VPN

Présentation CT

Principe

• Connecter des hôtes/réseaux distants "comme si" ils appartiennent au même réseau local
• Chiffrer / Authentifier tout ce qui passe sur les réseaux publiques
• Intêret pour G5K
  • S'affranchir de la passerelle SSH
  • Accès au monde extérieur (à un serveur, à un réseau)

Implémentation

• OpenVPN : Interfaces virtuelles, Linux, portage Windows, SSL, flexible
• L2 VPN ou L3 VPN
  • Encapsulation de la trame Ethernet (L2) ou paquet IP (L3)
  • Fonctionnement des applications non-IP
• Réseau VPN VLAN dédié
  • meilleur isolation, pas le VLAN de production
  • non lié à un site
  • besoin de configuration des routeurs G5K
• Encapsulation dans UDP (+ TCP ?)

Configuration client

• addresse IP dans réseau VPN
• persistence:
  • Par nom de certificat / login
  • DNS name: vpn1.grid5000.fr, vpn2.grid5000.fr ou <login>.vpn.grid5000.fr
• routes G5K (Golden rules !)
  • 172.16.0.0/16
  • 10.0.0.0/8 ?
• DNS G5K
• Authentification Client
  • Génération certificat Client à la demande

Securité

• Serveur : Idem access nationale
  • 1 interface DMZ + 1 interface VLAN VPN
  • Fail2ban, etc.

L2 Ethernet Networks

Some additional VLAN is needed :

• VPN : Hosts connected to Grid5000 using VPN access use a dedicated VLAN implemented in ?? site.

Vlan number

VLAN number	Usage	Name
600	VPN network	VPN

L3 IP Networks

Routing policy

The following table gives detail about the routing policy of each L2 VLAN :

Network	Routed locally	Routed globally
VPN network

Addressing plan

About VPN

Site	VPN
?	172.20.0.0/16

Configuration

DomU

Network interfaces configuration

 # The DMZ private network interface
 auto eth0
 iface eth0 inet static
   address 192.168.67.14
   netmask 255.255.255.0
   broadcast 192.168.67.255
   post-up ip route add 172.16.0.0/16 via 192.168.67.253

 # The DMZ public network interface
 auto eth1
 iface eth1 inet static
   address 194.254.60.14
   netmask 255.255.255.192
   gateway 194.254.60.61

 # The VPN network interface, bridged
 auto br-vpn
 iface br-vpn inet static
  address 172.20.0.1
  netmask 255.255.0.0
  bridge-ports eth2 tap0
  pre-up ip tuntap add dev tap0 mode tap

OpenVPN configuration

	Managed by Puppet
	Classes : openvpn,openvpng5k Files : {{{files}}} Note :

Dom0

 sudo vconfig add eth0 600
 sudo brctl addbr switch-vpn
 sudo brctl addif switch-vpn eth0.600
 sudo ifconfig eth0.600 up
 sudo ifconfig switch-vpn up
 
 cat /etc/xen/vpn.cfg
 
 vif         = [ 'ip=172.16.63.199,mac=00:16:3E:00:A2:CD,bridge=switch-prod', # Will be DMZ
                                'mac=00:16:3E:00:FE:CD,bridge=switch-vpn']

Network Equipment

On equipment hosting VPN

 create vlan VPN 
 configure vlan "VPN" tag 600 
 show configuration
 configure vlan "VPN" ipaddress 172.20.255.254 255.255.0.0
 enable ipforwarding vlan "VPN"
 configure vlan "VPN" add ports 2:32 tagged #Dom0 port

On other sites' routers

 route add 172.20.0.0/16 gw 192.168.4.<VPN_site>

VPN Client

OpenVPN's client.conf file:

 client
 remote access.lyon.grid5000.fr 1194
 proto udp
 ca ca.crt
 cert client1.crt
 key client1.key
 #tls-auth ta.key 1
 dev tap