[Comm] OpenVPN или Openswan

[Comm] OpenVPN или Openswan

[Натфуллин Аяз]

Всем доброго времени суток!
Кто может сказать, что лучше использовать для организации VPN?
Есть один центральный офис, 7 филиалов и несколько ноутбуков с Windows Vista. 
Между собой связь не нужна. Необходим доступ только от филиалов и буков к 
центру. В центре есть Web-портал, терминальный сервер (RDP), почтовый сервер 
SMTP.
Какие мнения?
Спасибо.

-- 
С уважением, инженер отдела ИИС ООО «Центр»
Натфуллин Аяз Ильдусович
natfullin@cg.ru
(843) 533-88-00
вн. 1813

Российская Федерация
Казань, ул. Зинина, 3а
420029, а/я 81

http://www.cg.ru/

Re: [Comm] OpenVPN или Openswan

[Yuri Bushmelev]

В сообщении от Пятница 05 сентября 2008 Натфуллин Аяз написал(a):
> Всем доброго времени суток!
> Кто может сказать, что лучше использовать для организации VPN?
> Есть один центральный офис, 7 филиалов и несколько ноутбуков с Windows
> Vista. Между собой связь не нужна. Необходим доступ только от филиалов и
> буков к центру. В центре есть Web-портал, терминальный сервер (RDP),
> почтовый сервер SMTP.
> Какие мнения?

Здесь чистая теория, поскольку на Linux vpn-терминаторов еще не поднимал.

Я бы сейчас ориентировался на pptp/l2tp. Первый проще в поднятии (poptop 
установить и опции для pppd настроить), но глючнее на хреновых линках. 
Второй - круче и стабильнее, но есть нюанс с виндой - она по умолчанию 
считает, что l2tp без ipsec не бывает. Обычно лечат правкой реестра и 
отрыванием ipsec. С другой стороны, наверное, можно и ipsec нагнуть нужным 
образом, чтобы винда смогла его увидеть.. Сам l2tp-сервер не поднимал, есть 
только клиент на FreeBSD (домашний шлюз в корбину по нему ходит).

[OFFTOP]
Просто, обычно я такие вещи делал на FreeBSD, там есть один универсальный 
ответ "mpd5 из портов". Есть две живых конторы, сотрудники которых имеют 
возможность ходить в офис по pptp c mppe (пока без mppc, лень ядерный 
модуль тестировать).

-- 
С уважением,
Бушмелев Юрий

Re: [Comm] OpenVPN или Openswan

[Vladimir Elizarov]

Натфуллин Аяз пишет:
> Всем доброго времени суток!
> Кто может сказать, что лучше использовать для организации VPN?
> Есть один центральный офис, 7 филиалов и несколько ноутбуков с Windows Vista. 
> Между собой связь не нужна. Необходим доступ только от филиалов и буков к 
> центру. В центре есть Web-портал, терминальный сервер (RDP), почтовый сервер 
> SMTP.
> Какие мнения?
> Спасибо.
> 
Использую OpenVPN для трех офисов + клиенты на linux, windows xp pro,
windows vista. Документация на русском достаточно (рекомендую:
http://xgu.ru/wiki/Openvpn)

Используется для терминалки (RDP), jabber, smb.

Была только одна проблема, что один и тот же клиентский сертификат не
хотел работать на linux и windows. Уже не помню как это поборол, вроде
бы неправильно создал сертификаты.

Re: [Comm] OpenVPN или Openswan

[Anton Farygin]

Натфуллин Аяз пишет:
> Всем доброго времени суток!
> Кто может сказать, что лучше использовать для организации VPN?
> Есть один центральный офис, 7 филиалов и несколько ноутбуков с Windows Vista. 
> Между собой связь не нужна. Необходим доступ только от филиалов и буков к 
> центру. В центре есть Web-портал, терминальный сервер (RDP), почтовый сервер 
> SMTP.
> Какие мнения?

openvpn у меня поднят и работает почти без нареканий.

"Почти" - это довольно высокая нагрузка на CPU на слабом сервере.

Re: [Comm] OpenVPN или Openswan

[Натфуллин Аяз]

В сообщении от Monday 08 September 2008 16:12:30 Anton Farygin написал(а):

> openvpn у меня поднят и работает почти без нареканий.
>
> "Почти" - это довольно высокая нагрузка на CPU на слабом сервере.

Сколько подключений и примерная конфигурация сервера?

-- 
С уважением, инженер отдела ИИС ООО «Центр»
Натфуллин Аяз Ильдусович
natfullin@cg.ru
(843) 533-88-00
вн. 1813

Российская Федерация
Казань, ул. Зинина, 3а
420029, а/я 81

http://www.cg.ru/

Re: [Comm] OpenVPN или Openswan

[altlinux]

прочти
http://forum.ixbt.com/topic.cgi?id=14:40906 тут много что есть.
Вообще очень классная вещь OpenVPN
> Всем доброго времени суток!
> Кто может сказать, что лучше использовать для организации VPN?
> Есть один центральный офис, 7 филиалов и несколько ноутбуков с Windows Vista. 
> Между собой связь не нужна. Необходим доступ только от филиалов и буков к 
> центру. В центре есть Web-портал, терминальный сервер (RDP), почтовый сервер 
> SMTP.
> Какие мнения?
> Спасибо.
>
>   

Re: [Comm] OpenVPN или Openswan

[Pavel]

> "Почти" - это довольно высокая нагрузка на CPU на слабом сервере.
Используются сертификаты или статические ключи?

-- 
Best regards, Pavel
mail/xmpp: p2n-at-ya-dot-ru

Re: [Comm] OpenVPN или Openswan

[Anton Farygin]

Pavel пишет:
>> "Почти" - это довольно высокая нагрузка на CPU на слабом сервере.
> Используются сертификаты или статические ключи?

Статические ключи.

Re: [Comm] OpenVPN или Openswan

[Anton Farygin]

Натфуллин Аяз пишет:
> В сообщении от Monday 08 September 2008 16:12:30 Anton Farygin написал(а):
> 
>> openvpn у меня поднят и работает почти без нареканий.
>>
>> "Почти" - это довольно высокая нагрузка на CPU на слабом сервере.
> 
> Сколько подключений и примерная конфигурация сервера?

Сервер - громко сказано. То, что тормозит - обычный старенький десктоп 
на Pentium4 1400MHz

А вот где тормозов не заметно - это Dual Xeon.

Клиентов на старой машинке мало (около 5-ти), но кушать они пытаются сто 
мегабит (у них это не получается, максимум что видел - 40 мегабит).

Во время максимальной нагрузки на сеть, естественно, CPU кушается на 99%.

Собственно, если нет потребности в высокой скорости, то openvpn весьма 
удобен.

Re: [Comm] OpenVPN или Openswan

[Натфуллин Аяз]

В сообщении от Monday 08 September 2008 22:42:29 Anton Farygin написал(а):
> Pavel пишет:
> >> "Почти" - это довольно высокая нагрузка на CPU на слабом сервере.
> >
> > Используются сертификаты или статические ключи?
>
> Статические ключи.

Это сильно сказывается на производительности?

-- 
С уважением, инженер отдела ИИС ООО «Центр»
Натфуллин Аяз Ильдусович
natfullin@cg.ru
(843) 533-88-00
вн. 1813

Российская Федерация
Казань, ул. Зинина, 3а
420029, а/я 81

http://www.cg.ru/

Re: [Comm] OpenVPN или Openswan

[Anton Farygin]

Натфуллин Аяз пишет:
> В сообщении от Monday 08 September 2008 22:42:29 Anton Farygin написал(а):
>> Pavel пишет:
>>>> "Почти" - это довольно высокая нагрузка на CPU на слабом сервере.
>>> Используются сертификаты или статические ключи?
>> Статические ключи.
> 
> Это сильно сказывается на производительности?

Не замерял.

Re: [Comm] OpenVPN или Openswan

[Натфуллин Аяз]

В сообщении от Tuesday 09 September 2008 10:08:00 Anton Farygin написал(а):
> Натфуллин Аяз пишет:
> > В сообщении от Monday 08 September 2008 22:42:29 Anton Farygin написал(а):
> >> Pavel пишет:
> >>>> "Почти" - это довольно высокая нагрузка на CPU на слабом сервере.
> >>>
> >>> Используются сертификаты или статические ключи?
> >>
> >> Статические ключи.
> >
> > Это сильно сказывается на производительности?
>
> Не замерял.
Ну хотя бы в теории? :)

Re: [Comm] OpenVPN или Openswan

[Nikolay A. Fetisov]

On Tue, 9 Sep 2008 10:15:16 +0400
Натфуллин Аяз wrote:

> В сообщении от Tuesday 09 September 2008 10:08:00 Anton Farygin написал(а):
> > Натфуллин Аяз пишет:
> > > В сообщении от Monday 08 September 2008 22:42:29 Anton Farygin написал(а):
> > >> Pavel пишет:
> > >>>> "Почти" - это довольно высокая нагрузка на CPU на слабом сервере.
> > >>>
> > >>> Используются сертификаты или статические ключи?
> > >>
> > >> Статические ключи.
> > >
> > > Это сильно сказывается на производительности?
> >
> > Не замерял.
> Ну хотя бы в теории? :)

В теории на производительность влияет выбранный алгоритм шифрования.

Для статических ключей по-умолчанию используется Blowfish-CBC,
возможные варианты можно посмотреть как 'openvpn --show-ciphers'.

Выбрать алгоритм шифрования можно параметром cipher, размер ключа -
параметром 'keysize'.


При использовании сертификатов и TLS алгоритм шифрования выбирается при
установлении соединения. Возможные варианты можно посмотреть через
'openvpn --show-tls', и сократить перечень используемых алгоритмов
через параметр tls-cipher.

Ну а представление о скорости работы тех или иных алгоритмов на
конкретных системах может дать 'openssl speed'.

-- 
С уважением,
Николай Фетисов

Re: [Comm] OpenVPN или Openswan

[Michael Shigorin]

On Tue, Sep 09, 2008 at 10:46:08AM +0400, Nikolay A. Fetisov wrote:
> Ну а представление о скорости работы тех или иных алгоритмов на
> конкретных системах может дать 'openssl speed'.

Аяз, не хотите ответ на вики оформить? :)

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/