VyOS と Tailscale で高速・冗長化された VPN を作る方法 - 版の履歴

Hkatou: Hkatou がページ「VyOS と TailScale で高速・冗長化された VPN を作る方法」を「VyOS と Tailscale で高速・冗長化された VPN を作る方法」に移動しました

2022-10-25T23:09:49Z

Hkatou がページ「VyOS と TailScale で高速・冗長化された VPN を作る方法」を「VyOS と Tailscale で高速・冗長化された VPN を作る方法」に移動しました

← 古い版	2022年10月26日 (水) 08:09時点における版
(相違点なし)

2022年10月25日 (火) 23:09にHkatouによる

2022-10-25T23:09:41Z

← 古い版		2022年10月26日 (水) 08:09時点における版
372行目:		372行目:

	== 引用 ==		== 引用 ==
			<references />
			[[カテゴリ:VyOS]]
			[[カテゴリ:Tailscale]]

Hkatou: /* Tailscale の TIPS */

2022-10-23T14:23:12Z

Tailscale の TIPS

← 古い版		2022年10月23日 (日) 23:23時点における版
363行目:		363行目:
	Tailscale の subnet router は、有効化時に VyOS の動作に影響がある		Tailscale の subnet router は、有効化時に VyOS の動作に影響がある

	* 2 ~~台のルータで同じプレフィックスを~~ advetise-routes すると、片方は通信できない		* Free プランの 1 アカウント内に 2 台のルータで、同じプレフィックスを advetise-routes すると、片方は通信できない
	** subnet router 冗長化は有料プランのため、Free プランだとこの動作となる模様		** subnet router 冗長化は有料プランのため、Free プランだとこの動作となる模様
	** 副作用で LAN 側の OSPF も止まる		** 副作用で LAN 側の OSPF も止まる

Hkatou: /* 構築手順 */

2022-06-12T00:20:28Z

構築手順

← 古い版		2022年6月12日 (日) 09:20時点における版
50行目:		50行目:
	** neighbor 指定でも Up しないため、おそらく protocol number による		** neighbor 指定でも Up しないため、おそらく protocol number による

	== ~~構築手順~~ ==		== 構築手順概要 ==
	Tailscale ~~のアカウントを作成する~~
			=== Tailscale ===
			アカウントを作成する

	* 冗長化なし : 1 つ		* 冗長化なし : 1 つ
58行目:		60行目:
	** アカウントを 2 つ取得し、1 アカウントを 2 ルータを別拠点に配置する		** アカウントを 2 つ取得し、1 アカウントを 2 ルータを別拠点に配置する

	VyOS ~~をハイパーバイザにデプロイする~~		=== VyOS ===
			ハイパーバイザにデプロイする

	* WAN 側ポートグループに DHCP や PPPoE などの Vlan を割り当て、eth4 にアサイン		* WAN 側ポートグループに DHCP や PPPoE などの Vlan を割り当て、eth4 にアサイン
65行目:		68行目:
	* VyOS の CD-ROM をマウントして起動、install image で VM の HDD へインストール		* VyOS の CD-ROM をマウントして起動、install image で VM の HDD へインストール

	~~VyOS をインターネットに接続する設定を行う~~		インターネットに接続する設定を行う

	~~VyOS に~~ Tailscale をインストールする		Tailscale をインストールする

	* VyOS 1.4 の場合、ベースとなる Linux<ref>2021-06-25		* VyOS 1.4 の場合、ベースとなる Linux<ref>2021-06-25
76行目:		79行目:
	** VyOS 設定後に Tailscale をインストールすると、VyOS が正常に動作しなくなる場合があった		** VyOS 設定後に Tailscale をインストールすると、VyOS が正常に動作しなくなる場合があった

	~~VyOS を再起動~~		再起動

	~~VyOS で~~ WAN 側ルーティングを設定する		WAN 側ルーティングを設定する

	* PPPoE や DHCP などでインターネットに接続し、Tailscale を動作可能にする		* PPPoE や DHCP などでインターネットに接続し、Tailscale を動作可能にする

	~~VyOS で~~ Tailscale を起動する		Tailscale を起動する

	~~VyOS で~~ WAN 側にルーティングを設定する		WAN 側にルーティングを設定する

	* 冗長化しない場合は、スタティックルーティングで OK		* 冗長化しない場合は、スタティックルーティングで OK
	* 冗長化する場合は、BGP でダイナミックルーティングさせる		* 冗長化する場合は、BGP でダイナミックルーティングさせる
	~~VyOS で~~ LAN 側にルーティングを設定する		LAN 側にルーティングを設定する

	* ホストを直接収容する場合 : VRRP で冗長化する		* ホストを直接収容する場合 : VRRP で冗長化する
151行目:		154行目:
	To authenticate, visit:		To authenticate, visit:

	https://login.tailscale.com/x/~~accdef~~		https://login.tailscale.com/x/abcdef

	Success.		Success.
	</syntaxhighlight>		</syntaxhighlight>
	West01 ~~なので、広報するルートに~~ 172.16.0.0/16 を指定し、別機器から広報されたルートを受け入れるオプションを指定する		West01 の広報するルートに 172.16.0.0/16 を指定し、別機器から広報されたルートを受け入れるオプションを指定する

	出てきた URL をブラウザに貼り付けて、ログインすれば OK		出てきた URL をブラウザに貼り付けて、ログインすれば OK
165行目:		168行目:
	* アカウント 1 : West01 , East01		* アカウント 1 : West01 , East01
	* アカウント 2 : West02 , East02		* アカウント 2 : West02 , East02
			同一アカウント内のホスト間で、VPN 通信が可能

	= Loopback 間疎通確認 =		= Loopback 間疎通確認 =
176行目:		180行目:

	=== West01 : Tailscale にログインして、広報するルートを確定 ===		=== West01 : Tailscale にログインして、広報するルートを確定 ===
	~~対向側で集約ルートを広報させる~~		対向側で集約ルートを広報させる。

	Subnets に "!" がついている場合、広報されていないルートが存在する。		Subnets に "!" がついている場合、広報されていないルートが存在する。
200行目:		204行目:
	traceroute to 172.31.255.1 (172.31.255.1), 30 hops max, 60 byte packets		traceroute to 172.31.255.1 (172.31.255.1), 30 hops max, 60 byte packets
	1 172.31.255.1 (172.31.255.1) 11.104 ms 13.310 ms 12.934 ms		1 172.31.255.1 (172.31.255.1) 11.104 ms 13.310 ms 12.934 ms
	</syntaxhighlight>対向側 East01 Loopback ~~宛ルートが存在せず、デフォルトルートに向いてしまっているが、~~		</syntaxhighlight>対向側 East01 Loopback 宛ルートが存在せず、デフォルトルートに向いてしまっており、

	~~ping / traceroute は成功してしまう。VyOS~~ 上でルートが見えないのは好ましくない。		VyOS 上でルートが見えないのは好ましくない。

	=== West01 : 対向拠点 Loopback 宛スタティックルートを設定 ===		=== West01 : 対向拠点 Loopback 宛スタティックルートを設定 ===
225行目:		229行目:
	Last update 00:00:36 ago		Last update 00:00:36 ago
	* directly connected, tailscale0, weight 1		* directly connected, tailscale0, weight 1
	</syntaxhighlight>VyOS ~~上でスタティックルートの見え方が実際の動作と一緒になった。~~		</syntaxhighlight>VyOS 上でスタティックルートが正常に見えるようになった。

	=== West01 : 疎通確認を実施 ===		=== West01 : 疎通確認を実施 ===
336行目:		340行目:

	== おまけ : 冗長切替のヒント ==		== おまけ : 冗長切替のヒント ==
			下位側を connected + VRRP とした場合、HyperVisor 配下で connected の障害を検出することが難しい。

			VRRP の切り替えは可能だが、BGP の広報を止められないため、下りトラフィックが流れ込んでしまう。

			* bash script で peer shutdown という手もあるが・・・

			以下に下位側を L3SW と OSPF でダイナミックルーティングとした場合について記載する。

	=== 上位 eBGP ピア Down 時 ===		=== 上位 eBGP ピア Down 時 ===
	わたり eth2 の OSPF + iBGP で迂回するか、下位 ~~IGP に対抗拠点宛のルート広報をやめて、下位側で迂回させる~~		わたり eth2 の OSPF + iBGP で迂回するか、下位 OSPF に対向拠点宛のルート広報をやめて、下位側で迂回させる

	BGP で受信するルートを死活監視 + tracking して、Down 時に VRRP の優先度を下げる		BGP で受信するルートを死活監視 + tracking して、Down 時に VRRP の優先度を下げる
346行目:		357行目:

	* BGP で aggregate-address + redistribute ospf する		* BGP で aggregate-address + redistribute ospf する
			** OSPF Down で再配布が停止される
	* OSPF でサブネットルートが 1 つでもあると BGP で aggregate-address が広報されるため、route-map で Lo を再配布の対象から除外するなどの工夫が必要		* OSPF でサブネットルートが 1 つでもあると BGP で aggregate-address が広報されるため、route-map で Lo を再配布の対象から除外するなどの工夫が必要

Hkatou: /* 論理構成例 */

2022-06-04T00:33:56Z

論理構成例

差分を表示

2022年4月26日 (火) 05:49にHkatouによる

2022-04-26T05:49:43Z

@@ 156行目: / 156行目: @@
 出てきた URL をブラウザに貼り付けて、ログインすれば OK
 === Tailscale にログインして、広報するルートを確定 ===
 = 各プロトコルの設定 =

2022年4月26日 (火) 05:18にHkatouによる

2022-04-26T05:18:34Z

@@ 2行目: / 2行目: @@
 IPsec VPN を超える速度で、拠点間通信を暗号化できる
-* Tailscale : フレッツ IPoE <-> Nuro で 125Mbps を確認
+* Tailscale  : フレッツ IPoE <-> Nuro で 125Mbps を確認
 * IPsec : フレッツ PPPoE <-> Nuro では 50Mbps 程度
@@ 42行目: / 42行目: @@
 ** 例) Tailscale の 1 アカウント内で同一サブネットを 2 つのノードで advertise-routes したとき、片方のノードで集約ルートが広報できず、通信不可になる
 ** Lo を BGP ピアに使用することで、集約ルートの通信不可を検出し、切り替えることが可能
-* BGP ピアの宛先 Lo 宛 Static Route を interface tailscale0 に向ける + ebgp-multihop 2 を設定
+* BGP ピアの宛先 Lo 宛 Static Route を interface Tailscale 0 に向ける + ebgp-multihop 2 を設定
 ** eBGP のデフォルトは Keepalive の IP ヘッダが TTL=1 のため、/30 サブネットを経由した時点で TTL=0 で Drop してしまい、Lo とピアできない
 ** multihop の数を多くする場合は、IGP / iBGP の迂回経路経由で切り替わる
@@ 54行目: / 54行目: @@
 * 冗長化なし : 1 つ
 * 冗長化あり : 2 つ
-** アカウントが 1 つ + Free プランの場合、tailscale subnet router は同じプレフィックスを 1 台しか広報できない
+** アカウントが 1 つ + Free プランの場合、Tailscale subnet router は同じプレフィックスを 1 台しか広報できない
 VyOS をハイパーバイザにインストール
@@ 71行目: / 71行目: @@
 T3641 (feature): Upgrade base system from Debian Buster -> Debian Bullseye</ref> [https://tailscale.com/download/linux/debian-bullseye Debian 11 Bullseye の手順]を使用する
 * VyOS の CLI から、直接 bash shell のコマンドを投入可能
-* これはインストール直後に行ったほうが良い
+* これは VyOS のインストール直後に行ったほうが良い
-** VyOS 設定後に tailscale をインストールすると、VyOS が正常に動作しなくなる場合があった
+** VyOS 設定後に Tailscale をインストールすると、VyOS が正常に動作しなくなる場合があった
 VyOS を再起動
@@ 78行目: / 78行目: @@
 VyOS で WAN 側ルーティングを設定する
-* PPPoE や DHCP などでインターネットに接続し、tailscale を動作可能にする
+* PPPoE や DHCP などでインターネットに接続し、Tailscale を動作可能にする
-VyOS で tailscale を起動する
+VyOS で Tailscale を起動する
 VyOS で WAN 側 VPN にルーティングを設定する
@@ 91行目: / 91行目: @@
 * LAN 側に L3 スイッチがある場合 : OSPF / BGP で冗長化する
@@ 99行目: / 170行目: @@
 == Tailscale の TIPS ==
-tailscale の subnet router は、有効化時に VyOS の動作に影響がある
+Tailscale の subnet router は、有効化時に VyOS の動作に影響がある
 * 2 台のルータで同じプレフィックスを advetise-routes すると、片方は通信できない
@@ 107行目: / 178行目: @@
 == リファレンス ==
-[https://internet.watch.impress.co.jp/docs/column/shimizu/1303751.html 100台まで無料のVPNサービス「tailscale」、リンクだけでマシンのシェアも可能!?]
+[https://internet.watch.impress.co.jp/docs/column/shimizu/1303751.html 100台まで無料のVPNサービス「Tailscale 」、リンクだけでマシンのシェアも可能!?]
 == 引用 ==

Hkatou: /* ポイント */

2022-04-25T02:56:12Z

ポイント

← 古い版		2022年4月25日 (月) 11:56時点における版
43行目:		43行目:
	** Lo を BGP ピアに使用することで、集約ルートの通信不可を検出し、切り替えることが可能		** Lo を BGP ピアに使用することで、集約ルートの通信不可を検出し、切り替えることが可能
	* BGP ピアの宛先 Lo 宛 Static Route を interface tailscale0 に向ける + ebgp-multihop 2 を設定		* BGP ピアの宛先 Lo 宛 Static Route を interface tailscale0 に向ける + ebgp-multihop 2 を設定
	** eBGP は IP の TTL=1 のため、/30 サブネットを経由した時点で Drop してしまい、Lo とピアできない		** eBGP のデフォルトは Keepalive の IP ヘッダが TTL=1 のため、/30 サブネットを経由した時点で TTL=0 で Drop してしまい、Lo とピアできない
	** multihop の数を多くする場合は、IGP / iBGP の迂回経路経由で切り替わる		** multihop の数を多くする場合は、IGP / iBGP の迂回経路経由で切り替わる
	* Lo のルート交換に OSPF を試してみたが、動作しなかった		Tailscale 上で Lo のルート交換に OSPF を試してみたが、動作しなかった

			* Tailscale でマルチキャスト or OSPF IP protocol number がフィルタリングされている

	== 構築手順 ==		== 構築手順 ==

2022年4月25日 (月) 02:53にHkatouによる

2022-04-25T02:53:13Z

← 古い版		2022年4月25日 (月) 11:53時点における版
40行目:		40行目:

	* 100.64.x.x/32 で張ると、広報する内部ネットワークが通信できない場合にも BGP ピアを張り続けてしまう		* 100.64.x.x/32 で張ると、広報する内部ネットワークが通信できない場合にも BGP ピアを張り続けてしまう
	** 例) Tailscale ~~で同一サブネットを~~ 2 つのノードで advertise-routes ~~したとき、片方のノードで集約ルートが通信不可にる~~		** 例) Tailscale の 1 アカウント内で同一サブネットを 2 つのノードで advertise-routes したとき、片方のノードで集約ルートが広報できず、通信不可になる
			** Lo を BGP ピアに使用することで、集約ルートの通信不可を検出し、切り替えることが可能
	* BGP ピアの宛先 Lo 宛 Static Route を interface tailscale0 に向ける + ebgp-multihop 2 を設定		* BGP ピアの宛先 Lo 宛 Static Route を interface tailscale0 に向ける + ebgp-multihop 2 を設定
			** eBGP は IP の TTL=1 のため、/30 サブネットを経由した時点で Drop してしまい、Lo とピアできない
			** multihop の数を多くする場合は、IGP / iBGP の迂回経路経由で切り替わる
	* Lo のルート交換に OSPF を試してみたが、動作しなかった		* Lo のルート交換に OSPF を試してみたが、動作しなかった

2022年4月25日 (月) 02:48にHkatouによる

2022-04-25T02:48:50Z

@@ 26行目: / 26行目: @@
 タグ Vlan 対応 L3 スイッチ
 == 構築手順 ==
@@ 71行目: / 88行目: @@
-== TIPS ==
+== 冗長切替のポイント ==
 tailscale の subnet router は、有効化時に VyOS の動作に影響がある
@@ 77行目: / 99行目: @@
 ** subnet router 冗長化は有料プランのため、Free プランだとこの動作となる模様
 ** LAN 側の OSPF も止まる
 == リファレンス ==