Einleitung Tinc Ende. Tinc VPN-Daemon. Alternative zu OpenVPN & Co. für dezentrale Netze. Dominik George. OpenRheinRuhr 2013, Oberhausen

Transkript

1 Begrüßung Tinc VPN-Daemon Alternative zu OpenVPN & Co. für dezentrale Netze Dominik George OpenRheinRuhr 2013, Oberhausen 9. November / 17

2 Begrüßung Dominik George (Nik, Natureshadow) 23 Jahre alt Student (Anglistik. Informatik, Elektrotechnik) Informatik-Projektlehrer an der Sekundarschule Organisation des Kinderund Jugendprogramms der FrOSCon Routinemäßiger Konferenz-Besucher und -Mitmacher 2 / 17

3 Begrüßung Inhalt 1 Einleitung Begrüßung VPN allgemein 2 Tinc Eigenschaften des Tinc VPN-Daemons Einrichtung eines Beispiel-Netzes Mesh Routing und Erweiterbarkeit 3 Ende Where to go from here... Dank 3 / 17

4 VPN allgemein Was ist VPN? Virtual Private Network Sichere Verbindungen über unsichere Netzwerke Meistens wird entweder IP oder Ethernet getunnelt Einsatzzwecke: Authentifizierter Netzzugang zum LAN Sichere Route ins Internet Verbindung von LAN-Segmenten / Standorten 4 / 17

5 VPN allgemein Was ist VPN? Virtual Private Network Sichere Verbindungen über unsichere Netzwerke Meistens wird entweder IP oder Ethernet getunnelt Einsatzzwecke: Authentifizierter Netzzugang zum LAN Sichere Route ins Internet Verbindung von LAN-Segmenten / Standorten 4 / 17

6 VPN allgemein Was ist VPN? Virtual Private Network Sichere Verbindungen über unsichere Netzwerke Meistens wird entweder IP oder Ethernet getunnelt Einsatzzwecke: Authentifizierter Netzzugang zum LAN Sichere Route ins Internet Verbindung von LAN-Segmenten / Standorten 4 / 17

7 VPN allgemein Was ist VPN? Virtual Private Network Sichere Verbindungen über unsichere Netzwerke Meistens wird entweder IP oder Ethernet getunnelt Einsatzzwecke: Authentifizierter Netzzugang zum LAN Sichere Route ins Internet Verbindung von LAN-Segmenten / Standorten 4 / 17

8 VPN allgemein Was ist VPN? Virtual Private Network Sichere Verbindungen über unsichere Netzwerke Meistens wird entweder IP oder Ethernet getunnelt Einsatzzwecke: Authentifizierter Netzzugang zum LAN Sichere Route ins Internet Verbindung von LAN-Segmenten / Standorten 4 / 17

9 VPN allgemein Was ist VPN? Virtual Private Network Sichere Verbindungen über unsichere Netzwerke Meistens wird entweder IP oder Ethernet getunnelt Einsatzzwecke: Authentifizierter Netzzugang zum LAN Sichere Route ins Internet Verbindung von LAN-Segmenten / Standorten 4 / 17

10 VPN allgemein Was ist VPN? Virtual Private Network Sichere Verbindungen über unsichere Netzwerke Meistens wird entweder IP oder Ethernet getunnelt Einsatzzwecke: Authentifizierter Netzzugang zum LAN Sichere Route ins Internet Verbindung von LAN-Segmenten / Standorten 4 / 17

11 VPN allgemein Einige bekannte VPN-Lösungen OpenVPN IPsec / L2TP PPTP / GRE Hamachi 5 / 17

12 Eigenschaften des Tinc VPN-Daemons Kerneigenschaften von Tinc Frei und offen Verschlüsselung, Authentifikation und Kompression Mesh-Routing Leicht erweiterbar / skalierbar Switch- (Bridge) und Router-Modus (Layer 2 / 3) Portierbar 6 / 17

13 Eigenschaften des Tinc VPN-Daemons Kerneigenschaften von Tinc Frei und offen Verschlüsselung, Authentifikation und Kompression Mesh-Routing Leicht erweiterbar / skalierbar Switch- (Bridge) und Router-Modus (Layer 2 / 3) Portierbar 6 / 17

14 Eigenschaften des Tinc VPN-Daemons Kerneigenschaften von Tinc Frei und offen Verschlüsselung, Authentifikation und Kompression Mesh-Routing Leicht erweiterbar / skalierbar Switch- (Bridge) und Router-Modus (Layer 2 / 3) Portierbar 6 / 17

15 Eigenschaften des Tinc VPN-Daemons Kerneigenschaften von Tinc Frei und offen Verschlüsselung, Authentifikation und Kompression Mesh-Routing Leicht erweiterbar / skalierbar Switch- (Bridge) und Router-Modus (Layer 2 / 3) Portierbar 6 / 17

16 Eigenschaften des Tinc VPN-Daemons Kerneigenschaften von Tinc Frei und offen Verschlüsselung, Authentifikation und Kompression Mesh-Routing Leicht erweiterbar / skalierbar Switch- (Bridge) und Router-Modus (Layer 2 / 3) Portierbar 6 / 17

17 Eigenschaften des Tinc VPN-Daemons Kerneigenschaften von Tinc Frei und offen Verschlüsselung, Authentifikation und Kompression Mesh-Routing Leicht erweiterbar / skalierbar Switch- (Bridge) und Router-Modus (Layer 2 / 3) Portierbar 6 / 17

18 Eigenschaften des Tinc VPN-Daemons Unterschiede zu klassischen VPN-Lösungen Kein zentraler Server notwendig Keine zentrale Schlüsselverwaltung notwendig Sehr einfache, kompakte Konfiguration 7 / 17

19 Eigenschaften des Tinc VPN-Daemons Unterschiede zu klassischen VPN-Lösungen Kein zentraler Server notwendig Keine zentrale Schlüsselverwaltung notwendig Sehr einfache, kompakte Konfiguration 7 / 17

20 Eigenschaften des Tinc VPN-Daemons Unterschiede zu klassischen VPN-Lösungen Kein zentraler Server notwendig Keine zentrale Schlüsselverwaltung notwendig Sehr einfache, kompakte Konfiguration 7 / 17

21 Einrichtung eines Beispiel-Netzes Einrichtung eines Beispiel-Netzes Zweit-einfachstes Netzwerk aus 3 Hosts, mit einer Server-Rolle: sun - Logischer Server pluto - Netzwerkknoten 1 merkur - Netzwerkknoten 2 IP-Adresse des Servers: IP-Netz des VPNs: /24 VPN-Modus: Layer 2 (Ethernet) Netzwerkname: netz Wichtig: Die Rolle des Servers spielt für Tinc keine Rolle. Wir nutzen sie nur, um einen Host mit einer festen, bekannten Adresse zu haben. Wir gehen davon aus, dass die IP-Konfiguration der Interfaces schon erledigt ist und auf allen Hosts tinc installiert ist. 8 / 17

22 Einrichtung eines Beispiel-Netzes Einrichtung eines Beispiel-Netzes Zweit-einfachstes Netzwerk aus 3 Hosts, mit einer Server-Rolle: sun - Logischer Server pluto - Netzwerkknoten 1 merkur - Netzwerkknoten 2 IP-Adresse des Servers: IP-Netz des VPNs: /24 VPN-Modus: Layer 2 (Ethernet) Netzwerkname: netz Wichtig: Die Rolle des Servers spielt für Tinc keine Rolle. Wir nutzen sie nur, um einen Host mit einer festen, bekannten Adresse zu haben. Wir gehen davon aus, dass die IP-Konfiguration der Interfaces schon erledigt ist und auf allen Hosts tinc installiert ist. 8 / 17

23 Einrichtung eines Beispiel-Netzes Einrichtung eines Beispiel-Netzes Zweit-einfachstes Netzwerk aus 3 Hosts, mit einer Server-Rolle: sun - Logischer Server pluto - Netzwerkknoten 1 merkur - Netzwerkknoten 2 IP-Adresse des Servers: IP-Netz des VPNs: /24 VPN-Modus: Layer 2 (Ethernet) Netzwerkname: netz Wichtig: Die Rolle des Servers spielt für Tinc keine Rolle. Wir nutzen sie nur, um einen Host mit einer festen, bekannten Adresse zu haben. Wir gehen davon aus, dass die IP-Konfiguration der Interfaces schon erledigt ist und auf allen Hosts tinc installiert ist. 8 / 17

24 Einrichtung eines Beispiel-Netzes Einrichtung eines Beispiel-Netzes Zweit-einfachstes Netzwerk aus 3 Hosts, mit einer Server-Rolle: sun - Logischer Server pluto - Netzwerkknoten 1 merkur - Netzwerkknoten 2 IP-Adresse des Servers: IP-Netz des VPNs: /24 VPN-Modus: Layer 2 (Ethernet) Netzwerkname: netz Wichtig: Die Rolle des Servers spielt für Tinc keine Rolle. Wir nutzen sie nur, um einen Host mit einer festen, bekannten Adresse zu haben. Wir gehen davon aus, dass die IP-Konfiguration der Interfaces schon erledigt ist und auf allen Hosts tinc installiert ist. 8 / 17

25 Einrichtung eines Beispiel-Netzes Einrichtung eines Beispiel-Netzes Zweit-einfachstes Netzwerk aus 3 Hosts, mit einer Server-Rolle: sun - Logischer Server pluto - Netzwerkknoten 1 merkur - Netzwerkknoten 2 IP-Adresse des Servers: IP-Netz des VPNs: /24 VPN-Modus: Layer 2 (Ethernet) Netzwerkname: netz Wichtig: Die Rolle des Servers spielt für Tinc keine Rolle. Wir nutzen sie nur, um einen Host mit einer festen, bekannten Adresse zu haben. Wir gehen davon aus, dass die IP-Konfiguration der Interfaces schon erledigt ist und auf allen Hosts tinc installiert ist. 8 / 17

26 Einrichtung eines Beispiel-Netzes Einrichtung eines Beispiel-Netzes Zweit-einfachstes Netzwerk aus 3 Hosts, mit einer Server-Rolle: sun - Logischer Server pluto - Netzwerkknoten 1 merkur - Netzwerkknoten 2 IP-Adresse des Servers: IP-Netz des VPNs: /24 VPN-Modus: Layer 2 (Ethernet) Netzwerkname: netz Wichtig: Die Rolle des Servers spielt für Tinc keine Rolle. Wir nutzen sie nur, um einen Host mit einer festen, bekannten Adresse zu haben. Wir gehen davon aus, dass die IP-Konfiguration der Interfaces schon erledigt ist und auf allen Hosts tinc installiert ist. 8 / 17

27 Einrichtung eines Beispiel-Netzes Einrichtung eines Beispiel-Netzes Zweit-einfachstes Netzwerk aus 3 Hosts, mit einer Server-Rolle: sun - Logischer Server pluto - Netzwerkknoten 1 merkur - Netzwerkknoten 2 IP-Adresse des Servers: IP-Netz des VPNs: /24 VPN-Modus: Layer 2 (Ethernet) Netzwerkname: netz Wichtig: Die Rolle des Servers spielt für Tinc keine Rolle. Wir nutzen sie nur, um einen Host mit einer festen, bekannten Adresse zu haben. Wir gehen davon aus, dass die IP-Konfiguration der Interfaces schon erledigt ist und auf allen Hosts tinc installiert ist. 8 / 17

28 Einrichtung eines Beispiel-Netzes Einrichtung eines Beispiel-Netzes Zweit-einfachstes Netzwerk aus 3 Hosts, mit einer Server-Rolle: sun - Logischer Server pluto - Netzwerkknoten 1 merkur - Netzwerkknoten 2 IP-Adresse des Servers: IP-Netz des VPNs: /24 VPN-Modus: Layer 2 (Ethernet) Netzwerkname: netz Wichtig: Die Rolle des Servers spielt für Tinc keine Rolle. Wir nutzen sie nur, um einen Host mit einer festen, bekannten Adresse zu haben. Wir gehen davon aus, dass die IP-Konfiguration der Interfaces schon erledigt ist und auf allen Hosts tinc installiert ist. 8 / 17

29 Einrichtung eines Beispiel-Netzes Einrichtung auf sun # cat / etc / tinc / netz / tinc. conf Mode = switch Name = sun Interface = tap0 # cat / etc / tinc / netz / hosts / sun Address = Subnet = / / 17

30 Einrichtung eines Beispiel-Netzes Einrichtung auf pluto # cat / etc / tinc / netz / tinc. conf Mode = switch Name = pluto Interface = tap0 ConnectTo = sun # cat / etc / tinc / netz / hosts / pluto Subnet = / / 17

31 Einrichtung eines Beispiel-Netzes Einrichtung auf merkur # cat / etc / tinc / netz / tinc. conf Mode = switch Name = merkur Interface = tap0 ConnectTo = sun # cat / etc / tinc / netz / hosts / pluto Subnet = / / 17

32 Einrichtung eines Beispiel-Netzes Erzeugung der Schlüssel Auf allen Hosts: # tinc K n netz Danach /etc/tinc/netz/hosts/* auf allen Hosts synchronisieren. 12 / 17

33 Einrichtung eines Beispiel-Netzes Fertig! 13 / 17

34 Mesh Routing und Erweiterbarkeit Funktionalität des Beispiel-Netzes Volle Ethernet-Konnektivität Authentifikation, Verschlüsselung, Kompression Mesh-Routing und mehr 14 / 17

35 Mesh Routing und Erweiterbarkeit Funktionalität des Beispiel-Netzes Volle Ethernet-Konnektivität Authentifikation, Verschlüsselung, Kompression Mesh-Routing und mehr 14 / 17

36 Mesh Routing und Erweiterbarkeit Funktionalität des Beispiel-Netzes Volle Ethernet-Konnektivität Authentifikation, Verschlüsselung, Kompression Mesh-Routing und mehr 14 / 17

37 Mesh Routing und Erweiterbarkeit Mesh-Routing und Erweiterung Neue Hosts hinzufügen ist sehr einfach Server-Verbindung (ConnectTo) ist nur ein vorgegebener, fixer Kontrollkanal Tinc findet automatisch die beste Route durch das eigene Netz von Knoten zu Knoten Wenn öffentliche Adressen von mehreren Knoten bekannt sind, werden redundante Verbindungen aufgebaut und der beste Pfad ermittelt LocalDiscovery (optional) - Tinc ermittelt per (authentifiziertem) Broadcast, ob Knoten im selben darunterliegenden LAN erreichbar sind (Beispiel: Notebooks im selben WLAN) und baut dann automatisch direkte Verbindungen auf. 15 / 17

38 Mesh Routing und Erweiterbarkeit Mesh-Routing und Erweiterung Neue Hosts hinzufügen ist sehr einfach Server-Verbindung (ConnectTo) ist nur ein vorgegebener, fixer Kontrollkanal Tinc findet automatisch die beste Route durch das eigene Netz von Knoten zu Knoten Wenn öffentliche Adressen von mehreren Knoten bekannt sind, werden redundante Verbindungen aufgebaut und der beste Pfad ermittelt LocalDiscovery (optional) - Tinc ermittelt per (authentifiziertem) Broadcast, ob Knoten im selben darunterliegenden LAN erreichbar sind (Beispiel: Notebooks im selben WLAN) und baut dann automatisch direkte Verbindungen auf. 15 / 17

39 Mesh Routing und Erweiterbarkeit Mesh-Routing und Erweiterung Neue Hosts hinzufügen ist sehr einfach Server-Verbindung (ConnectTo) ist nur ein vorgegebener, fixer Kontrollkanal Tinc findet automatisch die beste Route durch das eigene Netz von Knoten zu Knoten Wenn öffentliche Adressen von mehreren Knoten bekannt sind, werden redundante Verbindungen aufgebaut und der beste Pfad ermittelt LocalDiscovery (optional) - Tinc ermittelt per (authentifiziertem) Broadcast, ob Knoten im selben darunterliegenden LAN erreichbar sind (Beispiel: Notebooks im selben WLAN) und baut dann automatisch direkte Verbindungen auf. 15 / 17

40 Mesh Routing und Erweiterbarkeit Mesh-Routing und Erweiterung Neue Hosts hinzufügen ist sehr einfach Server-Verbindung (ConnectTo) ist nur ein vorgegebener, fixer Kontrollkanal Tinc findet automatisch die beste Route durch das eigene Netz von Knoten zu Knoten Wenn öffentliche Adressen von mehreren Knoten bekannt sind, werden redundante Verbindungen aufgebaut und der beste Pfad ermittelt LocalDiscovery (optional) - Tinc ermittelt per (authentifiziertem) Broadcast, ob Knoten im selben darunterliegenden LAN erreichbar sind (Beispiel: Notebooks im selben WLAN) und baut dann automatisch direkte Verbindungen auf. 15 / 17

41 Mesh Routing und Erweiterbarkeit Mesh-Routing und Erweiterung Neue Hosts hinzufügen ist sehr einfach Server-Verbindung (ConnectTo) ist nur ein vorgegebener, fixer Kontrollkanal Tinc findet automatisch die beste Route durch das eigene Netz von Knoten zu Knoten Wenn öffentliche Adressen von mehreren Knoten bekannt sind, werden redundante Verbindungen aufgebaut und der beste Pfad ermittelt LocalDiscovery (optional) - Tinc ermittelt per (authentifiziertem) Broadcast, ob Knoten im selben darunterliegenden LAN erreichbar sind (Beispiel: Notebooks im selben WLAN) und baut dann automatisch direkte Verbindungen auf. 15 / 17

42 Where to go from here... Weitere Features, die interessant sind Einladungen - neue Hosts per / URL mit einem Kommando ins VPN einladen Local Discovery - Hosts und Pfade im selben Lan finden Router-Mode (Layer 3) Tunnel-Server - traditionelles, zentralisiertes VPN Betrieb mit sslh (z.b. auf Port 443) Hook-Scripts (-up, -down,...) 16 / 17

43 Where to go from here... Weitere Features, die interessant sind Einladungen - neue Hosts per / URL mit einem Kommando ins VPN einladen Local Discovery - Hosts und Pfade im selben Lan finden Router-Mode (Layer 3) Tunnel-Server - traditionelles, zentralisiertes VPN Betrieb mit sslh (z.b. auf Port 443) Hook-Scripts (-up, -down,...) 16 / 17

44 Where to go from here... Weitere Features, die interessant sind Einladungen - neue Hosts per / URL mit einem Kommando ins VPN einladen Local Discovery - Hosts und Pfade im selben Lan finden Router-Mode (Layer 3) Tunnel-Server - traditionelles, zentralisiertes VPN Betrieb mit sslh (z.b. auf Port 443) Hook-Scripts (-up, -down,...) 16 / 17

45 Where to go from here... Weitere Features, die interessant sind Einladungen - neue Hosts per / URL mit einem Kommando ins VPN einladen Local Discovery - Hosts und Pfade im selben Lan finden Router-Mode (Layer 3) Tunnel-Server - traditionelles, zentralisiertes VPN Betrieb mit sslh (z.b. auf Port 443) Hook-Scripts (-up, -down,...) 16 / 17

46 Where to go from here... Weitere Features, die interessant sind Einladungen - neue Hosts per / URL mit einem Kommando ins VPN einladen Local Discovery - Hosts und Pfade im selben Lan finden Router-Mode (Layer 3) Tunnel-Server - traditionelles, zentralisiertes VPN Betrieb mit sslh (z.b. auf Port 443) Hook-Scripts (-up, -down,...) 16 / 17

47 Where to go from here... Weitere Features, die interessant sind Einladungen - neue Hosts per / URL mit einem Kommando ins VPN einladen Local Discovery - Hosts und Pfade im selben Lan finden Router-Mode (Layer 3) Tunnel-Server - traditionelles, zentralisiertes VPN Betrieb mit sslh (z.b. auf Port 443) Hook-Scripts (-up, -down,...) 16 / 17

48 Dank Vielen Dank für eure Teilnahme! Für weitere Fragen, Anregungen, etc.: Website: / Jabber: nik@naturalnet.de Lizenz der Folien: CC-BY-SA / 17