Содержание
GRE-туннель
GRE (Generic Routing Encapsulation) - это один из простейших протоколов туннелирования, представляющий собой соединение узлов по принципу точка - точка.
Туннелирование - это, по сути, упаковка наших данных (например, протокол IP) в определенный пакет, который передаётся от узла-отправителя к узлу-получателю. На узле-получателе пакет распаковывается и изначальные данные продолжают свой путь.
GRE в чистом виде никак не защищен, нет никакого шифрования данных в пакете, и за счет этого данные в GRE-туннелях передаются с минимальными потерями в скорости и минимальным увеличением объема передаваемых данных.
Часто GRE используется совместно с протоколами защиты сетевого трафика, например IPSec. И это по сути представляет собой практически полноценное решение для организации виртуальных частных сетей (VPN).
Используя чистый GRE внутри Yggdrasil можно с различными целями легко строить туннели, аналогичные привычным VPN. Защита тахих туннелей будет обеспечена самим Yggdrasil, трафик в котором шифруется по-умолчанию.
Например, с помощью GRE туннеля внутри Yggdrasil можно настроить на удаленной машине шлюз в интернет. Т.е., вы на своей домашней машине с помощью Yggdrasil можете соединяться с удаленным сервером, который будет маршрутизировать ваши данные, упакованные GRE в интернет, и c точки зрения использования всё это будет происходить аналогично тому, как это происходит при установке OpenVPN-соединения или L2TP/IPSec.
Команды для создания GRE-туннеля можно вводить вручную, можно написать bash-скрипт, либо можно использовать /etc/network/interfaces (либо юнит systemd) для поднятия туннелей автоматически при загрузке системы.
Для примера:
#какие туннели уже есть в системе (если ранее не создавали, вывод команды будет пуст) ip tunnel show ip -6 tunnel show #какие интерфейсы есть в системе ifconfig -a #создание туннеля sudo ip tunnel add tun1 mode ip6gre remote 0200:xxxx:xxxx:xxxx:xxxx:xxxx:xxxx:xxxx local 0203:xxxx:xxxx:xxxx:xxxx:xxxx:xxxx:xxxx dev tun0 #активация туннеля sudo ip link set tun1 up #назначение адреса sudo ip link set dev tun1 address xxxx:xxxx:xxxx:xxxx:xxxx:xxxx:xxxx:xxxx #уничтожение туннеля sudo ip link set tun1 down sudo ip tunnel del tun1
Пример с gretap (второй уровень OSI):
sudo ip link add yggvpn0 type ip6gretap local 0200:xxxx:xxxx:xxxx:xxxx:xxxx:xxxx:xxxx remote 0203:xxxx:xxxx:xxxx:xxxx:xxxx:xxx:xxxx key 1 sudo ip link set dev yggvpn0 address xxxx:xxxx:xxxx:xxxx:xxxx:xxxx:xxxx:xxxx #удаление sudo ip link del dev yggvpn0
Не забывайте открывать доступ по протоколу GRE в iptables. Интерфейс GRE можно назначить шлюзом по-умолчанию - работа будет аналогичной VPN.
Практический пример: GRE-туннель IPv4 over IPv6
Имеем две машины: t1 и t2, соединенные посредством Yggdrasil.
| t1 | t2 | |
|---|---|---|
| Yggdrasil IPv6 | 204:f52f:7bb4:c8c2:21f9:6972:14f5:32fd | 200:862d:85a4:6b85:4fc1:55a3:fa3:7b0e |
| Доступ в интернет | Есть | Нет |
Создадим GRE-туннель и «пробросим» через него доступ в интернет для машины t2. Машины «в туннеле» будут иметь IPv4-адреса. Для доступа в интернет с t2 будем использовать NAT.
Действия на t1
Во-первых, задействуем форвардинг пакетов для того, чтобы обеспечить доступ в интернет со второй машины:
sysctl -w net.ipv4.ip_forward=1 sysctl -w net.ipv6.conf.all.forwarding=1
Чтобы эти настройки сохранились после перезагрузки в файле /etc/sysctl.conf раскомментируем:
net.ipv4.ip_forward=1 net.ipv6.conf.all.forwarding=1
Непосредственно, создание туннеля:
#создаем туннель ip tunnel add tun1 mode ip6gre remote 0200:862d:85a4:6b85:4fc1:55a3:fa3:7b0e local 0204:f52f:7bb4:c8c2:21f9:6972:14f5:32fd dev tun0 #присваиваем IPv4-адрес на интерфейс туннеля и сразу добавляем маршрут ко второму концу (10.1.1.2) через этот интерфейс ip addr add dev tun1 local 10.1.1.1 remote 10.1.1.2 #t1 будет иметь адрес 10.1.1.1, t2 - 10.1.1.2. #поднимаем туннель ip link set tun1 up
NAT c помощью iptables:
iptables -A FORWARD -i tun1 -j ACCEPT iptables -A FORWARD -o tun1 -j ACCEPT iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE ip6tables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
Действия на t2
Симметричные действия для поднятия туннеля:
ip tunnel add tun1 mode ip6gre remote 0204:f52f:7bb4:c8c2:21f9:6972:14f5:32fd local 0200:862d:85a4:6b85:4fc1:55a3:fa3:7b0e dev tun0 ip addr add dev tun1 local 10.1.1.2 remote 10.1.1.1 ip link set tun1 up
Добавим маршрут по умолчанию для доступа в интернет:
route add default gw 10.1.1.1
Примечание: если на t2 доступ в интернет уже есть и Yggdrasil на t2 подключен к публичным пирам, а вы просто настраиваете VPN c использованием Yggdrasil, необходимо будет прописать муршрут к пирам в обход туннеля, иначе соединение с ними прервётся. Пример добавления маршрута до публичного пира, в обход туннеля: sudo ip route add 62.210.85.80/32 via 192.168.1.1 dev wlo1; 62.210.85.80 - адрес публичного пира, 192.168.1.1 - адрес шлюза в интернет (домашнего роутера), wlo1 - имя интерфейса, через который подключаетесь к шлюзу.
В /etc/resolv.conf можно прописать DNS-сервер:
nameserver 8.8.8.8
На обеих машинах в iptables разрешаем GRE, если оно запрещено:
ip6tables -I INPUT -p gre -j ACCEPT
Вот, собственно, и всё.
Получили почти классическую схему VPN-сервера (в роли которого выступает t2) для доступа к ошибочно заблокированным РКН сайтам.
Кроме того, так можно обеспечить выход в интернет устройства, подключенного к Yggdrasil, например, с помощью 802.11s (Wi-Fi Mesh).
А еще, такой туннель можно использовать для коммуникации приложений, которые не поддерживают IPv6, если вы соединены только через Yggdrasil.
Примечание: читайте так же о настройке IPIP-туннеля через Yggdrasil: IPIP-туннель.
Ссылки
АйТи бубен: GRE https://wiki.dieg.info/gre
Сети для самых маленьких. Часть седьмая. VPN https://habr.com/ru/post/170895/
Linux Advanced Routing & Traffic Control HOWTO. Глава 5. GRE и другие тоннели https://docstore.mik.ua/manuals/ru/LARTC/x418.html
Знакомство с виртуальными интерфейсами Linux: туннели https://temofeev.ru/info/articles/znakomstvo-s-virtualnymi-interfeysami-linux-tunneli/
Простой Ethernet-туннель на Linux в четыре-шесть команд https://habr.com/ru/post/227859/
