VPN hub and spoke

Spis treści:
Wprowadzenie
Metoda 1 – trasa statyczna
Metoda 2 – supersieć
Metoda 3 – trasa domyślna

Wprowadznie

Topologia siatki
Standardowo po nawiązaniu połączenia VPN klient ma dostęp do zdalnych zasobów np. 192.168.1.x, ale nie ma dostępu do pozostałych podsieci podłączonych przez tunele do serwera VPN.
Jednym z rozwiązań jest utworzenie tuneli każdy z każdym, lecz wymaga to większego nakładu pracy oraz przy wielu lokalizacjach może okazać się niemożliwe, gdyż routery wspierają określoną liczbę jednoczesnych tuneli VPN.
Liczba tuneli wynosi n(n-1)/2 zatem np. przy 6 routerach wymagane jest 15 tuneli.

Topologia gwiazdy
Z użyciem koncepcji  hub and spoke przez jeden tunel z serwerem VPN (Hub) można uzyskać dostęp do zasobów pozostałych klientów VPN (Spokes).
Niewątpliwym plusem takiego rozwiązania jest łatwość konfiguracji oraz wykorzystywanie tylko jednego tunelu (szczególnie istotne w najniższych modelach Vigor, które wspierają 2 tunele VPN).
Minusem jest dodatkowe obciążenie łącza urządzenia centralnego.
Liczba tuneli wynosi n-1 zatem np. przy 6 routerach wymagane jest 5 tuneli.

Metoda 1 – trasa statyczna

Przez tunel VPN kierowany ruch do podsieci zdalnych.
Więcej szczegółów na temat trasy statycznej przez VPN
W routerach tworzących VPN przejdź do zakładki VPN and Remote Access >> LAN-to-LAN.
Stwórz tunele VPN.
Zapoznaj się z przykładami VPN Site-to-Site

Serwer VPN Hub
nie wymaga dodatkowych tras statycznych, gdyż w swojej tabeli routingu ma on wszystkie podsieci osiągalne przez VPN

Klient VPN Spoke 1
dodaj odpowiednią trasę statyczną w profilu VPN (w omawianym przykładzie 192.168.3.0/24)

Klient VPN Spoke 2
dodaj odpowiednią trasę statyczną w profilu VPN (w omawianym przykładzie 192.168.2.0/24)

Metoda 2 – supersieć (agregacja adresów)

Przez tunel VPN kierowany ruch do podsieci zdalnych.
Jeśli posiadasz dużą liczbę oddziałów zaadresowanych według schematu 192.168.x.1 /24 to zamiast dodawać osobne trasy statyczne możesz użyć supersieci (agregacji adresów) np. 192.168.0.0 /16.

W routerach tworzących VPN przejdź do zakładki VPN and Remote Access >> LAN-to-LAN.
Stwórz tunele VPN.
Zapoznaj się z przykładami VPN Site-to-Site

Serwer VPN Hub
wymaga modyfikacji maski lokalnej podsieci
jeśli używasz IPsec
Wynikiem nałożenia maski 255.255.0.0 na adres 192.168.1.1 jest 192.168.0.0.

Klient VPN Spoke 1
zmodyfikuj adresację oraz maskę zdalnej podsieci w profilu VPN (w omawianym przykładzie 192.168.0.0/16)
Klient VPN Spoke 2
zmodyfikuj adresację oraz maskę zdalnej podsieci w profilu VPN (w omawianym przykładzie 192.168.0.0/16).

Metoda 3 – trasa domyślna

Przez tunel VPN kierowany ruch do podsieci zdalnych oraz ruch do Internetu.

W routerach tworzących VPN przejdź do zakładki VPN and Remote Access >> LAN-to-LAN.
Stwórz tunele VPN.
Zapoznaj się z przykładami VPN Site-to-Site

Serwer VPN Hub
nie wymaga dodatkowych tras statycznych
, jak również nie wymaga supersieci
Klient VPN Spoke 1
zaznacz opcję Change default route to this VPN tunnel, aby skierować cały ruch (również do Internetu) przez tunel
W WAN >> General Setup tylko jeden WAN może być w trybie Always on.

Klient VPN Spoke 2
zaznacz opcję Change default route to this VPN tunnel, aby skierować cały ruch (również do Internetu) przez tunel
W WAN >> General Setup tylko jeden WAN może być w trybie Always on.

W tej witrynie stosujemy pliki cookies. Standardowe ustawienia przeglądarki internetowej zezwalają na zapisywanie ich na urządzeniu końcowym Użytkownika. Kontynuowanie przeglądania serwisu bez zmiany ustawień traktujemy jako zgodę na użycie plików cookies. Więcej informacji w Polityce Cookies.

Akceptuję