VPN hub and spoke
Standardowo po nawiązaniu połączenia VPN klient ma dostęp do zdalnych zasobów np. 192.168.1.X, ale nie ma dostępu do pozostałych podsieci podłączonych przez tunele do serwera VPN.
Jednym z rozwiązań jest utworzenie tuneli każdy z każdym (topologia siatki), lecz wymaga to większego nakładu pracy oraz przy wielu lokalizacjach może okazać się niemożliwe, gdyż routery wspierają określoną liczbę jednoczesnych tuneli VPN.
Poniższy przykład bazuje na Hub and spoke (topologia gwiazdy), aby przez jeden tunel z serwerem VPN (Hub) uzyskać dostęp do zasobów pozostałych klientów VPN (Spokes).
Niewątpliwym plusem takiego rozwiązania jest łatwość konfiguracji oraz wykorzystywanie tylko jednego tunelu (szczególnie istotne w najniższych modelach Vigor, które wspierają 2 tunele VPN).
Minusem jest dodatkowe obciążenie łącza urządzenia centralnego.
Spis treści:
1. VPN LAN-LAN
Metoda 1 – trasa statyczna
Metoda 2 – supersieć
Metoda 3 – trasa domyślna
2. VPN Host-LAN
Metoda 1 – trasa statyczna
Metoda 2 – supersieć
Metoda 3 – trasa domyślna
1. VPN LAN-LAN
Serwer VPN Hub:
– WAN: 1.1.1.1
– LAN: 192.168.1.1/24
Klient VPN Spoke 1:
– WAN: 2.2.2.2
– LAN: 192.168.2.1/24
Klient VPN Spoke 2:
– WAN: 3.3.3.3
– LAN: 192.168.3.1/24
Metoda 1 – trasa statyczna przez VPN
Serwer VPN nie wymaga dodatkowych tras statycznych, gdyż w swojej tabeli routingu ma on wszystkie podsieci osiągalne przez VPN.
Klient VPN Spoke 1 – dodaj odpowiednią trasę statyczną w profilu VPN (w omawianym przykładzie 192.168.3.0/24)
Klient VPN Spoke 2 – dodaj odpowiednią trasę statyczną w profilu VPN (w omawianym przykładzie 192.168.2.0/24)
Metoda 2 – supersieć (agregacja adresów)
Jeśli posiadasz dużą liczbę oddziałów zaadresowanych według schematu 192.168.X.1 /24 to zamiast dodawać osobne trasy statyczne możesz użyć supersieci (agregacji adresów) np. 192.168.0.0 /16.
Serwer VPN wymaga modyfikacji maski lokalnej podsieci jeśli używasz IPsec.
Wynikiem nałożenia maski 255.255.0.0 na adres 192.168.1.1 jest 192.168.0.0.
Klient VPN Spoke 1 – zmodyfikuj adresację oraz maskę zdalnej podsieci w profilu VPN (w omawianym przykładzie 192.168.0.0/16)
Klient VPN Spoke 2 – zmodyfikuj adresację oraz maskę zdalnej podsieci w profilu VPN (w omawianym przykładzie 192.168.0.0/16).
Metoda 3 – trasa domyślna
Serwer VPN nie wymaga dodatkowych tras statycznych, jak również nie wymaga supersieci.
Klient VPN Spoke 1 – zaznacz opcję Change default route to this VPN tunnel, aby skierować cały ruch (również do Internetu) przez tunel
W WAN >> General Setup tylko jeden WAN może być w trybie Always on.
Klient VPN Spoke 2 – zaznacz opcję Change default route to this VPN tunnel, aby skierować cały ruch (również do Internetu) przez tunel
W WAN >> General Setup tylko jeden WAN może być w trybie Always on.
2. VPN Host-LAN
Serwer VPN Hub:
– WAN: 1.1.1.1
– LAN: 192.168.1.1/24
Klient VPN Spoke 3:
– IP karty sieciowej 192.168.4.10
– IP interfejsu VPN: 192.168.1.10
Serwer VPN nie wymaga dodatkowych tras statycznych, gdyż w swojej tabeli routingu ma on wszystkie podsieci osiągalne przez VPN.
Klient VPN Spoke 1 wymaga dodatkowych wpisów w tabeli routingu – użyj jednej z metod opisanych w 1. VPN LAN-LAN.
Klient VPN Spoke 2 wymaga dodatkowych wpisów w tabeli routingu – użyj jednej z metod opisanych w 1. VPN LAN-LAN.
Metoda 1 – trasa statyczna
Serwer VPN nie wymaga modyfikacji ustawień, gdyż w swojej tabeli routingu ma on wszystkie podsieci osiągalne przez VPN.
Klient VPN Spoke 3 – w opcjach zaawansowanych profilu VPN DrayTek Smart VPN CLient kliknij przycisk Więcej a następnie dodaj odpowiednie trasy statyczne w profilu VPN (w omawianym przykładzie 192.168.2.0/24 oraz 192.168.3.0/24)
Tabela routingu po ustanowieniu tunelu
Metoda 2 – supersieć (agregacja adresów)
Jeśli posiadasz dużą liczbę oddziałów zaadresowanych według schematu 192.168.X.1 /24 to zamiast dodawać osobne trasy statyczne możesz użyć supersieci (agregacji adresów) np. 192.168.0.0 /16.
Serwer VPN nie wymaga modyfikacji ustawień, gdyż w swojej tabeli routingu ma on wszystkie podsieci osiągalne przez VPN.
Klient VPN Spoke 3 – w opcjach zaawansowanych profilu VPN DrayTek Smart VPN CLient kliknij przycisk Więcej a następnie dodaj odpowiednią trasę statyczną w profilu VPN (w omawianym przykładzie 192.168.0.0/16).
Tabela routingu po ustanowieniu tunelu
Metoda 3 – trasa domyślna
Serwer VPN nie wymaga modyfikacji ustawień, gdyż w swojej tabeli routingu ma on wszystkie podsieci osiągalne przez VPN.
Klient VPN Spoke 3 – w opcjach zaawansowanych profilu VPN DrayTek Smart VPN CLient zaznacz Użyj domyślnej bramy w sieci zdalnej, aby skierować cały ruch (również do Internetu) przez tunel
Tabela routingu po ustanowieniu tunelu
