L'objectif est de faire descendre une IP de datacenter sur le pfSense avec un tunnel OpenVPN et du proxyARP.

Il vous sera nécessaire :

• un serveur OpenVPN linux avec:
  • Une IP fixe pour initier la session VPN
  • Une IP supplémentaire (nommé “IP Fail-Over” chez OVH par exemple)

&

Dans notre exemple, notre IP supplémentaire sera 172.32.0.1

La configuration d'OpenVPN est classique avec quelques exception, par exemple :

proxyarp.conf

mode server
tls-server
proto udp
port 1194
dev tap0
cipher AES-256-CBC
keepalive 10 30
persist-key
persist-tun
verb 3
status proxyarp_status.log
log-append /var/log/openvpn-proxyarp.log
 
ca /etc/openvpn/easy-rsa/keys/ca.crt
cert /etc/openvpn/easy-rsa/keys/server.crt
key /etc/openvpn/easy-rsa/keys/server.key
dh /etc/openvpn/easy-rsa/keys/dh4096.pem
tls-auth /etc/openvpn/easy-rsa/keys/ta.key 0
auth sha256
keysize 256
comp-lzo no
 
script-security 2
client-connect /etc/openvpn/proxy-arp-up.sh
client-disconnect /etc/openvpn/proxy-arp-down.sh

Vous noterez l'utilisation OBLIGATOIRE d'une interface TAP, l'absence de configuration réseau et l'ajout des trois lignes suivantes :

script-security 2
client-connect /etc/openvpn/proxyarp_up.sh 
client-disconnect /etc/openvpn/proxyarp_down.sh

et d'ajouter dans le dossier /etc/openvpn les deux fichiers suivant (en les adaptant) :

proxyarp_up.sh

#!/bin/bash
 
echo '1' > /proc/sys/net/ipv4/conf/all/proxy_arp
ifconfig tap0 up
ip route add 172.32.0.1 dev tap0

et

proxyarp_down.sh

#!/bin/bash
 
ip route del 172.32.0.1 dev tap0
ifconfig tap0 down

et pour finir de les rendre exécutable :

# chmod +x proxyarp_up.sh proxyarp_down.sh