Сеть в сети, pdn_mail, 30-Июн-10, 18:16 [смотреть все]Здравствуйте! Возникла передо мной нетривиальная задача, тем более, что я ещё не совсем профессионал в настройках маршрутизаторов, начинающий пользователь так сказать. Схемка прилагается - http://www.sinor.ru/~pdn_mail/proekt.jpg Итак, есть у нас корпоративная сеть. Её адресация начинается с 172.20.0.0/16 и пошла биться на подсети. В том числе в "Нашей конторе" есть ЛВС1 и присвоеная ей сеть 172.24.100.0/24, и также в нашем "Филиале нашей конторы" (попросту филиале) ЛВС1 с присвоеной сетью 172.24.101.0/24. Вся маршрутизация между ЛВС1 московской конторы, нашей и филиалом, осуществляется с помощью корпоративных маршрутизаторов, к которым у меня нет никакого доступа. Пакеты между станциями из ЛВС1 филиала ходят как в ЛВС1 нашей конторы так и в ЛВС1 москвы и обратно естественно. ЛВС1 защищены файерами, за стенкой только маршрутизаторы.Так вот, нам понадобилось (по своим причинам) сделать независимую сеть для мобильных клиентов. Т.е. ввести в строй распределённую ЛВС2 в нашей конторе и филиале, так чтобы мобильные клиенты могли работать и авторизоваться на сервере установленом в конторе в ЛВС2. Доступ к ЛВС1 не предполагается. Что имеем для организации: Два дополнительных маршрутизатора, в нашей конторе и филиале серии 2811. Два коммутатора в нашей конторе и филиале. Модемы само собой. Коммутаторы подцепляем в нашей конторе и филиале в разрыв корпоративных маршрутизаторов и файеров. Подключаем в коммутаторы дополнительные маршрутизаторы. На дополнительных маршрутизаторах подымаем сеть с удалённым доступом для мобильных клиентов. В общем всё как нарисовано на схемке. Вот тут и возникает у меня вопрос, в нашей конторе примерно понятно как настроить маршрутизацию чтобы удалённые клиенты авторизовались радиусом и работали с сервером конторы в ЛВС2. А вот как это сделать для филиала пока ещё мысли не оформились. Думаю что наверное надо прикрутить статическую маршрутизацию, только как? чтобы это всё ходило и мобильные пользователи филиала работали на сервере конторы в ЛВС2, может есть ещё способы. В общем вот он и вопрос, такое вообще можно сделать в принципе и какая примерно должна быть конфигурация на дополнительном маршрутизаторе в конторе и филиале? Помним что маршрутизаторы корпоративки мы трогать не можем. Ну и в будущем возможно эта схема будет масштабироваться на другие конторы. Помогите пожалуйста, если возможно то и с примером конфигурации.
|
- Сеть в сети, pdn_mail, 18:23 , 30-Июн-10 (1)
Тут вот подумал ещё. Надо будет наверное RIP отключить на дополнительных маршрутизаторах, чтобы они не мешали работе корпоративных маршрутизаторов и всё сделать статическими маршрутами. Ну ещё конечно можно маршрутизаторы попроще, но пока есть только такие, да это и не важно, главное принцип работы.
- Сеть в сети, GolDi, 10:22 , 01-Июл-10 (2)
>Тут вот подумал ещё. Надо будет наверное RIP отключить на дополнительных маршрутизаторах, >чтобы они не мешали работе корпоративных маршрутизаторов и всё сделать статическими >маршрутами. Ну ещё конечно можно маршрутизаторы попроще, но пока есть только >такие, да это и не важно, главное принцип работы. vpn
- Сеть в сети, pdn_mail, 13:28 , 02-Июл-10 (3)
Это получается надо VPDN на cisco подымать? а на других маршрутизаторах (H3C, Nortel) авторизация по radius из филиала просто через VPN делается?Ещё такой вопрос, какие простые маршрутизаторы можете посоветовать, чтобы можно было модемный пул до 4 модемов организовать? Не обязательно cisco, но чтобы мог с ним в паре проброску авторизации через VPN делать.
- Сеть в сети, GolDi, 16:10 , 02-Июл-10 (4)
>Это получается надо VPDN на cisco подымать? Зачем, сделайте туннель между маршрутизаторами ЛВС2, так как у вас нет доступа к корпоративным маршрутизаторам Только IP адреса должны быть разными в разных сегментах ЛВС2 >а на других маршрутизаторах (H3C, >Nortel) авторизация по radius из филиала просто через VPN делается? через туннель можно настроить > >Ещё такой вопрос, какие простые маршрутизаторы можете посоветовать, чтобы можно было модемный >пул до 4 модемов организовать? Не обязательно cisco, но чтобы мог >с ним в паре проброску авторизации через VPN делать. не знаю
- Сеть в сети, pdn_mail, 09:57 , 03-Июл-10 (5)
Спасибо! Значит всё должно получиться. >>Это получается надо VPDN на cisco подымать? > >Зачем, сделайте туннель между маршрутизаторами ЛВС2, так как у вас нет доступа >к корпоративным маршрутизаторам >Только IP адреса должны быть разными в разных сегментах ЛВС2 На схеме проекта у меня в конторе и филиале в ЛВС2 они разные, в конторе сеть 192.168.1.0/24, а в филиале 192.168.3.0/24. Но тут видимо я могу ошибаться, в филиале надо бы наверное рисовать подсеть 192.168.1.128/25 (ну или в конторе сразу 192.168.0.0/16), или это без разницы, можно просто иметь разные сети как на схеме и одну выделить для VPN?
- Сеть в сети, Andrey, 21:54 , 05-Июл-10 (6)
>[оверквотинг удален] >пока ещё мысли не оформились. Думаю что наверное надо прикрутить статическую >маршрутизацию, только как? чтобы это всё ходило и мобильные пользователи филиала >работали на сервере конторы в ЛВС2, может есть ещё способы. > >В общем вот он и вопрос, такое вообще можно сделать в принципе >и какая примерно должна быть конфигурация на дополнительном маршрутизаторе в конторе >и филиале? Помним что маршрутизаторы корпоративки мы трогать не можем. Ну >и в будущем возможно эта схема будет масштабироваться на другие конторы. > >Помогите пожалуйста, если возможно то и с примером конфигурации. В нормальных конторах местные админы за подобные вещи обычно по шапке получают, если обнаруживается необснованный гейт в корпоративной сети. Я бы начала на вашем месте очень серьезно подумал.
- Сеть в сети, pdn_mail, 09:43 , 08-Июл-10 (7)
>В нормальных конторах местные админы за подобные вещи обычно по шапке получают, >если обнаруживается необснованный гейт в корпоративной сети. Я бы начала на >вашем месте очень серьезно подумал. Нет не получу, иначе бы даже пробовать не стал. Вопрос остался, как рисовать сеть в конторе и филиале? 1. в конторе сеть 192.168.1.0/24, а в филиале 192.168.3.0/24 или 2. в конторе - 192.168.1.0/24, и в филиале 192.168.1.128/25 или 3. в конторе - 192.168.0.0/16, и в филиале 192.168.3.0/24 Как будет правильней, чтобы нормально VPN работал? или всё правильно, и лишь дело вкуса какую сеть нарисовать?
- Сеть в сети, GByte, 20:52 , 18-Июл-10 (8)
>[оверквотинг удален] > >Вопрос остался, как рисовать сеть в конторе и филиале? >1. в конторе сеть 192.168.1.0/24, а в филиале 192.168.3.0/24 >или >2. в конторе - 192.168.1.0/24, и в филиале 192.168.1.128/25 >или >3. в конторе - 192.168.0.0/16, и в филиале 192.168.3.0/24 > >Как будет правильней, чтобы нормально VPN работал? или всё правильно, и лишь >дело вкуса какую сеть нарисовать? Если говорить только про адресацию, то тут нужно помнить про суммирование маршрутов. Тогда получается что например в центральном офисе все сети можно описать суммой 192.168.0.0/19, в филиале №1 192.168.32.0/19 и так далее. Или проще для наглядности использовать сеть 10.0.0.0/8 и дробить ее на каждый филлиал с маской /16.
|