VPN: организация и настройка

[deserg]

так впн или ситрикс
ситрикс это терминалка... ему пофиг он уже потом по впн ходит....

а сам впн обычно пользует 1723 (гре) и пптп порт - его так не помню к сожалению - но по идее роутер должен иметь какое то подобие лога где описано какие пакеты он отправил в тартар и по каким портам они шли

[FantomIL]

Сообщение от deserg

а сам впн обычно пользует 1723 (гре) и пптп порт

Поправка: сам VPN использует протокол IP 47 GRE (General Routing Encapsulation), а стандартный порт PPTP - 1723. Для L2TP стандартный порт - 500.

[duke55]

Уважаемые, поможите в вопросе. После Лукойловкой перетряски дочернее предприятие остается в ж... Вобщем выходит из состава этой структуры. Предприятие имеет 5 цехов в 5 разных городах области. Раньше связь обеспечивалась выделенным каналом, птому как пропалат была за счет вышестояшего эшелона. Теперь встает вопрос о самостоятельности...

80 тысяч в месяц за 768Кбит связи по выделенке - становится неприемлемым, птому есть идея соединить все цеха по VPN через Интернету. Схема примерно вот такая:



Не может ли кто просвятить в этом вопросе... В Интернете красуются VPN раутеры с возможностью создания до 10 туннелей. Кто нибудь работал с такими? Может кто нибудь знает ссылки на литературу по этому вопросу? Может есть специализированные форумы на эту тяму?

[Borland]

duke55, а в чём, собственно, принципиальное отличие "новой" схемы от существующей? Связь так или иначе организована через VPN... Другой вопрос, что в "старой" схеме (возможно) VPN обеспечивал провайдер...
Единственный, на мой взгляд, способ снизить расходы на организацию канала в данном случае - снижение скорости канала.
Организация VPN на канале провайдера собственными силами - удовольствие тоже не сильно дешёвое. Криптомаршрутизаторы стоят весьма существенных денег. + расходы на обучение персонала.
Одно из возможных решений (сертифицированное, используется большинством гос. структур): _http://www.factor-ts.ru/factor/dio.asp

[UnShaved]

Вообще в интернете есть масса решений, как самопальных (FreeBSD, Linux), так и готовых:
Я бы рекомендовал 2 варианта:
1) CISCO SOHO (8xx) например, естественно с поддержкой VPN в IOS, относительно дорого, настройки из консоли (естественно), но работает очень хорошо.
2) Favourite IS Compact - web - интерфейс, девайс скручен на FreeBSD

оба решения ставил, работают

[modest]

Для выбора решения надо задаться рядом вопросов:
- каков бюджет для решения;
- сколько компов должно одновременно работать по VPN
- каков канал наружу
- и роутер будет только для построения VPN туннеля или также и для обычного разруливания инета.
- нужно ли шифрование трафика и какое.
В принципе вопросов еще тьма.
Оптимальное решение там где хороший канал Циску в голову, а далее если мало компов на филиале можно ставить например Д-Линк и ими стучаться на эту циску... Или циску в голову а там стандартными средствами винды строить туннели до нее.

[SinClaus]

При малом бюджете - Линукс и OpenVPN. Бесплатно, легко ставится и конфигуряется, обеспечивает вполне приличное шифрование (с ключем до 2048 разрядов).

Вопрос. 1-я задача) мне надо иметь доступ из сети 1 к компьютерам сети 2 через сетевое окружение. 2-я задача) обеспечить отказовоустойчивость, путем добавления второй линии, хочу узнать как и какое оборудование мне нужно.
Имеется. VPN по каким протоколам и тип я не знаю, настраивала обслуживащая организация, они наверно сами не знают, звонил в организацию предоставляющую услугу это, то там персонал ориентирован на интернет, и про VPN ничего не знают. VPN по статическим адресам.
Сеть1: сервер 2 сетевые карты. 1-я (локальная) ip 192.168.3.20 маска 255.255.255.0. шлюз 192.168.3.3, ДНС1 192.168.3.20. 2-я (VPN) - ip 192.168.0.2 маска 255.255.255.0. к нему подключен ADSL модем, настройка модема ведется по ip адресу 192.168.1.1. забиты постоянные маршруты 192.168.3.1-192.168.0.1, 192.168.3.2 - 192.168.0.1, маска 255.255.255.000.
Сеть2: компьютер 2 сетевые карты, 1-я (локальная) ip 192.168.100.1 маска 255.255.255.0, 2-я карта ip 192.168.3.1, маска 255.255.255.0, шлюз 192.168.3.1 (стоит галочка использовать общий доступ к интернету). к этому компьютеру подключен ADSL модем(VPN). остальные компьютера этой сети имеют ip 192.168.100.х маска 255.255.255.0, шлюз 192.168.100.1.
Табл маршрутизации сети 1, план сети, пример настройки модема по адресу http://ifolder.ru/7262299

Технология MPLS для vpn используется

Народ такая тема. Комп на котором крутится база 1С и файло обменник. Нужно сделать доступ к нему из Internet,
Проблема в том, что у компа нету внешнего IP, доступ в нет осуществляется через по схеме:

[win2003]---[Linux]---[Internet] Я думаю лучшим способом будет поднять VPN на винде, а на Linux настроить роут
\ канал там 512, я думаю хватит, просто незнаю как все это сделать и организовать
[Users] кто может помогите советом и знаниями

[Nistelrooy]

wooden_goblin, ну а собственно в чем проблема? домен имеется? если да то поднимай VPN на линухе (как я понимаю он играет роль маршрутизатора) поднемай керберос, что бы авторизация проходила через учетки в домене...

[Borland]

Слишком обширный вопрос...
Рассказывать всё подробно - полфорума займёт...
VPN тоже лучше поднимать на линюхе.
http://www.opennet.ru/base/net/debian_netams.txt.html
Если нет опыта работы с Linux - лучше позови специалиста. В конечном итоге дешевле обойдётся...

[Petro]

Господа, помогите настроить VPN. Ставлю на сервере 2003. Конфигурация сети:

Имя компьютера . . . . . . . . . : server
Основной DNS-суффикс . . . . . . : *.net
Тип узла. . . . . . . . . . . . . : широковещательный
IP-маршрутизация включена . . . . : да
WINS-прокси включен . . . . . . . : да
Порядок просмотра суффиксов DNS . : *.net

Net - Ethernet адаптер:

DNS-суффикс этого подключения . . :
Описание . . . . . . . . . . . . : D-Link DGE-528T Gigabit Ethernet Adapter
Физический адрес. . . . . . . . . : ******
DHCP включен. . . . . . . . . . . : нет
IP-адрес . . . . . . . . . . . . : 192.168.1.2
Маска подсети . . . . . . . . . . : 255.255.255.0
Основной шлюз . . . . . . . . . . : 192.168.1.1
DNS-серверы . . . . . . . . . . . : днс провайдера

NetBIOS через TCP/IP. . . . . . . : отключен

Local - Ethernet адаптер:

DNS-суффикс этого подключения . . :
Описание . . . . . . . . . . . . : Realtek RTL8168/8111 PCI-E Gigabit Ethern
et NIC
Физический адрес. . . . . . . . . : ***********
DHCP включен. . . . . . . . . . . : нет
IP-адрес . . . . . . . . . . . . : 192.168.10.1
Маска подсети . . . . . . . . . . : 255.255.255.0
Основной шлюз . . . . . . . . . . :
DNS-серверы . . . . . . . . . . . : 127.0.0.1

Интернет ADSL модем Zyxel 645 (192.168.1.1) подключен к серверу.
Статический IP-адрес пров выдал сразу при подключении к ADSL.
На сервере поднят dns, dhcp, active directory, файловый сервер.
Устанавливаю VPN мастером. Если выбираю первый пункт в мастере: Удаленный доступ (vpn или модем) на сервере после подключения впн пропадает интернет.
Если выбираю в мастере: Доступ к виртуальной частной сети (vpn) и nat c интернетом все в порядке.
Но и в том и другом случае не могу подключиться с удаленного компа. Говорит ошибка 800: не удалось создать впн подключение. У меня такое ощущение, что не пускает модем. Пробую в броузере набрать статический ип - попадаю в настройку модема.

[werwulf]

у вас не просто модем у вас роутер
вам его нужно поковырять и настроить на прозрачный режим.
либо поразвлекаться с пробрасыванием портов на его нате.
ну и, собственно, все ..

[Petro]

В общем разобрался с провайдером, настроил модем в режим бриджа, но теперь для связи с нетом добавляется еще одно соединение PPPoE которое насколько я понял через сетевую карточку выходит на модем и затем в нет.
Теперь я уже совсем ничего не понимаю что делать дальше. Выбираю в мастере: Доступ к виртуальной частной сети (vpn) и nat - соединение PPPoE он не видит. остальные два нормально, но нет пропадает после запуска службы и модем не прозванивается...

[Deemchick]

В офисе настроил PPTP-сервер на базе DIR330. Из дома через проводной инет проблем с соединением нет, вижу и могу юзать все ресурсы.

Но когда для доступа в Интернет использую Yota, возникает странная проблема:
1) Создал подключение, ввел аутентификационные данные.
2) Соединение установилось, НО...
3) даже если ничего не делать (даже мышкой не двигать) PPTP-соединение разрывается через 15-60 секунд. При этом не выдается никаких сообщений об ошибке. Если же пытаться это PPTP-соединение активно юзать (например, терминальную сессию открыть), то оно так же молча разрывается менее чем за 15 сек.

Мне удалось заметить следующее, на мой взгляд, не понятное поведение сетевых подключений:
- свежеустановленное PPTP-соединение сразу после подключения проявляет недурную активность, посылая и принимая данные, причем посылает на vpn-сервер больше, чем от него получает;
- через несколько секунд после установки PPTP-соединения отваливается QIP, а после разрыва впн-сесии подключение мессенджера восстанавливается (если QIP не запущен, PPTP-соединение все равно разрывается).

Может кто сталкивался? Почему отваливается молча??

Провайдер предлагает предоставить ему тестовый доступ к впн-серверу, но дело в том, что ДИР330 не предоставляет возможностей разграничения полномочий для впн-юзеров, а пускать случайных людей в сетку не хочется.

Что посоветуете??

[werwulf]

Причем здесь ваш провайдер?
Пинайте йоту, я так понимаю, в вашем тексте это не синонимы.
В инете давно ходят слухи, что yota режет gre.

[Deemchick]

Сообщение от werwulf

Причем здесь ваш провайдер?
Пинайте йоту, я так понимаю, в вашем тексте это не синонимы.
В инете давно ходят слухи, что yota режет gre.

Именно синонимы! А как ее (Ёту) пнуть, не открывая доступ к серваку?

Ну или подскажите, плз, где слухи-то в сети поискать.

[werwulf]

Если вам идут на встречу с таким подходом, нужно соглашаться, а не искать слухи.
Это в общем очень почетный, а главное потенциально эффективный бета-тест.
Если им нужен доступ просто в виде сессии, то выдайте им IP не из вашей рабочей локалки или зарежьте на ближайшей железке
Если что-то более глобальное и потенциально уязвимое, то в общем уже вам решать стоит ли это того - полагаю обрыв всех сессий в неудачный момент может вам обойтись много дороже чем сотрудничества с йотой

[Deemchick]

Согласился и специалисты Йоты трудятся над проблемой. Правда уже не один месяц. Но небольшие сдвиги есть.

Есть еще вопос.

Там где сейчас проживаю фактически монополия на провайдерские услуги. Причем инет раздают по такой кривой технологии: физически подключают к локалке, из которой выхода нет, а инет раздают через ВПН (PPTP). Вопрос: можно ли устанивить полноценный "туннель в туннеле"?

Поясню: создал помимо помимо инетовского еще подключение к офисной сетке (тоже РРТР). Подключаю сперва инет, потом мой ВПН. Оба соединения устанавливаются, но ресурсов офиса не вижу. PING на мой ВПН-сервер вопит что ттл-пакеты умирают в количестве 100%. TRACERT туда же показывает, что пакеты заблудились в локалке провайдера. IPCONFIG утверждает, что основной шлюз моего ВПН-подключения к офису совпадает с моим ай-пи, хотя должен совпадать с адресом ВПН-сервера в офисе.

Можно ли здесь как-то грамотно настроить маршрутизацию??

Спасибо.

[SinClaus]

Можно. Сервер VPN и гейт провайдера, через который достигается этот сервер, должны быть доступны через то, через что устанавливается эта VPN (т.е. если VPN устанавливается на eth0, нужно прописать маршруты к этим хостам через неё), всё остальное - через устанавливаемую VPN