Forum général.cherche-logiciel Système de vpn redondant

Posté par  (site web personnel) .
Étiquettes :
0
6
nov.
2009
Bonjour,

J'ai crée un environnement (de labo pour l'instant) dans lequel un réseau de serveur est protégé par deux firewalls redondant. Chaque serveur et les firewalls tournent sous Debian Lenny. Les serveurs sont donc connectés à deux réseaux, le réseau de management et le réseau de production. Le management doit être joint via une adresse ip publique et donc le traffic doit passer dans un VPN.

Le VPN doit donc être absolument redondant, si il se casse la tronche, je perd la main sur mes serveurs. Je veut donc avoir un VPN sur chaque firewall. Les firewalls utilise Keepalived et conntrackd, l'un est backup et l'autre master. Le système est conçu (et testé) pour qu'on ne perde pas sa connexion en cas de changement de firewall.

Étant donné cet environnement, que me conseilleriez vous comme solution de VPN ? OpenVPN, OpenSWAN, pptpd ? Je cherche surtout maintenant à partir sur la bonne piste, aussi, si vous avez des liens vers un howto, ce serait génial.

Merci d'avance,

  • # Tout simplement.

    Posté par  . Évalué à 1.

    Pourquoi ne pas mettre en place deux serveurs VPN avec deux VPN, en utilisant (par exemple) OpenVPN? Tu places un serveur VPN sur chaque firewall, et tu mets toutes les machines sur chaque VPN.

    THIS IS JUST A PLACEHOLDER. YOU SHOULD NEVER SEE THIS STRING.

    • [^] # Re: Tout simplement.

      Posté par  . Évalué à 1.

      je plussoie, et puis tes firewall sont surement joignables en SSH au cas ou un probleme casse les vpns ... comme ça tu peux commencer par réparer les vpns :-)

      • [^] # Re: Tout simplement.

        Posté par  . Évalué à 2.

        Avec OpenVPN, tes clients (qui sont tes serveurs) peuvent choisir au hasard (ou dans l'ordre) dans une liste de serveurs. Si un serveur openvpn tombe, le client va réessayer de s'y connecter, et si ca ne remarche pas, il passera au suivant. Ou alors tu joue avec deux clients vpn par serveur, et tes deux serveurs openvpn, et du round robin dns pour un semblant de redondance, voire mieux en agrégeant les deux tunnels.

        Il existe aussi un mode de connexion avec openvpn ou l'établissement de la connexion est mutuel (ie pas besoin d'attendre le timeout pour que la connexion se relance, pas de schéma client-serveur), mais la conf sera plus barbare.

  • # Pas OpenVPN

    Posté par  . Évalué à 0.

    OpenVPN est mourant.

    Je ne confierais pas une partie aussi sensible d'une infrastructure à un projet dont la dernière release stable date de 2006, dont la release suivante est codée par un gars tout seul, et dont le bug tracker est introuvable.

  • # Sasyncd

    Posté par  (Mastodon) . Évalué à 2.

    Il existe dans les environnements BSD Sasyncd qui permet avec CARP + pfsync de rendre complètement transparent la bascule entre Firewalls ipsec…

    Je pense qu'ipsec est une bonne solution, même si sasyncd ne semble pas avoir été porté sous linux, vu ta conf, il devrait juste y avoir une renégo du tunnel lors de la bascule (c'est à tester, peut-être à forcer dans un script lancé par keepalived).

  • # http://e-x-a.org/?view=cloudvpn

    Posté par  (site web personnel) . Évalué à 1.

    Il me semble que type de VPN a déjà été discuté là :

    http://linuxfr.org/forums/41/27470.html

    A++

Suivre le flux des commentaires

Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.