--}}
Новая тема
Вы не можете создавать новые темы.
Т.к. вы неавторизованы на сайте. Пожалуйста назовите себя или зарегистрируйтесь.
Список тем

Расскажите про организацию VPN.

Сисадминское
11
60
С друзьями на NN.RU
В социальных сетях
Поделиться
Дано:
1. Сферический комп в вакууме номер раз - один, но с интернетом.
2. Сферический комп в вакууме номер два - один, но с интернетом.
3. Где-то на просторах интернета сферический VPN-сервер в вакууме.

Задача: объединить два компа в одну рабочую группу, в одну локальную сеть без установки на клиентских ПК стороннего ПО типа OpenVPN Client или Hamachi. Вот кто подскажет, можно ли это реализовать и если можно, то как?
Реализовать на роутерах
Роутеров нет. Вообще.
Варианты: роутеры клиентам не принадлежат, либо клиенты вообще выходят в инет через 3G-модемы.
У Cisco есть WebVPN. Через него можно
Сервер не цисковский.
ок, уточню - сервер, допустим, под FreeBSD.

Пока меня отправили курить мануалы по двум плюшкам:
1. proxy-arp
2. Мост через VPN.
sandrom
03.12.2012
Где-то на просторах интернета сферический VPN-сервер в вакууме. Конкретнее что за VPN-сервер (ipsec, L2TP, OpenVPN, PPTP) ???
Об этом я и спрашиваю. На чём лучше реализовать такой сервер, чтобы клиенты видели друг друга в рабочей группе?

Пытался поднять через mpd5, используя pptp - мне дали понять, что это не вариант. --->
Пинги ходят, но трассировка показывает промежуточный узел 192_168_10_200
sandrom
03.12.2012
Э-Э-Э-Э........... А галка "Использовать основной шлюз в удаленной сети" на клиентах снята ?
Да. И вручную добавлен маршрут

route add 192.168.10.0 mask 255.255.255.0 gw 192.168.10.x
где x - адрес интерфейса клиента (1 или 2).
И что она даст, если не секрет?
acella
03.12.2012
Она не даст отвалиться тырнету у клиента, если её снять )
Афраний писал(а)
На чём лучше реализовать такой сервер, чтобы клиенты видели друг друга в рабочей группе?


Если вам нужно, что бы два виндовых компа видели друг друга в рабочей группе, то надо на сервере вместе с впн поднять WINS. Если вам надо иметь общий бродкастный домен - см. ниже. Повторяю, это две разные вещи. Поэтому определитесь что конкретно вам нужно.
Думал уже об этом, если честно. Самба в режиме Master Browser и wins support = yes.
Просто самбу поднимать там как бы не вариант... По некоторым причинам.
RealVaVa
03.12.2012
Афраний писал(а)
Пинги ходят, но трассировка показывает промежуточный узел 192_168_10_200

А беда то в чём? Зачем именно эта злосчастная рабочая группа? Самба шары и без неё волшебно будут работать.
Не усложняйте себе задачу поиском и браузингом виндовой сети. Тем паче, что у вас и дано то всего 1,5 компа. Выяснить рабочие сервисы, обеспечить их работоспособность, остальное от Лукавого. Или я в чём-то не прав?
Ну... в чём-то :)))
1. В рабочей группе компы друг друга не видят. И шары не открываются - по крайней мере пока.
2. Самбу на сервер ставить не вариант.
3. Это изначально дано 2 компа. А представьте себе 20 сеток по 5 компов в каждой... Не, конечно не вопрос - можно и самбу в 20 джайлах запустить, но на фига?
RealVaVa
03.12.2012
ну про рост слова не было. Пробуйте тоды IPSec, - там должно работать. Но при условии работы клиентов в режиме "хрен пойми как", могут быть проблемы со временем, а IPSec ко времени чувствителен (ну я, думаю, Америку не открыл)
Спасибки! Попробую.
Это я учусь. Тестовое решение обкатываю.
З.Ы. A IPSec реально прикрутить к RADIUS?

Если по простому - есть в Семёнове один предприниматель. Торгует автозапчастями, увлекается компьютерами, обслуживает другим предпринимателям одинэску. Так вот некоторым предпринимателям, у которых есть удалённые точки (1-2 компа) периодически надо синхронизировать базы одинэски. А поднимать свои серваки они, естественно, не хотят.

Вот я и подумал - если через ВПН открывать самбовые шары, то это будет проще всего.
Почему и задача стоит - без стороннего ПО, ибо клиентские компы - чужие.

А пользователей в скульную базу можно и скриптом загнать.
RealVaVa
03.12.2012
Под виндой 2003 наруливал ипсек на радиус, вродь как даже работало. Значит и на фре мона как-то.

А Вы с 1С-кой лисапед не изобретаете? Именно синхронизировать надо базы или таки обмениваться можно? Обмениваться - это дело на 5 минут: чисто фтп развернуть и автообмен нарулить. С обменом ещё будет несколько безопаснее в плане снижения вероятности краша (какой может быть при обрыве связи во время синхроняги, что не мало вероятно в случае РТ и славного города Семёнова)
1. Возможно, задача будет состоять не только в синхронизации баз, но и в обмене документами.
2. Если уж в славном НН мне тётя пользователь заявляет: "Я не обязана знать, что такое Internet Explorer..." Подумайте об уровне пользователей в Семёнове. Учить их пользоваться FTP? Да ну на фиг... Чем проще, тем лучше.

Тем более, что для ФТП сервера диск ёмкий надо. Нет уж, пускай свои используют...
Афраний писал(а)
Спасибки! Попробую.

IPsec не решит вашу проблему - получите тот же самый промежуточный хоп. Если нужен единый бродкастный домен, можно воткнуть на шлюз TAP и сконфигурить из него мост.

www.opennet.ru/base/net/openvpn_bridging.txt.html
Ага, ну вот я как раз примерно в этом направлении и думал. Про tun/tap. Спасибки, попробую.
ru.wikipedia.org/wiki/TUN/TAP
З.Ы. В принципе, наверное, если победить proxy-arp, может быть и так заработает. Но в любом случае никто не мешает иметь несколько вариантов настроек (решений) на разные случаи жизни.
З.З.Ы. IPSec мне не подходит, это я уже выяснил.
Кстати, это всё практические статьи. А нет у Вас на примете где теорию почитать?

По поводу самбы и КД я мог с Вами спорить потому, что представляю базовую технологию (LDAP, DNS, DHCP, kerberos), хотя с терминологией реально затык. А вот технологии VPN представляю слабо. До сих пор имел дело только с pppd и mpd и соединениями точка-точка. А сейчас в ядро фри включено порядка 50 модулей netgraph, из которых можно составлять цепочки с помощью утилиты ngctl - и ясного понимания, как всем этим рулить, у меня нет.
З.Ы. А разве IPSec не требует двух публичный айпишников на обоих сторонах соединения? Клиенты ведь могут сидеть и через NAT провайдера.
RealVaVa
03.12.2012
требует)
Хост-машина с 3G-модемом и адресом сетевого интерфейса 192.168.137.1/24
В ней поднято 3 виртуалки. Во всех виртуалках сетевые интерфейсы в режиме bridged. Общий доступ к подключению интернета и DHCP-сервер VMWare отключены, дабы не раздавать адреса.
В одной виртуалке - сервер под FreeBSD. MySQL+FreeRadius+mpd5.
Адреса и подсети сервера на интерфейсе em0:
192.168.137.200/24 - подсеть для связи с хост-машиной.
192.168.10.200/24 - подсеть, в которую по идее включаются клиенты.
192.168.0.10/30 - шлюз для первого клиента, адрес клиента 192.168.0.9/30
192.168.0.5/30 - шлюз для второго клиента, адрес клиента 192.168.0.6/30
Клиенты находятся в двух других виртуалках.
То есть клиенты находятся в разных подсетях и друг друга не видят.
Клиенты устанавливают с сервером VPN-соединение на адрес 192.168.137.200 (напомню, их шлюзы по умолчанию прописаны на том же интерфейсе, так что все попытки соединения идут сразу же на него).
Первый клиент получает адрес 192.168.10.1/32, связанный с адресом сервера 192.168.10.200
второй клиент получает адрес 192.168.10.1/32, связанный с адресом сервера 192.168.10.200
Пинги между ними проходят, но трассировка показывает промежуточный узел 192.168.10.200
Второй клиент видит только себя. Первый ругается на отсутствие серверов для рабочей группы.
Я не понял что вам нужно: рабочая группа или таки общий широковещательный домен? Это две разные вещи.

Пинги между ними проходят, но трассировка показывает промежуточный узел 192.168.10.200

Что вполне логично.
Если нужен именно один бродкастный домен, курите в сторону OpenVPN или Q-in-Q.
Вариант "и того, и другого, и можно без хлеба" рассматривается?
Я знаю, что логично. Вот теперь думаю - то ли эти интерфейсы объединить в мост, то ли покурить решения на базе proxy-arp.
Рабочая группа в пределах выделенной подсети. Это только в примере маска 24, реально же маска может быть и 29. Выделенная подсеть - это и есть широковещательный домен в данном случае.

OpenVPN требует установки ПО для клиента. А без установки стороннего ПО это можно реализовать? Только средствами сервера и стандартными средствами винды...
AlexKB
05.12.2012
Любое встроенное ПО работает хуже, чем openvpn. :)
Я в этом не сомневался, но в данной теме вопрос не об этом.
sandrom
03.12.2012
"Первый клиент получает адрес 192.168.10.1/32, связанный с адресом сервера 192.168.10.200
второй клиент получает адрес 192.168.10.1/32, связанный с адресом сервера 192.168.10.200 " - а это как ?!!! Один IP на два хоста ?
Да. Смотрим аттач, левый нижний угол.
Интерфейсы ng0 и ng1.
Афраний писал(а)
mpd5

mpd5 - тормоз, пользуйте openvpn.
1. Как я уже сказал выше, компы не мои и клиента OpenVPN я ставить на них не буду. Нужно иное решение.
2. mpd5 работает нормально, меня устраивает.
3. Мне в любом случае требуется связка: СУБД MySQL/ PostgreSQL + Radius (OpenRadius, FreeRadius, Diameter)+VPN-сервер. Какой - это обсуждается.
4. "mpd5 - тормоз", это не обоснованное заявление. Где графики, схемы, расчёты? Хотя бы пруфлинк...
Тормоз как раз OpenVPN
Alexey32
03.12.2012
С чем сравнивали? Не было возможности тестировать, но очень интересно знать что наиболее быстрое.
Я специально не измерял, только по моим субьективным наблюдениям. С mpd5 как PPTP и L2TP. Шифрование было MPPE, без IPSec. На OpenVPN AES. Передавал файлы по http. В итоге на OpenVPN скорость падала примерно на 40%. На L2TP и PPTP где-то на 10%, по сравнению с каналом без vpn. Думаю если использовать IPSec результаты будут примерно такие-же как на openvpn.
AlexKB
05.12.2012
Что-то вы не то меряли.. или с MTU напутали, и у вас тормоза были из-за фрагментации. Оверхед openvpn минимальный, буквально несколько байт на пакет.
Вот звиздеть как раз и не надо. Юзайте TAP вместо TUN. И 3DES юзать зачем? Если не такие уж и секретные данные, обычного AES достаточно.
Alexey32
03.12.2012
Может я не понимаю принципа работы mpd, но зачем два интерфейса ng?
он устанавливает свой интерфейс ng для каждого клиента.
Alexey32
04.12.2012
уже проверил ради интереса, действительно. Очень неудобно при большом количестве удаленных точек.
А может вы мне подскажите?

Есть компьютер с windows 7 и мегафон-модем. Есть провод Ethernet - я соединила компьютер с ноутбуком. На ноутбуке линукс (ну это наверно не важно тут).
Ноутбук получает сетевой адрес но интернета там нет... что делать?

Скачала userGate - ничего там не поняла...
Юзергейт Вам не нужен. Нужно разрешить общий доступ к подключению интернета на компьютере. Тогда адрес сетевой карты будет установлен в 192.168.137.1 (для Windows 7).

Настроим ноутбук. Адрес сетевой карты устанавливаем 192.168.137.2 , адрес шлюза по умолчанию 192.168.137.1 , маска 255.255.255.0, адреса DNS-серверов 8.8.8.8 и 8.8.4.4 - всё, интернет на ноутбуке есть.
Всем спасибо, вопрос закрыт. Вчера мне вконтакте дали прямой и ясный ответ на главный вопрос:
Средствами самой винды это реализовать не удастся.
Необходимо либо программное решение в виде установки стороннего клиента (например, клиента OpenVPN), либо аппаратное решение в виде установки и настройки роутера.

Тему можно закрывать. Благодарю всех, кто предлагал свои решения и давал ссылки на примеры их реализации.
Мне кажется, вас обманули. Я бы не стал доверять вконтакту :)
Вот эта фраза

Необходимо либо программное решение в виде установки стороннего клиента (например, клиента OpenVPN), либо аппаратное решение в виде установки и настройки роутера.

уже взаимоисключающая.
В смысле? Слово "либо" подразумевает "или". Естественно, взаимоисключающая.
А Вы можете это сделать стандартными средствами Windows? Я имею в виду соединение клиентской части с серверной. Сервер, естественно, под UNIX. Клиенты, естественно, под виндой.

А доверяю я не сайту вконтакте, а людям, которые там отписываются в технической группе. И они так же могут сказать "я бы не стал доверять сайту ННРУ"...

Вот этот вопрос меня очень сильно интересует.
Афраний писал(а)
В смысле?

Фраза построена взаимоисключающе: нужен либо клиент, либо сервер.

А Вы можете это сделать стандартными средствами Windows?

В винде есть штатный PPTP-клиент. Он может цепляться к любому PPTP-серверу. Кроме того, семерка умеет цепляться по IPsec и SSTP. Поэтому заиметь network connectivity с VPN-сервером винда может без установки клиентского ПО. У вас остается задача объединения впн-интерфейсов на сервере бриджем.
Нет, сервер всегда нужен.
Здесь речь именно о клиенте: либо программное решение, либо аппаратное.
заиметь network connectivity с VPN-сервером винда может без установки клиентского ПО
Речь-то не просто о сетевом соединении с VPN-сервером. Это-то у меня как раз получилось. Если бы ещё в Сетевом окружении они друг друга увидели - вообще было бы замечательно.
Афраний писал(а)
Если бы ещё в Сетевом окружении они друг друга увидели - вообще было бы замечательно.

Насколько я понимаю, это можно сделать так:
Создаешь две рабочие группы (одна для одного клиента, вторая для второго).
Поднимаешь на роутере WINS, статически назначаешь в каждой рабочей группе обозреватель, и в LMHOSTS на каждом клиенте добавляешь строку вида
<IP> имя_обозревателя #PRE #DOM:<имя_удаленной_рабочей_группы>
Примерно это описано тут: support.microsoft.com/kb/150800
Спасибо, вечером попробую.
MixUp
04.12.2012
hamachi
Я же уже говорил - вопрос изначально стоял так, чтобы клиентские компы работали без установки на них постороннего ПО. Про hamachi я в курсе.
MixUp
04.12.2012
С двух сторон нужно какое-то ПО, я такое делал на FreeBSD.
Две сети видели компы друг друга, как-будто в одной физической сети были.
Если надо просто соединить кроссовером два компа в сеть - эта задача решается стандартными средствами и никакого дополнительного ПО не нужно. Но, увы - это не мой случай.

Дополнительное ПО с двух сторон нужно для решения далеко не всех задач.
MixUp
04.12.2012
я имел в виду через инет.
Нужно два маршрутизатора с белыми статическими (снаружи) IP адресами, между ними будет VPN туннель, все широковещательные пакеты будут бросаться с одного на другой и обратно. Компьютеры в одной физической локальной сети и во второй будут видеть друг друга.
MixUp писал(а)
Нужно два маршрутизатора
Спасибо, это я знаю. Вопрос стоит, можно ли это сделать средствами самой винды без использования аппаратных решений (БЕЗ маршрутизаторов) и программных решений (без постороннего ПО).

Под посторонним ПО я понимаю программы, которые НЕ входят в дистрибутив винды.

Да, я использую сервер. Но он находится НЕ у клиента. Ведь Вы маршрутизаторы собираетесь клиенту ставить? Не за 200 километров от него?
MixUp
05.12.2012
Отдел фантастики на втором этаже.
На винду не надо ставить самбу - поддержка протокола SMB/CIFS в ней уже есть. В винде есть VPN-клиент, что позволяет настраивать ADSL-модем бриджем.

Что Вы называете фантастикой?
Вот я и выяснял, что возможно, а что нет.
MixUp
05.12.2012
SMB и CIFS - синонимы. Один и тот же протокол.
Вы о какой винде?
XP/Vista/7
Я знаю, что синонимы, потому и пишу через дробь, как это указано в книге по Samba.
7aladin
04.12.2012
Наносферный Direct Access
Новая тема
Вы не можете создавать новые темы.
Т.к. вы неавторизованы на сайте. Пожалуйста назовите себя или зарегистрируйтесь.
Список тем
Последние темы форумов
Форум Тема (Автор) Последний ответ Ответов
Материнские платы на запчасти и не только

Материнские платы на запчасти и не только Материнские платы и другие комплектующие Отправка в регионы после оплаты. Транспортной...
Цена: 3 000 руб.

Оперативная память Corsair XMS3 CMX8GX3M2A1600C9

Оперативная память Corsair XMS3 CMX8GX3M2A1600C9 Отправка в регионы после оплаты. Продаются сразу обе. Цена за обе 2000 руб....
Цена: 1 000 руб.

Принтер лазерный HEWLETT PACKARD HP-6L

Принтер лазерный HEWLETT PACKARD HP-6L Отправка в регионы после оплаты. 3штуки БУ. Внешний вид из магазина простояли на складе...
Цена: 4 500 руб.

Сетевой фильтр APC Surge Arrest

Сетевой фильтр APC Surge Arrest для радиолюбителя.и не только Отправка в регионы после оплаты. ЦЕНА 3000 руб. В рабочем состоянии....
Цена: 3 000 руб.