**Ceci est une ancienne révision du document !**
DN42
DN42 est un réseau overlay, dans lequel on utilise les mêmes protocoles que sur Internet (routage inter-AS réalisé avec BGP, DNS, whois, etc).
Les numéro d'AS ainsi que les adresses alloués au sein du réseau sont privés (DN42 utilise 172.22.0.0/15 en IPv4, des ULA en IPv6).
C'est un moyen simple de se faire la main pour faire tourner du BGP en pratique. Pour participer, il suffit de (source ) :
- s'attribuer un ASN et une plage d'adresse ;
- établir des tunnels (IPsec, GRE, OpenVPN, Tinc, …) avec des participants existants ;
- monter des sessions BGP avec ses voisins et annoncer son préfixe.
Documentation officielle
Le wiki a pas mal d'informations. Il y a notamment un guide Getting started.
Une copie de l'ancien wiki est disponible. Attention : la plupart des informations concernant DN42 ne sont plus d'actualité. Par contre, tous les détails techniques concernant les tunnels ou BGP (Quagga, OpenBGPd, etc) sont encore utiles.
DN42 et FFDN
Liste de diffusion et canal IRC
La fédération a une liste de diffusion dédiée à dn42 : https://lists.ffdn.org/wws/info/dn42
Il y a également un canal IRC, #ffdn-dn42
sur geeknode.
Intérêt pour FFDN
* Apprendre à faire du routage (BGP, peering) sans risque * (S'échanger des services en interne) * S'amuser :)
Idées de projets pour FFDN
* Simplement faire du peering entre FAI de la fédé * Faire tourner un point d'échange (avec route server) //→ en place, voir ci-dessous// * Avoir quelqu'un qui s'occupe de tenir à jour le registre (ASN, ranges, DNS, etc) pour toute la fédé
Point d'échange virtuel
Nous avons un point d'échange virtuel avec un Route Server BGP, ouvert à toute personne liée à la fédération possédant un ASN et un range sur dn42. L'intérêt est le même que pour un vrai point d'échange : les routeurs des participants se connectent au switch, établissent une session BGP avec le Route Server, et utilisent le switch pour forwarder directement le traffic au bon peer.
Note : pour échanger des routes sur le point d'échange, il est nécessaire d'avoir un numéro d'AS et un préfixe réseau sur dn42. Il faut évidemment aussi avoir un routeur BGP (Quagga, Bird…).
Le switch virtuel est construit grâce à tinc en mode switch, et opère dans le subnet 172.22.250.0/25
.
Les Route Servers BGP sont 172.22.250.1
et 172.22.250.2
, AS 76142.
Participants
Noeud Tinc | Adresse | Admin | AS | Commentaire |
---|---|---|---|---|
tower | 172.22.250.1 | zorun, petrus | 76142 | Route Server 1 |
polaris | 172.22.250.2 | petrus | 76142 | Route Server 2 |
beta | 172.22.250.3 | petrus | 64751 | |
bzh | 172.22.250.4 | petrus | 64708 | Breizh-Entropy, chez ttnn.net |
mirsal | 172.22.250.5 | mirsal | 76186 | |
cajou | 172.22.250.6 | djanos | 64644 | |
knu | 172.22.250.7 | karchnu | 76141 | |
mejis | 172.22.250.8 | zorun | 4242420184 | chez ttnn.net |
ryuk | 172.22.250.9 | kankan | 64742 | ADSL/câble, pas trop stable |
haruhi | 172.22.250.10 | kankan | 64742 | chez OVH |
taupo | 172.22.259.11 | taziden | 4242421919 | chez franciliens.net |
Se connecter au switch
Pour cela, vous avez besoin de Tinc. Configuration pour le point d'échange de la fédé :
mkdir -p /etc/tinc/ix-ffdn/hosts
Dans /etc/tinc/ix-ffdn/tinc.conf
:
Name = <nom de votre noeud tinc> # Nom de l'interface tinc, facultatif #Interface = tap-ffdn # Pour faire le vpn en layer2 (tap) pour permettre IPv6 *et* IPv4 Mode = switch # Il faut établir des méta-connexions avec plusieurs autres noeuds Tinc ConnectTo = tower ConnectTo = polaris ConnectTo = beta ConnectTo = mejis # Si on utilise Tinc 1.1, cette option augmente la redondance des méta-connexions, cf. tinc.conf(5) #AutoConnect = 5
Création de la paire de clés
tinc -n ix-ffdn -K
Il faut envoyer la clé publique ainsi générée (/etc/tinc/ix-ffdn/hosts/<nom de votre noeud tinc>
) à la liste de diffusion, pour qu'elle soit rajoutée sur les routeurs (au moins sur les machines qui servent de Route Server).
Ajout des clés publiques des autres noeuds Tinc
Pour chaque noeud Tinc indiqué dans une directive ConnectTo (tower
, polaris
, mejis
, beta
), il faut installer la clé publique correspondant dans /etc/tinc/ix-ffdn/hosts/<nom du noeud>
. Les clés publiques sont les suivantes :
tower
Compression = 10 Address = tower.polyno.me -----BEGIN RSA PUBLIC KEY----- MIIBCgKCAQEAugI9ruG970MsIuKV4Cn0H5ni77GUmwFckaATBh2QrP3wytPs8+su yPQS8weI6U+sJoU9HmicJJiJ1qHgDPH36nqkBirqbmOSPBWaA632wXIuu0yQO9v0 9vpw4x8ZxceDX0u1Ww3UjN4n0AI+cpQkZuG/Xx4UGRhzpvol2cOmM0Z8L1fvsDQS dtIjjRzcvYbYMJeOQgtJxlNBQrPLkRqIaOskCqaRG6Ya77fkfiGUlxP5K00b5lrl vZyPfcGyCoDAwpJXy7N+WIvsGrsgLvbfqqBAAdmLhGoXuQnttML8fScmt2Kyq3CA XBmj3KrNd9KxWjXzBHw6f1XZAXaKfs191wIDAQAB -----END RSA PUBLIC KEY-----
polaris
Address = polaris.poum.tk -----BEGIN RSA PUBLIC KEY----- MIICCgKCAgEA5XwLzepsX7pgj+ymhrDqYA9VqVaZMMK+3Mi9SY27TxcUZWBI2Cnm qvYnzPAsPVuD7sjS8uAX7nHQhKZSaSEHQHw97v+BOqGBOuzm0Z2w+xDn4+5C2Z1G KvTAAqMPbDGvgJ7x0wY9QdGtoaovmcbMMXPYoc9po3g+3w5XlLydUjf9iCAmfzG6 2vuLsSJ/5Lf7+/ANte7uxb9tBIuuFtsyKm14g7MNhYQdCar76pl0rqugu2qMtkHu q8GH1pQ3vyK4qPQe3MAPrABZVACYhnPB01Ph1rXRFnwfWeRGL4F212mnY+kOBofZ WQ4K3wtCvRNpoGGK6fLB8G6mnMhdq0YEVuA5wHKR1b/FkAepQIPa3gPrva2nRFvW sbP+9RjN/rkJpzLan87QF28koZMdm3dmVyKtwUK3TNMIxKYfKxOem9FRdfGZGgX+ X9Ny/N68rPZGdUs7OGsC+9nYp10F+X6S35HBxZ+40wzelYHcZ4vccTKG4KvsTVGA qVlDpH+qhVcR4Bj3Mu3tliiwFjtx4yOZZl3NZLQGXKvLRjemMsa8g0PggvMm2/kM ZqOz7ZhNMvvMzLWVzqp4cUxDmK2PCm5/T61IOCCYElh3u9LV9JEKwXBj4wZPkUtH T9o590HaJ3Dw1Wg4Z3wxS3z8IgaErztO83yLrS0nRyI+W9NQYGE7OTsCAwEAAQ== -----END RSA PUBLIC KEY-----
knu
Compression = 10 Address = karchnu.fr -----BEGIN RSA PUBLIC KEY----- MIIBCgKCAQEAoSrngJJ2Vn8ptP9CGlo3149oyPD+Q263tDj40foESQNoWcuaGnoE i/7S+PSwdLiK4GUtV84M1rCuRAwZnQMpFeTJCywI84/IYqZUw9kvN/lWd+0Dc72a 77c9F3m2YWtzNQA2O+vaMTi1ahITjY7TWldH9GxMCnHRjSF1ZD+x91mJtmpkaMH/ 96+fNiNJUo6+1N7BIHW/4C4Sy3aWzpOhXt2IzJC4Ke58a398HDUBfY8pGVp6NCKm nhURUmN8+UaSfcySwc2nVCpK9wg2nkgH1JDPohnbj45zxCidiocYb02fvvhovYgw oJXgWyFcztZy5mnzxpApr0VU6mMYlRVgaQIDAQAB -----END RSA PUBLIC KEY-----
mejis
Compression = 10 Address = mejis.polyno.me -----BEGIN RSA PUBLIC KEY----- MIIBCgKCAQEAs/9VCDc79LFhR1DxPf+F+beZT/YK2jZ6kDvlkO3FjPS3V3rV9ofi RUYBDRwC/juUS9jIucNRC+wEBHQoUh3OVzLTMFOjE0fLXoXhc9R+hVULIGFaTIvk ZFNTV2cgoMdxjAjur9Z0v9xQQd85GXNifN1ORV1KBw5zfRxo3INdIUs3jNbu4oYh /yzOOyS7sykuQs3JcubD/PZSMKu5DCfFQod7RH45HD/kZaaW70C3B/5Jk+qQkZLx OYO/P1oa8WhZLwgzbv1YV92miw7lB21uBaYfaYYoPUOhgQwCun2jPmcIw2Jv7R3C y37rQXoXBDRAF9UbYpJHspzwWAJzKZsICQIDAQAB -----END RSA PUBLIC KEY-----
beta
Address = beta.poum.tk Port = 656 -----BEGIN RSA PUBLIC KEY----- MIIBCgKCAQEAyXcBf1EiDocB9u8lNY/vaXPAGoRkALlf50hJrmujeRSby+AwcaxU 9ZmDwYmXUNhTLFYpI+zLTfu9CDlJ/dOPmIC8MF1WnrYzLKXLed79sGLgWMZNLch3 XEoM8dwX1VHOFcYY0LG2elJ0tPIv3/ANtEzI9Aj/zK0GLT2ajHiADEYQq/VRHS3+ ZrbFrZ8y1HeSnsZ08R2wEWzJOMblBi85p1CrlzSevH1oCBPwMH8xGI1oZUK9Udn5 IfGrVLyTPZrTukDEYCPac2KvY8kVW0JycfgWriyrMObEfrubuEnV5mOvZbYhHXzS zPMuqIzAXWwPae4kJo39wVK50mlpIud+hQIDAQAB -----END RSA PUBLIC KEY----- ECDSAPublicKey = DAAFJhWlLmpGY9PdXf6zpcGShZFuCqtfeo0iPaCyjaKiqtjBJYxa7aoWKGPb/ztjERXJX/X+6jiR+CQEwov4UglaPB
Attribution d'une adresse
Choisir une adresse dans 172.22.250.0/25
(remplir le tableau plus haut sur cette page). Configurer le script tinc-up pour attribuer l'adresse lorsque le tunnel démarre, /etc/tinc/ix-ffdn/tinc-up
:
ifconfig $INTERFACE up 172.22.250.X/25
Ne pas oublier de rendre le script exécutable.
Démarrage automatique
Sous Debian, mettre ix-ffdn
dans /etc/tinc/nets.boot
.
Sous FreeBSD, rajoute tincdenable=“YES”
dans et
tincdcfg=“ix-ffdn”/etc/rc.conf
.
Test de connectivité
Si tout va bien, une fois Tinc lancé, vous devriez pouvoir pinger 172.22.250.1
.
Configuration BGP
Configurez votre daemon BGP favori (Quagga, Bird, OpenBGPD) pour établir deux sessions BGP, une avec chaque Route Server :
* endpoints : ''172.22.250.1'' et ''172.22.250.2'' * ASN : ''76142''
Envoyez ensuite un mail sur la mailing list, avec votre endpoint dans 172.22.250.0/25
ainsi que votre numéro d'AS, pour que la session BGP soit montée sur les Route Servers.
Attention, les Route Servers ne filtrent aucune route annoncée. À vous de vous assurer que vous filtrez, en entrée, les routes que vous ne voulez pas.
Références
Configuration du Route Server
Le Route Server est actuellement un Bird sous FreeBSD, avec une configuration très basique (pas de filtrage).
# Bird configuration for a simple dn42 Route Server. No filtering of any kind. # Adapted from https://gitlab.labs.nic.cz/labs/bird/wikis/Simple_route_server log "/var/log/bird.log" all; log syslog all; router id 172.22.250.1; define myas = 76142; protocol device { } # Protocol template template bgp PEERS { local as myas; import all; export all; route limit 10000; rs client; # We could apply a filter here, to only accept routes that belong to dn42. #import filter bgp_dn42; } # Peers protocol bgp PEER1 from PEERS { description "Peer1 peering"; neighbor 172.22.250.2 as XXXXX; } protocol bgp PEER2 from PEERS { description "Peer2 peering"; neighbor 172.22.250.3 as XXXXX; }