Comments on: Montar una VPN full-mesh con tinc http://www.julianmenendez.es/vpn-full-mesh-tinc/ Blog personal sobre asterisk, linux y todo lo demás Fri, 18 May 2012 14:24:33 +0000 http://wordpress.org/?v=2.3.3 By: Ramses http://www.julianmenendez.es/vpn-full-mesh-tinc/#comment-19576 Ramses Sun, 08 Nov 2009 10:46:39 +0000 http://www.julianmenendez.es/vpn-full-mesh-tinc/#comment-19576 Ok, Julián, si crees que puede ayudar a alguien, por mi no hay inconveniente, además, como vamos a medias en la info que va dentro del documento... ;-) Además, si quieres, cuando pruebe la versión nueva del Tinc en los routers, si podemos tener, también se puede meter en el documento y lo acabamos de completar. Saludos y gracias, Ramses Ok, Julián, si crees que puede ayudar a alguien, por mi no hay inconveniente, además, como vamos a medias en la info que va dentro del documento… ;-)

Además, si quieres, cuando pruebe la versión nueva del Tinc en los routers, si podemos tener, también se puede meter en el documento y lo acabamos de completar.

Saludos y gracias,

Ramses

]]> By: julianjm http://www.julianmenendez.es/vpn-full-mesh-tinc/#comment-19572 julianjm Fri, 06 Nov 2009 23:05:48 +0000 http://www.julianmenendez.es/vpn-full-mesh-tinc/#comment-19572 Hola Ramses.. Perdona el retraso ;) He visto el documento, y tiene muy buena pinta.. Si quiere lo cuelgo o lo enlazo en este post. Julián. Hola Ramses..

Perdona el retraso ;)

He visto el documento, y tiene muy buena pinta.. Si quiere lo cuelgo o lo enlazo en este post.

Julián.

]]> By: Ramses http://www.julianmenendez.es/vpn-full-mesh-tinc/#comment-19571 Ramses Fri, 06 Nov 2009 20:02:27 +0000 http://www.julianmenendez.es/vpn-full-mesh-tinc/#comment-19571 Sorry, es la Tinc v.1.0.11 Saludos de nuevo, Ramses Sorry, es la Tinc v.1.0.11

Saludos de nuevo,

Ramses

]]> By: Ramses http://www.julianmenendez.es/vpn-full-mesh-tinc/#comment-19570 Ramses Fri, 06 Nov 2009 20:01:21 +0000 http://www.julianmenendez.es/vpn-full-mesh-tinc/#comment-19570 Julián, muy buenas, ¿Habría alguna forma de conseguir la última versión de Tinc 1.0.10 en formato ipkg para probarlo en los routers? Lo digo por probar las últimas versiones... P.D.: Ya cumplí con lo que te prometí... ;-) Saludos, Ramses Julián, muy buenas,

¿Habría alguna forma de conseguir la última versión de Tinc 1.0.10 en formato ipkg para probarlo en los routers?

Lo digo por probar las últimas versiones…

P.D.: Ya cumplí con lo que te prometí… ;-)

Saludos,

Ramses

]]> By: julianjm http://www.julianmenendez.es/vpn-full-mesh-tinc/#comment-19487 julianjm Thu, 22 Oct 2009 20:57:07 +0000 http://www.julianmenendez.es/vpn-full-mesh-tinc/#comment-19487 Respecto a la red... La VPN en gneral será una red /16, es decir 192.168.*.*. Cada sede será una red de clase C: p.ej. 192.168.5.* Del enrutamiento se encarga el demonio tinc... ya que cada nodo sabe qué subredes controlan el resto. Y respecto a los ficheros de claves, la clave privada (rsa_key.priv) se queda en el nodo donde se generó. Y la pública es la que va en hosts/NODOX, junto con su configuración. Es ese fichero, hosts/NODOX, el que luego replicas al resto de nodos, para que se conozcan entre sí. Julián. Respecto a la red… La VPN en gneral será una red /16, es decir 192.168.*.*.

Cada sede será una red de clase C: p.ej. 192.168.5.*

Del enrutamiento se encarga el demonio tinc… ya que cada nodo sabe qué subredes controlan el resto.

Y respecto a los ficheros de claves, la clave privada (rsa_key.priv) se queda en el nodo donde se generó. Y la pública es la que va en hosts/NODOX, junto con su configuración. Es ese fichero, hosts/NODOX, el que luego replicas al resto de nodos, para que se conozcan entre sí.

Julián.

]]> By: Ramses http://www.julianmenendez.es/vpn-full-mesh-tinc/#comment-19486 Ramses Thu, 22 Oct 2009 20:13:41 +0000 http://www.julianmenendez.es/vpn-full-mesh-tinc/#comment-19486 Julián, otra duda, ¿Con los ficheros de claves publicas y privadas no hay que hacer nada con ellos?, ¿no hay que cruzarlos entre las sedes?, ¿en algún directorio?. P. D.: Je, je, te prometo que cuando acabe te paso todas las anotaciones/joutu de la instalación con la versión que estoy montando... ;-) Saludos y gracias, Ramses Julián, otra duda,

¿Con los ficheros de claves publicas y privadas no hay que hacer nada con ellos?, ¿no hay que cruzarlos entre las sedes?, ¿en algún directorio?.

P. D.: Je, je, te prometo que cuando acabe te paso todas las anotaciones/joutu de la instalación con la versión que estoy montando… ;-)

Saludos y gracias,

Ramses

]]> By: Ramses http://www.julianmenendez.es/vpn-full-mesh-tinc/#comment-19485 Ramses Thu, 22 Oct 2009 19:05:48 +0000 http://www.julianmenendez.es/vpn-full-mesh-tinc/#comment-19485 Julian, buenas tardes, Una duda: - En la creación del interface tun pones máscara 16 en vez de 24, ¿se te ha ido la mano o es así por algún motivo? Saludos y gracias, Ramses Julian, buenas tardes,

Una duda:

- En la creación del interface tun pones máscara 16 en vez de 24, ¿se te ha ido la mano o es así por algún motivo?

Saludos y gracias,

Ramses

]]> By: Ramses http://www.julianmenendez.es/vpn-full-mesh-tinc/#comment-19482 Ramses Thu, 22 Oct 2009 11:02:40 +0000 http://www.julianmenendez.es/vpn-full-mesh-tinc/#comment-19482 Ok, muchas gracias. Ramses Ok, muchas gracias.

Ramses

]]> By: julianjm http://www.julianmenendez.es/vpn-full-mesh-tinc/#comment-19481 julianjm Thu, 22 Oct 2009 10:47:04 +0000 http://www.julianmenendez.es/vpn-full-mesh-tinc/#comment-19481 Sí, lo volvería a montar igual, principalmente porque no me ha dado ningún problema (salvo algún cuelgue puntual, causado por un bug corregido y la escasa memoria de los wrt54g). Y más aún si hay previsión de que puedan añadir más nodos a la red ;) No he investigado sobre el tema desde que hice este post, así que no se si hay nuevos productos que soporten conexiones directas entre nodos ;) Julián. Sí, lo volvería a montar igual, principalmente porque no me ha dado ningún problema (salvo algún cuelgue puntual, causado por un bug corregido y la escasa memoria de los wrt54g).

Y más aún si hay previsión de que puedan añadir más nodos a la red ;)

No he investigado sobre el tema desde que hice este post, así que no se si hay nuevos productos que soporten conexiones directas entre nodos ;)

Julián.

]]> By: Ramses http://www.julianmenendez.es/vpn-full-mesh-tinc/#comment-19480 Ramses Thu, 22 Oct 2009 10:40:55 +0000 http://www.julianmenendez.es/vpn-full-mesh-tinc/#comment-19480 Julián, buenas de nuevo, Si montado está, el tema es que está a "guevo" por Internet y lo que quiero es meterlo sobre una VPN, por eso lo de TINC, ¿entiendes?. Claro, si monto un centro de estrella, te he puesto un ejemplo con los Asterisk, las comunicaciones del centro tendrían que ser bastante más gordas si se accede a recursos distribuidos que si solo se accediera a recursos que se encuentren en el punto central... Ahora son 3, pero en un futuro próximo se parecerá mucho a lo que tú montaste. La duda es más, como el artículo es de bastante atrás, si ahora volverías a usar Tinc para montar esa historia o habías cambiado tu confianza a otro producto. ;-) Saludos y gracis, Ramses Julián, buenas de nuevo,

Si montado está, el tema es que está a “guevo” por Internet y lo que quiero es meterlo sobre una VPN, por eso lo de TINC, ¿entiendes?.

Claro, si monto un centro de estrella, te he puesto un ejemplo con los Asterisk, las comunicaciones del centro tendrían que ser bastante más gordas si se accede a recursos distribuidos que si solo se accediera a recursos que se encuentren en el punto central…

Ahora son 3, pero en un futuro próximo se parecerá mucho a lo que tú montaste.

La duda es más, como el artículo es de bastante atrás, si ahora volverías a usar Tinc para montar esa historia o habías cambiado tu confianza a otro producto. ;-)

Saludos y gracis,

Ramses

]]> By: julianjm http://www.julianmenendez.es/vpn-full-mesh-tinc/#comment-19478 julianjm Thu, 22 Oct 2009 08:59:38 +0000 http://www.julianmenendez.es/vpn-full-mesh-tinc/#comment-19478 Si tienes 3 oficinas, con un asterisk en cada una, unidos por iax2, creo que activando transfer=yes, la trama IAX irá entre las dos centralitas implicadas. Habría que comprobarlo, y no se si funcionaría también con iax trunking. Pregunta en asterisk-es a ver ;) La VPN solo te haría falta para encriptar las comunicaciones, y podría añadirse posteriormente. Julian. Si tienes 3 oficinas, con un asterisk en cada una, unidos por iax2, creo que activando transfer=yes, la trama IAX irá entre las dos centralitas implicadas. Habría que comprobarlo, y no se si funcionaría también con iax trunking. Pregunta en asterisk-es a ver ;)

La VPN solo te haría falta para encriptar las comunicaciones, y podría añadirse posteriormente.

Julian.

]]> By: Ramses http://www.julianmenendez.es/vpn-full-mesh-tinc/#comment-19477 Ramses Thu, 22 Oct 2009 08:45:02 +0000 http://www.julianmenendez.es/vpn-full-mesh-tinc/#comment-19477 Julián, gracias por responder. Creo que lo que me has contestado es teniendo en cuenta que hubiese un único Asterisk, ¿no?. Pero yo te planteaba que en cada sede hay un Asterisk y con sus trunks IAX2 pertinentes a los otros. ¿Tirarías con Tinc? Saludos y gracias, Ramses Julián, gracias por responder.

Creo que lo que me has contestado es teniendo en cuenta que hubiese un único Asterisk, ¿no?.

Pero yo te planteaba que en cada sede hay un Asterisk y con sus trunks IAX2 pertinentes a los otros.

¿Tirarías con Tinc?

Saludos y gracias,

Ramses

]]> By: julianjm http://www.julianmenendez.es/vpn-full-mesh-tinc/#comment-19476 julianjm Thu, 22 Oct 2009 08:06:07 +0000 http://www.julianmenendez.es/vpn-full-mesh-tinc/#comment-19476 Hola Ramses... Si trabajamos con IP's locales, con un servidor VPN centralizado (tipo openvpn), efectivamente, el stream RTP pasaría sí o sí por el servidor VPN/asterisk, da igual cómo esté configurados los parámetros "canreinvite" y "nat". Si son pocas oficinas, siempre puedes poner enlaces punto a punto con openvpn entre cada par de sedes... aunque cada una que añadas, se incrementará exponencialmente la complejidad ;) Con tinc, si asterisk está bien configurado, el RTP se enrutará directamente de sede a sede, sin pasar por el servidor central. Por supuesto, no puedes grabar las llamadas, ni utilizar ninguna opción que necesite acceder al stream de RTP... ni siquiera escuchar DTMF (salvo que uses sIP INFO). Julian. Hola Ramses…

Si trabajamos con IP’s locales, con un servidor VPN centralizado (tipo openvpn), efectivamente, el stream RTP pasaría sí o sí por el servidor VPN/asterisk, da igual cómo esté configurados los parámetros “canreinvite” y “nat”.
Si son pocas oficinas, siempre puedes poner enlaces punto a punto con openvpn entre cada par de sedes… aunque cada una que añadas, se incrementará exponencialmente la complejidad ;)

Con tinc, si asterisk está bien configurado, el RTP se enrutará directamente de sede a sede, sin pasar por el servidor central.
Por supuesto, no puedes grabar las llamadas, ni utilizar ninguna opción que necesite acceder al stream de RTP… ni siquiera escuchar DTMF (salvo que uses sIP INFO).

Julian.

]]> By: Ramses http://www.julianmenendez.es/vpn-full-mesh-tinc/#comment-19454 Ramses Mon, 19 Oct 2009 12:08:02 +0000 http://www.julianmenendez.es/vpn-full-mesh-tinc/#comment-19454 Julián, muy buenas, Pero pongamos por ejemplo que tienes un Asterisk en cada una de las sedes. Para hablar o transferirse llamadas entre ellas, si tenemos un VPN Server único, tendrían que bajar la llamadas hasta ese y a continuación ir al Asterisk que corresponda. ¿No ves mejor opción la de Tinc que planteabas?. Parece que el proyecto se esta volviendo a mover... Saludos y gracias, Ramses Julián, muy buenas,

Pero pongamos por ejemplo que tienes un Asterisk en cada una de las sedes.

Para hablar o transferirse llamadas entre ellas, si tenemos un VPN Server único, tendrían que bajar la llamadas hasta ese y a continuación ir al Asterisk que corresponda. ¿No ves mejor opción la de Tinc que planteabas?.

Parece que el proyecto se esta volviendo a mover…

Saludos y gracias,

Ramses

]]> By: julianjm http://www.julianmenendez.es/vpn-full-mesh-tinc/#comment-19453 julianjm Mon, 19 Oct 2009 11:50:21 +0000 http://www.julianmenendez.es/vpn-full-mesh-tinc/#comment-19453 Hola Ramses, Yo sigo con la instalación por la que hice el post, y de momento sin queja. Es una VPN de 6 nodos, 4 de ellos en routers WRT54 con OpenWRT... Alguna vez he tenido problema de memoria (tienen muy poca estos cacharros), pero parece ser que ya está solucionado en la última versión. Si no es un problema que todo el tráfico pase por el servidor (a modo de estrella), yo tiraría por openVPN. Si esto es inviable, Tinc. Julián. Hola Ramses,

Yo sigo con la instalación por la que hice el post, y de momento sin queja.

Es una VPN de 6 nodos, 4 de ellos en routers WRT54 con OpenWRT… Alguna vez he tenido problema de memoria (tienen muy poca estos cacharros), pero parece ser que ya está solucionado en la última versión.

Si no es un problema que todo el tráfico pase por el servidor (a modo de estrella), yo tiraría por openVPN. Si esto es inviable, Tinc.

Julián.

]]> By: Ramses http://www.julianmenendez.es/vpn-full-mesh-tinc/#comment-19447 Ramses Sun, 18 Oct 2009 15:42:12 +0000 http://www.julianmenendez.es/vpn-full-mesh-tinc/#comment-19447 Julián, buenas tardes, Hace tiempo comentaste algo sobre Tinc en la lista de Asterisk y ahora estoy viendo la posibilidad de implantar una VPN full-mesh. Bien, he estado leyendo el articulo y sus comentarios, pero parece que hace bastante tiempo que no se mueve y me surgen algunas dudas en si usarlo o no… ¿Sigues recomendando y usando TINC frente a otras soluciones como OpenVPN o …? Saludos, Ramses Julián, buenas tardes,

Hace tiempo comentaste algo sobre Tinc en la lista de Asterisk y ahora estoy viendo la posibilidad de implantar una VPN full-mesh.

Bien, he estado leyendo el articulo y sus comentarios, pero parece que hace bastante tiempo que no se mueve y me surgen algunas dudas en si usarlo o no…

¿Sigues recomendando y usando TINC frente a otras soluciones como OpenVPN o …?

Saludos,

Ramses

]]> By: Ramses http://www.julianmenendez.es/vpn-full-mesh-tinc/#comment-19446 Ramses Sun, 18 Oct 2009 15:40:12 +0000 http://www.julianmenendez.es/vpn-full-mesh-tinc/#comment-19446 Julián, buenas tardes, Hace tiempo comentaste algo sobre Tinc en la lista de Asterisk y ahora estoy viendo la posibilidad de implantar una VPN full-mesh. Bien, he estado leyendo el articulo y sus comentarios, pero parece que hace bastante tiempo que no se mueve y me surgen algunas dudas en si usarlo o no... ¿Sigues recomendando y usando TINC frente a otras soluciones como OpenVPN o ...? Saludos, Ramses Julián, buenas tardes,

Hace tiempo comentaste algo sobre Tinc en la lista de Asterisk y ahora estoy viendo la posibilidad de implantar una VPN full-mesh.

Bien, he estado leyendo el articulo y sus comentarios, pero parece que hace bastante tiempo que no se mueve y me surgen algunas dudas en si usarlo o no…

¿Sigues recomendando y usando TINC frente a otras soluciones como OpenVPN o …?

Saludos,

Ramses

]]> By: Cesar http://www.julianmenendez.es/vpn-full-mesh-tinc/#comment-18284 Cesar Sun, 01 Feb 2009 05:55:54 +0000 http://www.julianmenendez.es/vpn-full-mesh-tinc/#comment-18284 felicitaciones y gracias por el articulo, justo me cae del cielo por que estoy por implementar una red grande con varias sedes y estaba quebrandome el cebrero de como podia hacerlo con openvpn. bueno ya les comentare mas adelante como me fue. felicitaciones y gracias por el articulo, justo me cae del cielo por que estoy por implementar una red grande con varias sedes y estaba quebrandome el cebrero de como podia hacerlo con openvpn. bueno ya les comentare mas adelante como me fue.

]]> By: julianjm http://www.julianmenendez.es/vpn-full-mesh-tinc/#comment-17616 julianjm Thu, 20 Nov 2008 11:06:47 +0000 http://www.julianmenendez.es/vpn-full-mesh-tinc/#comment-17616 El bridge lo hace a nivel de interface, así que el bridge sería de eth0 completo (alias incluidos)... Como el bridge funciona a nivel de MACs, cuando el tincA no encuentre la MAC en una red, hará el broadcast a la otra. En principio no deberías tener problemas. El único problema que podrías tener es que al intentar acceder a la otra red a través de su IP pública, seguramente pase por la VPN, aunque habría que probar y ver cómo se comporta. De cualquier modo, es extraño cómo tienes montado los servidores. Entiendo que en el mismo segmento de red tienes conectado el router ADSL en monopuesto y la red local. Yo pondría una tarjeta de red adicional y que el equipo hiciese de router entre la red local e internet. Julian. El bridge lo hace a nivel de interface, así que el bridge sería de eth0 completo (alias incluidos)… Como el bridge funciona a nivel de MACs, cuando el tincA no encuentre la MAC en una red, hará el broadcast a la otra.

En principio no deberías tener problemas. El único problema que podrías tener es que al intentar acceder a la otra red a través de su IP pública, seguramente pase por la VPN, aunque habría que probar y ver cómo se comporta.

De cualquier modo, es extraño cómo tienes montado los servidores. Entiendo que en el mismo segmento de red tienes conectado el router ADSL en monopuesto y la red local. Yo pondría una tarjeta de red adicional y que el equipo hiciese de router entre la red local e internet.

Julian.

]]> By: sky http://www.julianmenendez.es/vpn-full-mesh-tinc/#comment-17400 sky Tue, 11 Nov 2008 22:10:45 +0000 http://www.julianmenendez.es/vpn-full-mesh-tinc/#comment-17400 Correcto, pues serian en total 20 PC, 10 por cada server... ahora tengo creo un inconveniente los server utilizan interfaces virtuales (eth0 y eth0:0)... crees que funcione igual el bridge? yo antes usaba vpn entre 2 subredes diferentes y todo ok, pero hace un tiempo llego una orientacion pues las subredes son iguales solo cambian los ip wan...creo que en esta situacion no podre lograrlo... eth0 Link encap:Ethernet HWaddr 00:30:4F:4C:50:97 inet addr:x.x.x.x Bcast:x.x.x.x Mask:255.255.255.252 eth0:0 Link encap:Ethernet HWaddr 00:30:4F:4C:50:97 inet addr:192.168.100.1 Bcast:192.168.100.255 Mask:255.255.255.0 Correcto, pues serian en total 20 PC, 10 por cada server… ahora tengo creo un inconveniente los server utilizan interfaces virtuales (eth0 y eth0:0)… crees que funcione igual el bridge? yo antes usaba vpn entre 2 subredes diferentes y todo ok, pero hace un tiempo llego una orientacion pues las subredes son iguales solo cambian los ip wan…creo que en esta situacion no podre lograrlo…

eth0 Link encap:Ethernet HWaddr 00:30:4F:4C:50:97
inet addr:x.x.x.x Bcast:x.x.x.x Mask:255.255.255.252

eth0:0 Link encap:Ethernet HWaddr 00:30:4F:4C:50:97
inet addr:192.168.100.1 Bcast:192.168.100.255 Mask:255.255.255.0

]]>