объединение ОДНОЙ сети через VPN



  • Гуру, здравствуйте.

    Подскажите мне какими механизмами или методами можно объединить ОДНУ локальную сеть 192.168.10.х \24 через впн тоннель пир ту пир.

    мне в целом надо дать доступ клиентам сети 192.168.10.х  к 5ти уехавшим в дата-центр серверам из этой же сети 192.168.10.х не перенастраивая 170 клиентов на новые адреса.

    я могу конфигурировать сетевые адаптеры и виртуальные сетки как угодно, так как все крутится на вмваре.

    на моей стороне локалка 192.168.10.х  с Пфсенс , на той стороне теперь тоже локальная сеть с пфсенс , но 192.168.20.х \24 … Оба шлюза объединены через опенвпн и маршрутизация работает нормально по новым адресам, но нужно чтобы работала по старым.

    может объявить новые интерфейсы , создать новые на вин серверах ... как-то нат настроить или вирт.айпи ? ??

    надеюсь на вашу помощь..



  • По идее вам нужен Open VPN в режиме TAP.
    Это и есть режим работы в одной подсети, более того - в режиме L2.
    Единственное, что нужно предусмотреть - уникальность IP на каждой стороне.



  • да , изучал как раз различия tun и tap адаптеров . Как настроить их в опенвпн на пфсенс..и будет ли это верным решением ?

    если есть какие-то данные или снстррукции под рукой.. подскажите пожалуйста. Я пока серфингом занимаюсь по этому вопросу.

    п.с. уникальность я гарантирую )



  • Навскидку пара мануалов, несколько устаревших (например - пакет bridge fix не нужен), но смысл действий ясен:
    https://forum.pfsense.org/index.php?topic=46984.0
    http://bertdotself.com/configuring-an-openvpn-multisite-vpn-bridge-using-public-key-infrastructure-pki



  • спасибо за маны..
    с англ.языком туго , да и автор явно не пытался доступно описать.. но действительно многое ясно.

    Еще раз спасибо. Сейчас попробую завести новый сервер…пропустив пункты по сертификатам и прочему с ним связанному.. ибо это уже и так есть при пир-ту -пир.



  • @Monarh:

    спасибо за маны..
    с англ.языком туго , да и автор явно не пытался доступно описать.. но действительно многое ясно.

    Еще раз спасибо. Сейчас попробую завести новый сервер…пропустив пункты по сертификатам и прочему с ним связанному.. ибо это уже и так есть при пир-ту -пир.

    Я такого за ненадобностью не реализовывал.
    Общий смысл\отличия при использовании TAP - включение OpenVPN и LAN в бридж и неназначение туннелю адресов.



  • т.е. опенвпн, который появится при создании нового сервера объявить как интерфейс, так?



  • так ссс пока не вышло ничего..
    в статье описывается подключение иного типа, а именно Remout Access , я юзаю пир-пир.
    в локал нетворк и ремут нетворк указал свою локальную сеть….
    в мост поставил лан сервера(который принадлежит моей локалке) и новый объявленный интерфейс опенвпн.
    но пока финишь...нет соединения.

    цепь простая  лан 192.168.10.254  - тоннель 40.40.40.0\24 - сеть 192.168.10.х (это сеть на стороне пфсенса клиента, ранее была 20ой. )



  • или мне заюзать режим ремут акцесс, но тогда впн-клиент надо ставить непосредственно на вин.сервер, а не пфсенс. … ? так вроде :)

    или если все же юзать два сенса, то на стороне клиента тоже указать бридж ?



  • Доброе.

    в локал нетворк и ремут нетворк указал свою локальную сеть….

    Для tap это не нужно.

    Оба шлюза объединены через опенвпн и маршрутизация работает нормально по новым адресам, но нужно чтобы работала по старым.

    Попробуйте proxyarp. И не прийдется огород с tap городить. Объяснение - http://xgu.ru/wiki/Proxy_ARP, реализация в картинках для pf - http://olivier.cochard.me/reseaux/pfsense/case–solving-problem-with-nat



  • СПАСИБО ОГРОМНОЕ!

    мы с товарищем тыкались часа 2 и в итоге сделали то, о чем в этой статье написано, что Вы выше дали.. только использовали НАТ 1:1 , а не порт форвард. Ибо мне необходимо все порты прокидывать.

    Есть ли какие-то камни подводные в этом ?



  • Не скажу. Поработаете и проверите.



  • не совсем понял Вас, про все внешние пробросы.  О чем именно речь    ?



  • @Monarh:

    не совсем понял Вас, про все внешние пробросы.  О чем именно речь    ?

    Исправил свой ответ )




  • виртуальный адрес


    НАТ1-1

    вот такие правила

    хитрое исправление…......)))

    но все же.. о каких внешних пробросах речь? чего и куда ...  какая-то интрига образовалась, а у меня тревога )))

    единственное , что я пока заметил из странного, что при трассировке маршрута появилось 3 пункта, вместо одного.... 1) мой шлюз, шлюз тоннеля , и адрес назначения трассировки ...
    Но при этом, адрес тоннеля совпал с неким адресом в интернете на каких-то там бермудских островах.., что мне не нравится..  я не решил как к этому относиться пока еще...  Хотя ясно, что это лишь адрес шлюза тоннеля  овпн, который мой ПК по ДНС приравнял к адресу в интернете...  пинг 2мс говорит ,что за пределы моей сети никуда это не улетало ...



  • о при этом, адрес тоннеля совпал с неким адресом в интернете на каких-то там бермудских островах.

    Не потому ли, что  туннель - 40.40.40.0\24 ?



  • конечено по этой причине, и мой рабочий ПК сопоставил адресу имя..но я уверен, что с трафиком то все в порядке

    поменял тоннель на 10.0.8.0\24