Faculty of information technology

4.1.4
Online detection
OpenVPN offers a way for other applications to detect what devices (identified by common
name in their certificate) are currently connected. For this purpose it can create a daemon
(requires –management parameter to be used) that listens on localhost interface and re-
sponds to queries with a list of online devices. This method, however, does not suit us. The
raw text returned by the console contains a lot of unnecessary information and is difficult
to parse. With high numbers of routers it might prove computationally demanding to read
it as often as would be necessary. There would also be a delay between a device connecting
and us learning about it.
A superior solution of using –on-connect parameter was chosen instead. As the last
step of each authentication process, OpenVPN will call a custom script, which is given
information about the device through environmental variables. This script will then set the
device as online in the database, and may, if needed, initiate other actions that should be
done in response to it becoming online.
Similar approach was chosen for detection of terminating a connection. A custom script
will be run each time a device disconnect, and set the device in the database as offline.
This will be achieved by using –on-disconnect parameter.
4.1.5
Authentication
A certificate-based method will be used for authentication of routers. The Customer Server
will, for these purposes, provide routers with an X.509 certificate, private key and CA
certificate through a secure channel, before a VPN tunnel may be established.
4.2
Firewall and groups
Iptables application in combination with its extension called ipset was chosen for implement-
ing a packet filter, whose task it is to prevent a network traffic flow between ungrouped
devices, and applying custom firewall rules wanted by the user.
A server daemon cs-
controller will dynamically add or delete the iptables rules (and ipset entries) to always
reflect the current configuration.
20

---