типа сисок или юнипера. Там у них клиенты есть. Одна проблема (нет - три, нет много проблем), постоянно платить, одновендорность, проблемы с линуксовыми клиентами, часто требуют выделенную и покупную железку, очень часто, для заявленной пропускной способности нужна очень дорогая железка. А здесь core i3 тянет 100+ клиентов и не шуршит.

[kiranananda]

Пусть будет так :)

[effko32]

L2tp/ipsec из коробки что у винды, что у мака. This. Непонятно какую про какую поддержку l2 Вы ведете речь, стоит изучить osi и понять поверх чего работает l2tp

[Алексей Черемисин]

effko32, боюсь, вы нникогда не настраивали... по хорошему эта штука состоит из ipsec/ppp/l2tp. Причем, если захотите еще и ipv6, то дня три-четыре выкинете. А если с нуля, то и недельку.
Openvpn за 30 минут-час. С тем же эффектом и нормальным прохождением роутеров-натов. Я уж не говорю про возможномти ipv6, куче чиперов и сжатия, авторизации как угодно, изменяемом mtu, автосогласовании и просих плюшках. Мне особенно нравится прокидывание маршрутов на клиента.

[effko32]

Алексей Черемисин, так вопрос читайте, опенвпн из коробки не работает, это отдельное ПО. Как по мне (раз уж человек без опыта) - пускай уж потратит эти 3-4 дня(да хоть неделю), скилла прибавит, потом проще будет.

[effko32]

А потом эйчары создают темы чем вас мотивировать, да нечем, сидите ровно на жопке дальше, настраивайте свой опенвпн левым мизинцем..

[Алексей Черемисин]

effko32, так какие проблемы, напишите отдельным ответом. Мы для себя уже сделали выбор, лет 10 назад, и пару раз в год пытаемся его пересмотреть. Клиентов у нас много...

[Алексей Черемисин]

effko32, еще раз, сделайте отдельный ответ, а здесь давайте про openvpn, а в дренгой ветке я с удовольствием и по l2tp пройдусь.

[kiranananda]

effko32 вопрос в том что мне не нужен второй уровень(mac адресация). И мне надо пробрасывать маршруты в сеть, это я не указал, забыл. То есть, тот кто подключился, должен получать роутинги из сети, а весь остальной трафик должен идти по его стандартным правилам. С пптп тут было не очень прикольно...
Если на поднятие сервиса нужно несколько дней, то сколько надо времени что бы понять и научиться отлавливаться баги? :). я как бы не против сделать что то хорошее и вложить время но это должно выполнять все задачи...

[kiranananda]

Алексей Черемисин, а сделал таки на WireGuard . Это действительна стоящая штука. Конечно время покажет как и что. Но в данный момент написал вебку котороя генерит конфиги и я просто отсылаю их клиенту :). Когда будет штук 200-300 реальных юзеров посмотрим как работать будет. Пока еще в тесте все.

Answer 2

[rPman]

WireGuard

Comments

[kiranananda]

Спасибо! Интересное речение, но все бы хорошо если соединять сервер с сервером. Но меня не очень устраивает факт указания IP адресов на клиенте. Вот если бы это можно было с сервера получить, да еще и роутинги нужные вот тогда да. А так по сути покатит только для туннелей между серверами когда нет второй внешки. Может я конечно что не увидел, но при беглом просмотре не попалось инфы...

[kiranananda]

Вообщем то подумав какое то время, запустил пару тестовых тунельчиков. Понравилось. В итоге написал вебку для генерации конфигов клиентов и так и серверных. Осталось толка интегрировать это дело...