Belajar OpenVPN - Site-to-Site & Point-to-Point VPN

#Pendahuluan

Sejauh ini kita selalu membayangkan satu server VPN melayani banyak client remote. Tapi ada kebutuhan yang berbeda: menghubungkan dua kantor agar jaringan keduanya saling terlihat, atau menarik garis lurus antara dua mesin tanpa server pusat. Inilah ranah site-to-site dan point-to-point VPN.

Episode 15 ini membahas keduanya. Kalian akan belajar menghubungkan dua jaringan kantor dengan static routing dan client-config-dir, mengenal server-bridge untuk site yang membutuhkan layer 2, dan membangun topologi point-to-point 2-node sederhana dengan --dev tun, --ifconfig, dan --route.

Setelah episode ini, kalian bisa menghubungkan jaringan antar kantor dengan biaya rendah, menggantikan koneksi leased line yang mahal atau menghubungkan lokasi yang tidak punya link langsung.

#Site-to-Site dengan Mode Server-Client

#Arsitektur Dua Kantor

Pola paling umum untuk site-to-site: satu kantor menjadi server, kantor lain menjadi client yang terhubung permanen. Kantor pusat dengan IP publik menjadi titik pertemuan, sementara kantor cabang di belakang NAT cukup melakukan koneksi keluar.

Kantor pusat memakai subnet 10.10.0.0/24 dan kantor cabang 10.20.0.0/24. Keduanya harus saling menjangkau lewat tunnel. Ini dicapai dengan kombinasi iroute dan push "route ..." yang sudah dikenal dari episode 9.

#Konfigurasi Server di Kantor Pusat

Server memakai server standar dengan tambahan client-config-dir:

port 1194
proto udp
dev tun
server 10.8.0.0 255.255.255.0
topology subnet
client-config-dir /etc/openvpn/server/ccd
push "route 10.10.0.0 255.255.255.0"

push "route 10.10.0.0 255.255.255.0" memberitahu semua client bahwa subnet kantor pusat dijangkau lewat tunnel. Dengan baris ini, cabang tahu cara mencapai kantor pusat.

#File CCD untuk Kantor Cabang

Di direktori CCD, buat file dengan nama CN sertifikat router cabang:

iroute 10.20.0.0 255.255.255.0

iroute 10.20.0.0 255.255.255.0 memberitahu server bahwa subnet 10.20.0.0/24 dijangkau lewat router cabang tersebut. Dengan iroute di satu arah dan push di arah lain, lalu lintas dua arah antara kantor pusat dan cabang mengalir.

#Router di Sisi Cabang

Sisi cabang cukup berupa client OpenVPN biasa yang dijalankan terus-menerus di router:

client
dev tun
proto udp
remote vpn.example.com 1194
ca ca.crt
cert branch.crt
key branch.key
remote-cert-tls server

Router cabang juga harus mengaktifkan IP forwarding agar host di 10.20.0.0/24 bisa memanfaatkan tunnel. Konfigurasi ini membuat seluruh LAN cabang terhubung tanpa memasang OpenVPN di setiap mesin.

#Site-to-Site dengan server-bridge

#Kapan Membutuhkan Layer 2

Ketika kantor perlu berbagi broadcast atau protokol layer 2, misalnya untuk aplikasi lama atau autentikasi Windows yang bergantung pada NetBIOS, mode routed tidak cukup. Di sinilah server-bridge dari episode 6 kembali berperan.

Server-bridge menyatukan kedua kantor dalam satu jaringan layer 2, seolah-olah terhubung ke switch yang sama:

dev tap
server-bridge 192.168.1.10 255.255.255.0 192.168.1.100 192.168.1.200

server-bridge 192.168.1.10 255.255.255.0 192.168.1.100 192.168.1.200 menjadikan 192.168.1.10 sebagai IP jembatan dan mem-pool alamat 192.168.1.100 sampai 200 untuk client.

#Trade-off Bridge

Kenyamanan layer 2 dibayar dengan performa: broadcast ikut masuk tunnel dan skala terbatas. Untuk mayoritas kebutuhan site-to-site modern, mode routed dengan iroute sudah lebih dari cukup. Simpan bridge untuk kasus yang benar-benar membutuhkan layer 2.

#Point-to-Point VPN

#Topologi Dua Node Tanpa Server

Untuk menghubungkan dua mesin secara langsung tanpa server pusat, OpenVPN menyediakan mode point-to-point. Tidak ada direktif server — hanya ifconfig di kedua sisi yang menentukan pasangan alamat:

dev tun
ifconfig 10.9.0.1 10.9.0.2
remote 198.51.100.5 1194

Node A memakai 10.9.0.1, node B memakai 10.9.0.2. ifconfig 10.9.0.1 10.9.0.2 berarti alamat lokal 10.9.0.1 dan alamat peer 10.9.0.2.

#Konfigurasi Node B

Node B adalah bayangan cermin — hanya satu sisi yang perlu remote, sisi lain bisa pasif menunggu:

dev tun
ifconfig 10.9.0.2 10.9.0.1

Dengan ifconfig 10.9.0.2 10.9.0.1, node B mengambil alamat lokal 10.9.0.2 dan melihat 10.9.0.1 sebagai peer. Setelah kedua sisi berjalan, ping 10.9.0.1 dari node B akan berhasil.

#Menambahkan Rute untuk Jaringan di Belakang

Untuk menjangkau jaringan di belakang masing-masing node, tambahkan route:

route 192.168.2.0 255.255.255.0

route 192.168.2.0 255.255.255.0 di node A memberitahu bahwa jaringan 192.168.2.0/24 di belakang node B dijangkau lewat tunnel. Jangan lupa kedua node mengaktifkan IP forwarding untuk LAN di belakangnya.

#Penutup

Inti yang harus dibawa pulang:

• Site-to-site routed memakai iroute dan push "route ..." dua arah.
• client-config-dir memetakan subnet tiap kantor cabang.
• server-bridge dibutuhkan hanya untuk kebutuhan layer 2.
• Mode point-to-point memakai ifconfig di kedua sisi tanpa server.
• route menghubungkan jaringan di belakang node point-to-point.
• Aktifkan IP forwarding di kedua sisi agar LAN ikut terhubung.

Di episode 16 selanjutnya kita akan membahas network policy dan split tunneling — memilih rute yang masuk tunnel dengan push dan redirect-gateway, opsi allow-pull-fqdn untuk selective routing, sampai konfigurasi DNS dengan dhcp-option dan pencegahan DNS leak. Setelah episode ini, kalian bisa mengatur persis lalu lintas mana yang lewat VPN.