VPN

Présentation CT

Principe

• Connecter des hôtes/réseaux distants "comme si" ils appartiennent au même réseau local
• Chiffrer / Authentifier tout ce qui passe sur les réseaux publiques
• Intêret pour G5K
  • S'affranchir de la passerelle SSH
  • Accès au monde extérieur (à un serveur, à un réseau)

Implémentation

• OpenVPN : Interfaces virtuelles, Linux, portage Windows, SSL, flexible
• L2 VPN
  • Encapsulation de la trame Ethernet (L2) ou paquet IP (L3)
  • Fonctionnement des applications non-IP
• Réseau VPN VLAN dédié
  • meilleur isolation, pas le VLAN de production
  • besoin de configuration des routeurs G5K
• Encapsulation dans
  • UDP
  • TCP ?

Configuration client

• addresse IP dans réseau VPN
• persistence:
  • Par nom de certificat / login
  • DNS name:
    • vpn1.grid5000.fr, vpn2.grid5000.fr
    • <login>.vpn.grid5000.fr ?  : Besoin de DNS dynamique
• routes G5K (Golden rules !)
  • 172.16.0.0/16
  • 10.0.0.0/8 ?
• Configuratiuon DNS G5K du client
• Authentification Client
  • Génération certificat Client à la demande

Securité

• Serveur : Idem access nationale
  • Interfaces:
    • interface DMZ Publique (pour connexion client VPN depuis Internet)
    • interface DMZ Privée (pour administration G5K)
    • interface VLAN VPN, sans adresse IP (pour acheminement sur VLAN VPN)
  • Utilisation des classes puppet DMZ

L2 Ethernet Networks

Some additional VLAN is needed :

• VPN : Hosts connected to Grid5000 using VPN access use a dedicated VLAN implemented in sophia site.

Vlan number

VLAN number	Usage	Name
600	VPN network	VPN

L3 IP Networks

Routing policy

The following table gives detail about the routing policy of each L2 VLAN :

Network	Routed locally	Routed globally
VPN network

Addressing plan

About VPN

Site	VPN
Sophia	172.20.0.0/16

Configuration

DomU

Network interfaces configuration

	Managed by Puppet
	Classes : networkg5k Files : {{{files}}} Note :

Iptables configuration

	Managed by Puppet
	Classes : iptablesg5k Files : {{{files}}} Note :

OpenVPN configuration

	Managed by Puppet
	Classes : openvpn,openvpng5k Files : {{{files}}} Note :

Dom0

	Managed by Puppet
	Classes : networkg5k Files : {{{files}}} Note :

Network Equipment

On equipment hosting VPN

vlan 600 name VPN by port
 tagged 7/19
 router-interface ve 60

interface ve 60
 port-name VPN
 ip address 172.20.255.254 255.255.0.0

On other sites' routers

 route add 172.20.0.0/16 gw 192.168.4.<VPN_site>

VPN Client