[Sysadmins] Построить VPN.

[Sysadmins] Построить VPN.

[Dmitriy L. Kruglikov]

Доброго времени суток, коллеги.

Есть необходимость построить VPN...
С одной стороны (филиал) имеем:
D-Link DSL-524T, 3 рабочие станции (не Linux).
D-Link обеспечивает выход в Инет в режиме маршрутизатора,
получает динамический адрес.

Он же умеет Multi VPN Pass-through... 
Во всяком случае, на коробке написано.

С другой стороны (офис) имеем сервер с достаточно новым Сизифом.
Так же имеем постоянный IP-адрес.

Задача: Через Инет обеспечить соединение между сервером и 
D-Link-ом, и "пробросить" в филиал сетку вида 192.168.3.0
и обеспечить доступ к/из...

Вопрос: что нужно поставить на сервере офиса 
для обеспечения соединения со стороны модема-маршрутизатора ?

P.S. 
Обеспечивать VPN средствами клиентских станций не хотелось бы ...

За ранее спасибо.


--
Best regards,
 Dmitriy L. Kruglikov                     .--.
 Dmitriy.Kruglikov_at_gmail_dot_com      |@_@ |
 DKR6-RIPE                               |!_/ |
 XMPP:dkr6@jabber.ru                    //   \ \
                                       (|     | )
                                      /'\_   _/`\
Powered by Linux                      \___)=(___/
 
-- Мысль --
Прежде, чем поделиться мыслью, выясни выдержит ли ее голова 
собеседника.
		-- Б.Лесняк

Re: [Sysadmins] Построить VPN.

[Alex Borisov]

> Есть необходимость построить VPN...
> С одной стороны (филиал) имеем:
> D-Link DSL-524T, 3 рабочие станции (не Linux).
> D-Link обеспечивает выход в Инет в режиме маршрутизатора,
> получает динамический адрес.

я бы поставил в филиале linux-маршрутизатор с openswan
инициатор соединения филиал (так как адрес динамический),
авторизация по RSA

Re: [Sysadmins] Построить VPN.

[Alex Borisov]

* Alex Borisov <abmagic@rambler.ru> [Sun, 18 Feb 2007 00:06:50 +0300]:
> > Есть необходимость построить VPN...
> > С одной стороны (филиал) имеем:
> > D-Link DSL-524T, 3 рабочие станции (не Linux).
> > D-Link обеспечивает выход в Инет в режиме маршрутизатора,
> > получает динамический адрес.
>
> я бы поставил в филиале linux-маршрутизатор с openswan
> инициатор соединения филиал (так как адрес динамический),
> авторизация по RSA

в общем можно попробовать что-то вроде этого:

в филиале:

nat_traversal=yes

conn head
	type=tunnel
	rekey=no
	# Left security gateway, subnet behind it, next hop toward 
right.
                # головной офис
	left=<IP_adress_HEAD_linux_box>
	leftnexthop=<IP_adress_gateway_HEAD_office>
	leftsubnet=192.168.1.0/24
	leftid=@head.firma.ru
	leftrsasigkey="0 ................."

	# Right security gateway, subnet behind it, next hop toward 
left.
                # филиал
	right=<IP_adress_linux_box>
	rightnexthop=<IP_adress_LAN_DLINK>
	rightsubnet=192.168.2.0/24
	rightid=@filial.firma.ru
	rightrsasigkey="0"

	authby=rsasig
                auto=start

# =======================
в головном офисе:
nat_traversal=yes

conn filial
	type=tunnel
	rekey=no
	# Left security gateway, subnet behind it, next hop toward 
right.
	left=%any
	leftsubnet=192.168.2.0/24
	leftid=@filial.firma.ru
	leftrsasigkey="0.........."

	# Right security gateway, subnet behind it, next hop toward 
left.
	right=<IP_adress_HEAD_linux_box>
	rightnexthop=<IP_adress_gateway_HEAD_office>
	rightsubnet=192.168.1.0/24
	rightid=@head.firma.ru
	rightrsasigkey="0..................

	authby=rsasig
                auto=add

----------------------

Re: [Sysadmins] Построить VPN.

[Dmitriy L. Kruglikov]

На календаре было: Воскресенье, 18 Февраль 2007 года,
Alex Borisov писал(а) в сообщении: 

AB == Alex Borisov

AB> я бы поставил в филиале linux-маршрутизатор с openswan
AB> инициатор соединения филиал (так как адрес динамический),
AB> авторизация по RSA

И я бы поставил, если бы мог .... ;)
Но кроме перечисленного ранее, там ничего больше нет и не будет ...

Будем пытаться осилить вариант, который предлагает
Николай Фетисов.


--
Best regards,
 Dmitriy L. Kruglikov                     .--.
 Dmitriy.Kruglikov_at_gmail_dot_com      |@_@ |
 DKR6-RIPE                               |!_/ |
 XMPP:dkr6@jabber.ru                    //   \ \
                                       (|     | )
                                      /'\_   _/`\
Powered by Linux                      \___)=(___/
 
-- Мысль --
Крановщик назвал своих дочерей-близнецов Майна и Вира.
		-- Крайнов-Рытов

Re: [Sysadmins] Построить VPN.

[Глодин С.В.]

понеділок, 19-лют-2007, Dmitriy L. Kruglikov написав:
> Будем пытаться осилить вариант, который предлагает
> Николай Фетисов.

Могу подсказать по поводу tinc:

http://www.tinc-vpn.org/examples/windows-install
http://www.tinc-vpn.org/packages/windows/tinc-1.0.7-install.exe
http://www.tinc-vpn.org/documentation/tinc_toc

Это -- если нужен клиент под Windows. Становится в качестве сервиса.

-- 
С уважением,
               С.В. Глодин

Re: [Sysadmins] Построить VPN.

[Dmitriy L. Kruglikov]

На календаре было: Понедельник, 19 Февраль 2007 года,
Глодин С.В. писал(а) в сообщении: 

 == Глодин С.В.

> Это -- если нужен клиент под Windows. Становится в качестве сервиса.
В том то и дело, что клиент под Вынь крайне нежелателен.

Пока смотрим в сторону PopToP, 
возможность которого появилась после обновления паршивки. 

Хотя, более интересным был бы вариант с альтернативной прошивкой
(OpenWRT), но моя железка пока не поддерживается - Work in Progress.



--
Best regards,
 Dmitriy L. Kruglikov                     .--.
 Dmitriy.Kruglikov_at_gmail_dot_com      |@_@ |
 DKR6-RIPE                               |!_/ |
 XMPP:dkr6@jabber.ru                    //   \ \
                                       (|     | )
                                      /'\_   _/`\
Powered by Linux                      \___)=(___/
 
-- Мысль --
Поэту все к лицу: и в юности - мудрость, и в старости - детство.
		-- В.М.Борисов

Re: [Sysadmins] Построить VPN.

[Nikolay A. Fetisov]

On Sat, 17 Feb 2007 18:16:41 +0200
Dmitriy L. Kruglikov wrote:

> Есть необходимость построить VPN...
> С одной стороны (филиал) имеем:
> D-Link DSL-524T, 3 рабочие станции (не Linux).

Много разных путей есть...
- Поставить в филиале сервер, и связывать два сервера - со всем
богатством выбора решений VPN под Linux.

- Поставить клиентов VPN на рабочих станциях. OpenVPN/tinc/PPTP/...
OpenVPN точно можно прописать как службу и поднимать автоматом при
загрузке машины. 

- Настроить VPN на DSL-524T. Сразу скажу, такого не пробовал, но, из
общих соображений:
  - на DSL-524T, по идее, должны работать альтернативные прошивки типа
    OpenWRT: http://wiki.openwrt.org
  - а для OpenWRT есть сборки очень многих программ, включая
    OpenVPN/tinc: http://downloads.openwrt.org/whiterussian/packages/
Этот путь, наверное, самый интересный, но и с наибольшим числом
возможных подводных камней...

-- 
С уважением,	
Николай Фетисов

Re: [Sysadmins] Построить VPN.

[Вадим Илларионов]

От Dmitriy L. Kruglikov поступило следующее:

> Доброго времени суток, коллеги.
> 
> Есть необходимость построить VPN...
> С одной стороны (филиал) имеем:
> D-Link DSL-524T, 3 рабочие станции (не Linux).
> D-Link обеспечивает выход в Инет в режиме маршрутизатора,
> получает динамический адрес.
> 
> Он же умеет Multi VPN Pass-through...
> Во всяком случае, на коробке написано.
> 
> С другой стороны (офис) имеем сервер с достаточно новым Сизифом.
> Так же имеем постоянный IP-адрес.
> 
> Задача: Через Инет обеспечить соединение между сервером и
> D-Link-ом, и "пробросить" в филиал сетку вида 192.168.3.0
> и обеспечить доступ к/из...
> 
> Вопрос: что нужно поставить на сервере офиса
> для обеспечения соединения со стороны модема-маршрутизатора ?
> 
> P.S.
> Обеспечивать VPN средствами клиентских станций не хотелось бы ...

У меня это реализовано - 11 туннелей с отделениями. Д-линки 524Т (Аннекс В) и
500Т (Аннекс А).
1. Сливаем прошивку для Д-Линка версии 3.0 с их сайта, перепрошиваем железяку.
2. В настройках WAN появляется PPtP-клиент. Настраиваем его по вкусу.
3. Подымаем на линухе PoPToP-сервер и - вуаля!
________________________
С уважением,
Вадим Илларионов
системный администратор
Усолье-Сибирский почтамт
JID: см. <mailto:>
UIN: 7899517
Телефоны:
Мобильный +7 904 658-4154
Рабочий   +7 39543 444-00

Re: [Sysadmins] Построить VPN.

[Вадим Илларионов]

От Вадим Илларионов поступило следующее:

> От Dmitriy L. Kruglikov поступило следующее:
> 
>> Доброго времени суток, коллеги.
>> 
>> Есть необходимость построить VPN...
>> С одной стороны (филиал) имеем:
>> D-Link DSL-524T, 3 рабочие станции (не Linux).
>> D-Link обеспечивает выход в Инет в режиме маршрутизатора,
>> получает динамический адрес.
>> 
>> Он же умеет Multi VPN Pass-through...
>> Во всяком случае, на коробке написано.
>> 
>> С другой стороны (офис) имеем сервер с достаточно новым Сизифом.
>> Так же имеем постоянный IP-адрес.
>> 
>> Задача: Через Инет обеспечить соединение между сервером и
>> D-Link-ом, и "пробросить" в филиал сетку вида 192.168.3.0
>> и обеспечить доступ к/из...
>> 
>> Вопрос: что нужно поставить на сервере офиса
>> для обеспечения соединения со стороны модема-маршрутизатора ?
>> 
>> P.S.
>> Обеспечивать VPN средствами клиентских станций не хотелось бы ...
> 
> У меня это реализовано - 11 туннелей с отделениями. Д-линки 524Т (Аннекс В)

Ой, наврал... Не 524, а 562. Не пинайте сильно...
________________________
С уважением,
Вадим Илларионов
системный администратор
Усолье-Сибирский почтамт
JID: см. <mailto:>
UIN: 7899517
Телефоны:
Мобильный +7 904 658-4154
Рабочий   +7 39543 444-00