blog.monophile.net

コンピュータのこととかのメモ。

山本 一彰 | Takaaki Yamamoto

東京工業大学において計算機科学と応用数学を学び、 情報科学芸術大学院大学[IAMAS]においてメディア表現を専攻し修了。 2015年にコンビネータ論理を基に計算完備な計算手法 "論理珠算"を開発し、 それを含む体系である"算道"を構成した。 その成果により、 第19回 文化庁メディア芸術祭 アート部門 新人賞 (文部科学大臣賞) を2016年に受賞。 現在はインフラエンジニアとして生計をたててている。

技術

各種システムの設計/構築/運用を承ります。

Configuration Management Ansible, Terraform, cloud-init
Cloud Platform AWS, Azure, GCP, Openstack
Openstack Keystone, Glance, Cinder(Ceph), Neutron(VLAN), Nova(QEMU), Horizon
Virtualization QEMU+KVM, LXD/LXC, Docker
OS Ubuntu, Debian GNU/Linux, CentOS, ...
Storage Ceph, GlusterFS, ZFS, btrfs, ...
Networks Tunnel(IPSec, L2TP, VXLAN, GRE), WirelessAP, ...
DB MySQL, MariaDB(Galera Cluster), MongoDB
Mail postfix, dovecot
WebApps WordPress, GitLab, MatterMost, Redmine, RainLoop, ...
Monitoring Nagios, Munin
Misc certbot, dnsmasq, ...

技術(習得中)

Orchestration Kubernetes
Openstack swift, manila, trove
OS CoreOS(Container Linux), Vyatta(VyOS), ...
Networks IPv6, BGP(quagga, calico), flannel, fan, ...
DB/KVS Redis, etcd
Monitoring Prometheus, Zabbix
DNS CoreDNS, PowerDNS
Misc MAAS, Blockchain

投稿

socatでtapインターフェースを作成して認証も暗号化もしないVPN

概要

socatでTUN/TAPインターフェースを扱えるらしく、 UDPで転送すれば簡単なVPNが構成できそうだったので、やってみた。 認証も暗号化も行わない。 想定する環境は↓。

サーバ クライアント
OS Linux Linux
UDPで接続するIP 192.168.1.1 192.168.1.2
tap1のIP 10.0.0.1/24 10.0.0.2/24

サーバ側

サーバ側で↓を行うとUDPの1194番ポートでListenされる。

$ sudo socat udp-listen:1194,reuseaddr,range=192.168.1.2/32 tun:10.0.0.1/24,tun-type=tap,tun-name=tap1,iff-up,iff-promisc

一応↑ではrangeオプションでクライアントのIPからのみ許可するように設定しているが、 セキュリティ的にはよくはない。

そして、この段階ではまだサーバ側にはtap1インターフェースはできていないはず。

クライアント側

サーバ192.168.1.1:1194につなぎに行くように↓を行う。

$ sudo socat udp:192.168.1.1:1194 tun:10.0.0.2/24,tun-type=tap,tun-name=tap1,iff-up,iff-promisc

するとクライアント側にtap1インターフェースが作成された。

$ ip link show tap1
56: tap1: <BROADCAST,MULTICAST,PROMISC,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN mode DEFAULT group default qlen 1000
    link/ether ce:2d:c2:a5:12:f0 brd ff:ff:ff:ff:ff:ff promiscuity 1

IPアドレス10.0.0.2/24も付加されている。

$ ip addr show tap1
56: tap1: <BROADCAST,MULTICAST,PROMISC,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN group default qlen 1000
    link/ether ce:2d:c2:a5:12:f0 brd ff:ff:ff:ff:ff:ff promiscuity 1
    tun
    inet 10.0.0.2/24 brd 10.0.0.255 scope global tap1
       valid_lft forever preferred_lft forever

pingをクライアントからサーバへ打つ

この状態でpingをクライアント側からサーバ側10.0.0.1へ打ってみるとpingが返ってくる。

$ ping 10.0.0.1
PING 10.0.0.1 (10.0.0.1) 56(84) bytes of data.
64 bytes from 10.0.0.1: icmp_seq=1 ttl=64 time=2.20 ms
64 bytes from 10.0.0.1: icmp_seq=2 ttl=64 time=0.750 ms
64 bytes from 10.0.0.1: icmp_seq=3 ttl=64 time=0.748 ms

そして、サーバ側にtap1インターフェースが作成されていることがわかる↓。

$ ip addr show tap1
39: tap1: <BROADCAST,MULTICAST,PROMISC,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UNKNOWN group default qlen 1000
    link/ether ee:fe:01:71:e7:87 brd ff:ff:ff:ff:ff:ff promiscuity 1
    tun
    inet 10.0.0.1/24 brd 10.0.0.255 scope global tap1
       valid_lft forever preferred_lft forever

MTUの調整

上記で作成されたtap1インターフェースのMTUをサーバ側とクライアント側の両方で設定しておく。

Layer byte
IP 20
UDP 8
Ethernet 18

tapデバイスはイーサネットのフレームも含むため、 L3までに含まれるの各種ヘッダの量は↑である。 したがって、VPNを張りたい経路のMTUが1500の場合、 tap1に設定されるべきMTUは(1500 - 20 - 8 - 18) => 1454と計算できる。

$ sudo ip link set dev tap1 mtu 1454

備考

TUN/TAPのうちTAPにしたかったのは仮想ブリッジに接続したかったからだが、 仮想ブリッジの作成まで記事に含めるのは冗長な気がしたので、 tap1インターフェースに直接IPを振った。

ちなみに、socatはopensslも使えるため暗号化できそうだが、 残念ながらTCPをバインドしてしまって、UDPでは不可能だった。 一方で、openssl s_serverでDTLSを指定するとUDPをバインドすることは確認できたので、 そのうちsocatも対応してくれそうな気がする。

参考