Faculty of information technology

5.3
Customer Server
The main daemon is named vpnportal-cs and it is implemented as a systemd service. On
its start-up, several initialization actions are executed via a shell init script, including:
∙ Start of OpenVPN.
∙ Creation of main iptables chains.
When the service is stopped, everything related to the daemon is flushed from iptables
and ipsets, and OpenVPN is terminated. Static routes do not need to be erased, because
once the OpenVPN is stopped and tunnel goes down, they are removed automatically by
the operating system. Any messages that need to be printed, are printed via the syslog()
function. When printing a message, 4 different priority levels are used:
∙ Debug,
34

---

∙ Warning,
∙ Error,
∙ CriticalError (Leads to immediate shut down of the service).
After the init script finishes initialization actions and starts the main daemon, the
following actions are taken:
1. Syslog connection is initialized. Signal handlers are registered. Database is initialized
(values like ‘time_of_start’).
2. Rules for iptables, entries for ipsets, and static routes are created, based on the
network and LAN setting information from DB.
3. IP address and certificate are registered at DS (OpenSSL library is used for secure
communication).
4. A sub-process called SideChannelDaemon is created via fork(). The purpose of this
daemon is to respond to incoming validation queries from the routers.
It uses a
shell script to generate new OpenVPN keys and certificates for routers that ask for
them. For each incoming request/query, a new thread that will handle it is created.
However, the certificate generation script can’t be run multiple times in parallel and
is thus considered a critical section, which is enforced via locking of std::mutex.
5. The main loop is entered, where the process starts executing transactions and sending
commands to routers. To prevent creation of inconsistent state on service shut-down,
a custom function was created as a handler of incoming SIGTERM signal. This
function will only set a global variable SIGTERM_ARRIVED, which is periodically
checked by both processes. Once a change of this variable is detected, a safe shut
down is carried out.
The main loop of vpnportal-cs has the following structure:
1. Response messages from routers are taken from an object of class DeliveryService,
whose task it is to oversee communication with routers.
2. For those requests that succeeded on routers, their related pending configuration is
changed in the database into permanent configuration. For those that failed, an error
flag is set in their pending configuration.
3. Any transactions belonging to online routers are loaded from DB.
4. Those transactions that do not require communication with routers are immediately
executed and deleted.
5. Those transactions that do require communication with routers lead to creation of
pending configuration in DB.
6. If there are any pending configurations, messages for routers are created.
7. For each router with a message, a communication thread is created.
35

---