[Sysadmins] VPN

[Sysadmins] VPN

[MisHel64]

Здравствуйте, ALT.

Если не сложно, помогите с объединением локальных сетей.

Структура организации.

1)  Главный  офис.  Белый  ИП. Локальная сеть подключается к интернету
через  Linux сервер. В локальной сети сидят "админы". На сервере стоит
самба.  Доступ  к  SMB  папкам  без паролей, разрешен доступ только из
локальной сети. В локалке адреса 172.16.1.0/24.

2)  Филиал.  Белый  ИП,  локальная сеть подключается к интернету через
Linux  сервер.  В  локальной  сети сидят "работники". На сервере стоит
самба.  Доступ  к  SMB  папкам  без паролей, разрешен доступ только из
локальной сети. В локалке адреса 172.16.2.0/24

3)   Дом.   Компьютер   под   управление   Windows   XP,  имеет  адрес
192.168.1.0/24.  Выходит в интернет через ADSL модем, который имеет ИП
из  10.0.0.0/8,  и  подключается  к интернету через NAT провайдера. За
компьютером сидит "пользователь".

"Админы",    "Работники",   "Пользователи"   сидят   за   компьютерами
работающими под управлением MS Windows XP.

Что  нужно:

1)  "Админы"  должны  иметь  доступ  к  SMB  ресурсам обоих серверов и
компьютеров в обоих сетях.

2)  "Работники"  должны  должны  иметь  доступ к SMB ресурсам на обоих
серверах и внутри сети филиала.

3)  "Пользователь"  должны должны иметь доступ к SMB ресурсам на обоих
серверах.

OpenVPN не устраивает, из-за необходимости установки дополнительного
софта по Windows платформы.

PPPtP поднять не удалось. Провайдер режет GPE.
Остается "L2TP IpSec" в терминах Микрософта.

Но  вот  в  тонкостях  реализации,  я  пока  не разобрался. Буду очень
признателен за любые советы и ссылки.


-- 
С уважением,
 MisHel64                          mailto:MisHel64@Bk.Ru

Re: [Sysadmins] VPN

[Alexei Babich]

> Остается "L2TP IpSec" в терминах Микрософта.
Ещё IPSec в туннельном режиме.

-- 
С уважением,
Алексей Бабич, инженер-схемотехник ООО НПП "Резонанс", Челябинск, Россия
http://www.rez.ru
JID: impatt@jabber.ru

Re: [Sysadmins] VPN

[MisHel64]

Здравствуйте, Alexei.

Вы писали 11 января 2009 г., 8:25:58:

>> Остается "L2TP IpSec" в терминах Микрософта.
> Ещё IPSec в туннельном режиме.

Если  я  правильно  понял документацию, то "IPSec в туннельном режиме"
нельзя использовать если между концами туннеля есть NAT. Между
серверами этот вариант может и будет работать, но "пользователи" имеют
один NAT минимум (в ADSL модеме), и чаще всего еще и у провайдера. Наш
провайдер большая редиска, и частникам старается впарить серый ИП.


-- 
С уважением,
 MisHel64                          mailto:MisHel64@Bk.Ru

Re: [Sysadmins] VPN

[Dmitriy M. Maslennikov]

11 января 2009 г. 13:16 пользователь MisHel64 <MisHel64@bk.ru> написал:
> Если  я  правильно  понял документацию, то "IPSec в туннельном режиме"
> нельзя использовать если между концами туннеля есть NAT. Между
> серверами этот вариант может и будет работать, но "пользователи" имеют
> один NAT минимум (в ADSL модеме)
По-моему вы забываете, что модем может работать как мост (bridge).

-- 
Dmitriy M. Maslennikov
rlz@etersoft.ru
rlz@altlinux.org
maslennikovdm@gmail.com
master@armory.ru

Re: [Sysadmins] VPN

[Alexei Babich]

> Если  я  правильно  понял документацию, то "IPSec в туннельном режиме"
> нельзя использовать если между концами туннеля есть NAT.
Есть там NAT Traversal.
Так что будет.
Вернее так:
1. Сам практики не имел (пардон, что взялся советовать, начитавшись всякого, но не попробовав)
2. Про виндовс ничего хорошего сказать не могу; не исключено, что этого она не может.


-- 
С уважением,
Алексей Бабич, инженер-схемотехник ООО НПП "Резонанс", Челябинск, Россия
http://www.rez.ru
JID: impatt@jabber.ru

Re: [Sysadmins] VPN

[Maxim Tyurin]

MisHel64 пишет:
> OpenVPN не устраивает, из-за необходимости установки дополнительного
> софта по Windows платформы.
> 
> PPPtP поднять не удалось. Провайдер режет GPE.
> Остается "L2TP IpSec" в терминах Микрософта.

ИМХО вы сами себе ищете геморрой на ровном месте.
Если у вас провайдер режет трафик то окромя OpenVPN альтернатив нет.
OpenVPN работает хоть через прокси, а с его установкой и настройкой
вполне справляется 25-ти летняя блондинка с гуманитарным образованием.

IPsec с NAT да еще с разных концов разные ОС....
Проще сразу об стену убиться.
-- 

With Best Regards, Maxim Tyurin
JID:	MrKooll@jabber.pibhe.com
			

Re: [Sysadmins] VPN

[Mike Almateia]

On Saturday 10 January 2009 17:32:06 MisHel64 wrote:
> Здравствуйте, ALT.
>
> Если не сложно, помогите с объединением локальных сетей.
>
> Структура организации.
>
> 1)  Главный  офис.  Белый  ИП. Локальная сеть подключается к интернету
> через  Linux сервер. В локальной сети сидят "админы". На сервере стоит
> самба.  Доступ  к  SMB  папкам  без паролей, разрешен доступ только из
> локальной сети. В локалке адреса 172.16.1.0/24.
>
> 2)  Филиал.  Белый  ИП,  локальная сеть подключается к интернету через
> Linux  сервер.  В  локальной  сети сидят "работники". На сервере стоит
> самба.  Доступ  к  SMB  папкам  без паролей, разрешен доступ только из
> локальной сети. В локалке адреса 172.16.2.0/24
>
> 3)   Дом.   Компьютер   под   управление   Windows   XP,  имеет  адрес
> 192.168.1.0/24.  Выходит в интернет через ADSL модем, который имеет ИП
> из  10.0.0.0/8,  и  подключается  к интернету через NAT провайдера. За
> компьютером сидит "пользователь".
>
> "Админы",    "Работники",   "Пользователи"   сидят   за   компьютерами
> работающими под управлением MS Windows XP.
>
> Что  нужно:
>
> 1)  "Админы"  должны  иметь  доступ  к  SMB  ресурсам обоих серверов и
> компьютеров в обоих сетях.
>
> 2)  "Работники"  должны  должны  иметь  доступ к SMB ресурсам на обоих
> серверах и внутри сети филиала.
>
> 3)  "Пользователь"  должны должны иметь доступ к SMB ресурсам на обоих
> серверах.
>
> OpenVPN не устраивает, из-за необходимости установки дополнительного
> софта по Windows платформы.
>
> PPPtP поднять не удалось. Провайдер режет GPE.
> Остается "L2TP IpSec" в терминах Микрософта.
>
> Но  вот  в  тонкостях  реализации,  я  пока  не разобрался. Буду очень
> признателен за любые советы и ссылки.
А что мешает использовать OpenVPN как "сеть-сеть" ??
Не обязательно клиенты openvpn ставить на все машины: на сервер в головном 
офисе ставится openvpn-сервер, на остальные сервера в филиалах ставится 
openvpn-клиенты. Дальше маршрутизация и всё. Что мешает так сделать?

Re: [Sysadmins] VPN

[Andrey Alexandrov]

Насколько я понял нежелание связываться с openvpn вызвано
исключительно нежеланием поднимать клиент на "3)   Дом.   Компьютер
под   управление   Windows   XP". Иначе, оптимальным вариантом будет
описанный письмом выше способ. Если по  поводу домашнего компьютера я
прав, Вам никто не мешает поднять на головном сервере помимо openvpn
еще и ppp и подсоединяться из дома штатными средствами оффтопика, хотя
это и не будет самым лучшим вариантом.

-- 
С ув. Андрей Александров

Re: [Sysadmins] VPN

[Mike Almateia]

On Tuesday 13 January 2009 22:25:13 Andrey Alexandrov wrote:
> Насколько я понял нежелание связываться с openvpn вызвано
> исключительно нежеланием поднимать клиент на "3)   Дом.   Компьютер
> под   управление   Windows   XP". Иначе, оптимальным вариантом будет
> описанный письмом выше способ. Если по  поводу домашнего компьютера я
> прав, Вам никто не мешает поднять на головном сервере помимо openvpn
> еще и ppp и подсоединяться из дома штатными средствами оффтопика, хотя
> это и не будет самым лучшим вариантом.
В чём проблема поднятия дома на одной единственной машине openvpn? Трудно один 
раз подсунуть клиенту сертификат и пропивать IP сервер? 
Учитывая, что у openvpn есть графическая утилита для настройки и работает 
opnvpn поверх pptp/pppoe стабильнее, чем ppp* друг на дружке.

Re: [Sysadmins] VPN [JT]

[Vyatcheslav Perevalov]

В сообщении от 14 января 2009 Mike Almateia написал(a):
> Трудно один
> раз подсунуть клиенту сертификат и пропивать IP сервер?

Неоднозначная такая очепятка...

-- 
Всего хорошего
		/vip

Re: [Sysadmins] VPN [JT]

[Andrii Dobrovol`s`kii]

[-- Attachment #1: Type: text/plain, Size: 593 bytes --]

Vyatcheslav Perevalov пишет:
> В сообщении от 14 января 2009 Mike Almateia написал(a):
>> Трудно один
>> раз подсунуть клиенту сертификат и пропивать IP сервер?
> 
> Неоднозначная такая очепятка...
> 
Её бы в фортунки...
-- 
Rgrds,
Andriy
*********************************************************************
email: dobr at iop dot kiev dot ua            Kyiv, Ukraine
Phone: (380-44)   525-7824            Department of Gas Electronics
Fax:   (380-44)   525-2329             Institute of Physics of NASU
*********************dobrATjabber.iop.kiev.ua************************


[-- Attachment #2: OpenPGP digital signature --]
[-- Type: application/pgp-signature, Size: 189 bytes --]

Re: [Sysadmins] VPN

[MisHel64]

Здравствуйте, Mike.

Вы писали 14 января 2009 г., 18:14:00:

> В чём проблема поднятия дома на одной единственной машине openvpn?

В том, что это "дома" более сотни машин.

И уточню, в ТЗ четко указанно, что решение должно быть без
использование дополнительного П/О на "домашних" клиентах.

>Учитывая,  что  у  openvpn  есть  графическая утилита для настройки и
>работает opnvpn поверх pptp/pppoe стабильнее, чем ppp* друг на дружке

pptp/pppoe это между кем и кем?


> _______________________________________________
> Sysadmins mailing list
> Sysadmins@lists.altlinux.org
> https://lists.altlinux.org/mailman/listinfo/sysadmins



-- 
С уважением,
 MisHel64                          mailto:MisHel64@Bk.Ru

Re: [Sysadmins] VPN

[Andrey Alexandrov]

>
> В том, что это "дома" более сотни машин.
>
> И уточню, в ТЗ четко указанно, что решение должно быть без
> использование дополнительного П/О на "домашних" клиентах.

Гмммм... если есть такой парк "дома", не разумнее ли было выделить
отдельный роутер для "домашней" сети. Поднимете на нем openvpn, и
используйте как шлюз в сторону сети компании. В итоге получится
система с двумя впн клиентами и одним впн сервером.


-- 
С ув. Андрей Александров

Re: [Sysadmins] VPN

[Mike Almateia]

On Saturday 17 January 2009 20:40:42 MisHel64 wrote:
> Здравствуйте, Mike.
>
> Вы писали 14 января 2009 г., 18:14:00:
> > В чём проблема поднятия дома на одной единственной машине openvpn?
>
> В том, что это "дома" более сотни машин.
Так и пишите в ТЗ - "дома" сотня компов.

> И уточню, в ТЗ четко указанно, что решение должно быть без
> использование дополнительного П/О на "домашних" клиентах.
Исходя из ваших данных имеем: GRE, как вы говорите, режет пров, значит pptp 
отпадает. 
Попробуйте поставить сервер l2tp.
> >Учитывая,  что  у  openvpn  есть  графическая утилита для настройки и
> >работает opnvpn поверх pptp/pppoe стабильнее, чем ppp* друг на дружке
>
> pptp/pppoe это между кем и кем?
неважно. pptp поверх pptp ходит не очень хорошо.