Wprowadznie

Topologia siatki
Standardowo po nawiązaniu połączenia VPN klient ma dostęp do zdalnych zasobów np. 192.168.1.x, ale nie ma dostępu do pozostałych podsieci podłączonych przez tunele do serwera VPN.
Jednym z rozwiązań jest utworzenie tuneli każdy z każdym, lecz wymaga to większego nakładu pracy oraz przy wielu lokalizacjach może okazać się niemożliwe, gdyż routery wspierają określoną liczbę jednoczesnych tuneli VPN.
Liczba tuneli wynosi n(n-1)/2 zatem np. przy 6 routerach wymagane jest 15 tuneli.

Topologia gwiazdy
Z użyciem koncepcji  hub and spoke przez jeden tunel z serwerem VPN (Hub) można uzyskać dostęp do zasobów pozostałych klientów VPN (Spokes).
Niewątpliwym plusem takiego rozwiązania jest łatwość konfiguracji oraz wykorzystywanie tylko jednego tunelu (szczególnie istotne w najniższych modelach Vigor, które wspierają 2 tunele VPN).
Minusem jest dodatkowe obciążenie łącza urządzenia centralnego.
Liczba tuneli wynosi n-1 zatem np. przy 6 routerach wymagane jest 5 tuneli.

Metoda 1 – trasa statyczna

Przez tunel VPN kierowany ruch do podsieci zdalnych.
Więcej szczegółów na temat trasy statycznej przez VPN
W routerach tworzących VPN przejdź do zakładki VPN and Remote Access >> LAN-to-LAN.
Stwórz tunele VPN.
Zapoznaj się z przykładami VPN Site-to-Site

Serwer VPN Hub
nie wymaga dodatkowych tras statycznych, gdyż w swojej tabeli routingu ma on wszystkie podsieci osiągalne przez VPN

Klient VPN Spoke 1
dodaj odpowiednią trasę statyczną w profilu VPN (w omawianym przykładzie 192.168.3.0/24)

Klient VPN Spoke 2
dodaj odpowiednią trasę statyczną w profilu VPN (w omawianym przykładzie 192.168.2.0/24)

Metoda 2 – supersieć (agregacja adresów)

Przez tunel VPN kierowany ruch do podsieci zdalnych.
Jeśli posiadasz dużą liczbę oddziałów zaadresowanych według schematu 192.168.x.1 /24 to zamiast dodawać osobne trasy statyczne możesz użyć supersieci (agregacji adresów) np. 192.168.0.0 /16.

W routerach tworzących VPN przejdź do zakładki VPN and Remote Access >> LAN-to-LAN.
Stwórz tunele VPN.
Zapoznaj się z przykładami VPN Site-to-Site

Serwer VPN Hub
wymaga modyfikacji maski lokalnej podsieci jeśli używasz IPsec
Wynikiem nałożenia maski 255.255.0.0 na adres 192.168.1.1 jest 192.168.0.0.

Klient VPN Spoke 1
zmodyfikuj adresację oraz maskę zdalnej podsieci w profilu VPN (w omawianym przykładzie 192.168.0.0/16)
Klient VPN Spoke 2
zmodyfikuj adresację oraz maskę zdalnej podsieci w profilu VPN (w omawianym przykładzie 192.168.0.0/16).

Metoda 3 – trasa domyślna

Przez tunel VPN kierowany ruch do podsieci zdalnych oraz ruch do Internetu.

W routerach tworzących VPN przejdź do zakładki VPN and Remote Access >> LAN-to-LAN.
Stwórz tunele VPN.
Zapoznaj się z przykładami VPN Site-to-Site

Serwer VPN Hub
nie wymaga dodatkowych tras statycznych, jak również nie wymaga supersieci
Klient VPN Spoke 1
zaznacz opcję Change default route to this VPN tunnel, aby skierować cały ruch (również do Internetu) przez tunel
W WAN >> General Setup tylko jeden WAN może być w trybie Always on.

Klient VPN Spoke 2
zaznacz opcję Change default route to this VPN tunnel, aby skierować cały ruch (również do Internetu) przez tunel
W WAN >> General Setup tylko jeden WAN może być w trybie Always on.