従来の方法による通常のVPN接続ではない

私は、Habrohabrに招待されるのに注目に値する興味深いトピックを探していましたが、今ではそれを見つけました。 最近、そのような特別なケースを実装する必要がありました。

問題ステートメント：リモートネットワークのノードへのアクセスを取得します。

ここでは、結合する必要がある2つのネットワークについて説明します。1つは「オフィスネットワーク」、もう1つは「リモートネットワーク」と呼びます。
リモートネットワークのシステム管理者は、最小限の変更を行うことを拒否します。接続するためにできることは、リモートネットワークに機器を置くことだけです。 このnetworkv4からのインターネットアクセスは、世界に入るゲートウェイを介して行われます。 2つのオフィス間にトンネルを構築して、オフィスネットワークのノードがリモートネットワークのノードにアクセスできるように、両側での変更を最小限に抑える必要があります。

2つのネットワークを組み合わせて仮想トンネルを構築するタスクを実行するには、仮想プライベートネットワークを使用する必要があります。 適切な接続オプションを検索する過程で、私はVPNをクライアントサーバーバージョンとピアの2つのタイプに分けました。 次の点が根本的な違いをもたらします。

• グローバルインターネットを使用したピアツーピアVPNでは、各ノード（少なくとも2つのノード）に1つの実際のIPアドレスが必要です。 ここでは、接続は各当事者によって開始できます（これが私がそれを同等と呼んだ理由です）。
• グローバルインターネットを使用するクライアントサーバーバージョンでは、サーバーに必要な実際のIPアドレスは1つだけです。 ここでの接続はクライアントの要求で発生し、サーバーは常に予期します。複数のクライアントが存在する可能性があります。

注1：どちらの場合も、条件の1つが満たされている必要があります（クライアントサーバーバージョンの場合、サーバーの場合のみ）。

• A. VPNピアは、ゲートウェイ上に直接配置する必要があります（追加のソフトウェアをインストールするか、デバイスが目的のタイプのVPN接続を確立できる必要があります）。
• B.ゲートウェイでVPNピアを直接起動できない場合は、VPNピアとして構成された別のデバイスにポートを渡すことができるように構成する必要があります。

VPNプロトコルの例：

クライアントサーバーVPN：

• PPTP
• L2TP;
• OpenVPN
• PPPoE;
• ...

ピアVPN：

• IPsec
• ...

したがって、選択が明らかになります - クライアントサーバーVPN 。 このオプションではクライアント側から何も変更する必要がないためです。

選択するクライアントサーバーオプションはどれですか？

そして最初に頭に浮かぶのは、古き良きPPTPです。 彼にはセキュリティ上の欠陥がたくさんありますが、より高度で新しいバージョンがあります。 セキュリティの欠陥にもかかわらず、PPTPには別の非常に不快な機能があります。これは、PPTPクライアントがサーバーへの接続を確立するために使用するGREプロトコルです。 注1.Bで指定されたスキームに従って通信を確立する場合、ポートフォワーディング（ポートフォワーディング）を実行する機器は、PPTP（多くの場合アプリケーションレベルゲートウェイセクションにあります）を介して接続を通過できる必要があります（この機能は多くの場合、PPTP経由と呼ばれます） PPTP自体を通過させます）。 これは、プロトコルの機能と、最初はPPTPがNATを介して動作するように設計されていなかったためです。 そのような機能がない場合、このスキームでは、サーバーが着信接続要求を認識しないという単純な理由により、VPNチャネルはインストールされません。
PPPoE、L2TP、およびPPTPは、完全にはほど遠いpap、chap、mscap1、およびmscap2認証プロトコルを使用します。

幸い、OpenVPNプロトコルには上記の欠点のほとんどがなく、GREプロトコルを使用せず、NATを使用するネットワークの機能を考慮して特別に設計されています。
Open VPNについて少し：ポート1194で動作し、TCPプロトコルとUDPプロトコルの両方を使用できます。 アプリケーション層プロトコル、OSIモデル。
したがって、これらのプロトコルの選択も明らかになりました-OpenVPN 。 もちろん、完璧ではなく万能薬ではありませんが、この場合には最適です。

少し要約してください。

OpenVPNサーバーをオフィスネットワークの側から使用します（何かを変更できる場合、全般的にはすべてを変更できますが、単に変更したくないだけです）。リモートネットワークの側からクライアントがあります。 ファイアウォールがハードウェアデバイスである（そしてOpenVPNサーバーが組み込まれていない）オフィスネットワークのスキームをあまり変更しないようにするには、OpenVPNサーバーが背後にあるデバイスをインストールし、ポート1194を転送する必要があります。
ここで、クライアントとサーバーの間で接続がどのように確立されるかを想像しますが、オフィスのネットワークノードはどのようにしてリモートネットワークのノードを見ることができますか？
リモートネットワークのルーターを変更しないように、オフィスのネットワークをNATで非表示にします。 オフィスの側のルーターで、VPNトンネルを介したリモートネットワークへのルートを書き留めます。
この場合のマスキングの欠点は、リモートネットワークのノードからオフィスのノードにアクセスできないことです。この場合、これはむしろ利点です。

成熟したスキーム。

この図では、クライアントによってサーバーにインストールされたトンネルは赤で表示され、トンネルを介したオフィスからリモートオフィスのノードへのパケットルートは黒い点線で示されています。

次のルートがプロキシサーバー192.168.0.1-192.168.100.3に追加されました。
Route 10.0.0.0/8 192.168.100.2
Route 192.168.1.0/30 192.168.100.2

ここでは、ネットワーク192.168.1.0/30および10.0.0.0/8宛てのすべてのパケットをルーター192.168.100.2-192.168.1.1でラップします。 OpenVPNサーバーは同じルーターで実行されます。 デフォルトでは、すべてのパケットはゲートウェイ192.168.100.1-Real_1を介してインターネットに送信され、ネットワーク10.0.0.0/8については、OpenVPNクライアント192.168.1.2-10.1.1.2でインターネット上に構築された仮想チャネルを介して送信されます。

ポート192.168.100.1-Real_1でのOpenVPNサーバーの通常の動作では、ポート1194が転送されました。
OpenVPNクライアントでは、リモートサブネット10.1.1.2からのアドレスが登録されています。 デフォルトゲートウェイは10.1.1.1です。 クライアントは、実際のIPアドレスReal_1を介してインターネットへの接続を確立します。 192.168.1.1-192.168.100.2を経由するルートがネットワーク192.168.100.0/24に登録されているため、私のオフィスから到着したパケットを安全に戻すことができます。 ここで、クライアントでは、ファイアウォール（NATテーブル）にルールが設定されています。192.168.100.0/ 24ネットワークからのパケットは、このサブネット（10.1.1.2）からのアドレスにマスカレードされています。

理論的なパケット検査

したがって、私のネットワークからのパケットは、ルールに従ってリモートネットワークに行き、戻ってきます。
ノード192.168.0.123からオフィスからリモートネットワーク10.0.0.0/8からノード10.0.0.123に送信されたパケットは、ゲートウェイ192.168.0.1-192.168.100.3によってアドレス192.168.100.3にマスクされ、ルールに従って、ルーター192.168.100.2-192.168。に送信されます1.1、アドレス192.168.1.1を介してルーター192.168.1.2-10.1.1.2のアドレスにリダイレクトされ、再びアドレス10.1.1.2に偽装され、そこから宛先10.0.0.123に安全に到達します。 アドレス10.0.0.123は応答10.1.1.2-192.168.1.2を送信し、アドレス192.168.1.2からアドレス192.168.1.1-192.168.100.2に応答を送信します。アドレス192.168.100.2からサーバー192.168.100.3-192.168.0.1にパケットを返します。アドレス192.168.0.1から192.168.0.123にパケットを送り返します。
この詳細なパケットトラッキングルーチンは、すべての設定が正しく行われ、何もスキップされなかったことを確認するために必要でした。

OpenVPNサーバーおよびクライアントとして選択する機器は何ですか？

* nixがインストールされた通常のコンピューターとOpenVPNソフトウェアパッケージを使用できます。
また、専用の機器を使用できます。 たまたま2台のMikrotik RB450がありました。

RB450のセットアップ、またはPPTPをテストしていない理由。

実際、PPTPですべてをテストしようとしたのは初めてですが、クライアントはサーバーとの接続を確立できませんでしたが、Windowsコンピューターから接続を確立することはできました。

Mikrotik RB450をバージョン3.22から4.20に更新します。

公式ウェブサイトwww.mikrotik.com/download.html#2.phpに記載されているように、バージョン3.25以降からのみ4.20にアップグレードできます。
したがって、ダウンロードセクションでシステムを選択し、ソフトウェアセクションでレガシーを選択します。 ここでは最新のリリース3.30を選択しました。これは質問なしで3.22に追加されています。
記事www.asp24antenna.com.ua/obnovlenie-s-328-os-na-routeros-40との類推により作成されました。
WinBOXを開き、ファイルに移動し、そこにファームウェアファイル3.30をドラッグし、再起動して二重ピークを待ちます-すべてのファームウェアが既にインストールされています。 次に、[システム]> [ライセンス]に移動し、[更新]をクリックします（この時点で、構成済みのDNSでルーターをインターネットに接続する必要があります）。 更新後、再び新しいファームウェアのみをダウンロードしてルーターに投入し、再起動します。すべて最新のファームウェアがあります！ RB450 microticsの両方をバージョン3.22から3.30に、そして4.20にアップデートする手間がかかりましたが、これは役に立たず、PPTPの状況はどうにかして修正されませんでした:(

OpenVPNですぐにビルドすることにしました。

この記事wiki.mikrotik.com/wiki/OpenVPNのガイダンスに基づいて、証明書を作成してインポートしました。 詳細については、この記事を参照してください。 キーポイントまたは問題を引き起こしたもののみを説明します。
CAcert.orgにアカウントを作成しましたが、これはまったく必要ではありませんが、自己署名証明書を発行できます。
OpenVPNサーバーとなるルーターで、次のコマンドを実行します。

/certificate create-certificate-request
# :
passphrase:
(Your name) common name:

#
certificate-request.pem
private-key.pem

certificate-request.pemファイルを開き、その内容をコピーし（たとえば、FTP経由でコンピューターにコピーするか、WinBOXからデスクトップにドラッグします）、 CAcert.org Webサイトのフォームに貼り付けます（登録が必要です）サーバー証明書>新規、受信した回答certificate-response.pemファイルにコピーします（OpenVPNサーバーにアップロードする必要があります）。
次に、証明書をWinBOXにインポートします。

System> Certificates> Import
certificate-response.pem
private-key.pem

その後、証明書にKRのマークが付けられます。 代わりにQRが表示される場合は、private-key.pemを再度インポートします（助けてくれました）。
サーバーの作成を開始します（必要に応じて変更することを忘れないでください）。

/ interface ethernet
set ether1 name="ether1"
#

/ interface bridge
add name="lan" arp=proxy-arp
#, arp=proxy-arp!

/ interface bridge port
add interface=ether1 bridge=lan

/ ip address
add address=192.168.1.1/24 interface=lan
#

/ ip pool
add name="ovpn-pool" ranges=192.168.1.2-192.168.1.2
# .

/ ppp profile
add name="ovpn-profile" local-address=192.168.1.1 remote-address=ovpn-pool use-encryption=yes only-one=yes change-tcp-mss=default
#, / ppp %)

/interface ovpn-server server
set enabled=yes auth=sha1 netmask=24 certificate=cert1 max-mtu=1500 port=1194 cipher=aes256 keepalive-timeout=60 mode=ip require-client-certificate=no default-profile=ovpn-profile
#
# mode=ip !

/ ppp secret
add name="user-1" service=pptp password="123456" profile=ovpn-profile
# !


OpenVPNクライアントとなるルーターで、次を実行します。

/interface ovpn-client
add name="ovpn-out1" connect-to=Real_1 port=1194 mode=ip user="user-1" password="123456" profile=default certificate=none cipher=aes256 add-default-route=no
# Real_1 IP OpenVPN .
# !
# mode=ip !

/ip firewall nat
chain=srcnat out-interface=ether1 src-address=192.168.100.0/24 action=masquerade
# 192.168.100.0/24
# :)

叙情的な余談

理論的には、単一の実際のIPアドレスがなくてもVPN接続を確立できることに注意してください。 このような接続の類似物は、Skypeなどの音声インターネットメッセンジャーによって確立されます。 このような接続の本質は、複数のノードと1つのサーバーがあることです。 各ノードはサーバーに接続されますが、node1はnode2との通信セッションを確立する場合、サーバーからnode2のサーバーへの確立された接続のパラメーターを要求し、その後、確立された接続が切断されて直接確立されるまで、サーバーの代わりに「ウェッジイン」します。 これは、SIP（セッション開始プロトコル）を使用して実装されます。 そのため、Skypeサーバーには、クライアントによって生成された中間トラフィックが読み込まれません。 SIPコントロールを使用したVPN VPN接続のインストールに関するこのような調査の結果は、 www.ietf.org / mail-archive / web / sipping / current / msg10092.htmlで提供されました 。 残念ながら、 IETFからのドラフトVPN-SIPがあり、 ETSI TS 185 010 V2.1.1（2009-07）からの説明もあるにもかかわらず、このアイデアは広まりませんでした（ 「TS 185 010」と入力する必要がありますETSIの登録メンバーがドキュメントを読む）。

SIP制御を使用してVPN接続をセットアップする例：

図1ホームネットワークへのリモートアクセス。

それにもかかわらず、 Hamachi 、 Teamviewerなど、同様の機能を備えた閉じたプログラムがあり、おそらくこの考えを使用しています。
SIP制御を使用してVPN接続を確立できる、広く普及した標準化されたプロトコルがあれば、世界がどのように変化したか想像してみてください！