Маршрутизация и vpn

[Anton67]

Для начала, показываю схему сети

 

Основная подсеть 10.0.0.0/24 соединяется с 10.0.1.0/24 и 10.0.2.0/24 при помощи шлюзов 10.0.0.2 и 10.0.0.3 обычным роутингом.

На 10.0.0.2 и 10.0.0.3 прописаны маршруты к 10.0.1.0/24 и 10.0.2.0/24, соотвественно, 10.0.1.10 может "видеть" 10.0.2.10 без проблем.

 

Когда же 10.0.1.10 подключается к vpn на 10.1.1.1, то шлюзом по-умолчанию становится виртуальный интерфейс и понятное дело, этот компьютер ничего, кроме инета и локалки не видит.

 

Можно ли как-то управлять маршрутами на клиенте при подключении к vpn-серверу? Или другим путем? Возможно, стоит подумать о icmp redirect'ах? Гонять трафик между подсетями через vpn желания нет. Статические маршруты на клиенте тоже не подходят

 

P.S. все серверы на FreeBSD

Edited April 5, 2007 by Anton67

[Deac]

Статические маршруты нужно прописать на стороне FreeBSD, как это сделать зависит от реализации VPN (MPD, POPTOP, ...)

При подключении к VPN, кроме дефолтного маршрута будут добавляться и прописанные статические.

Если клиентами VPN могут быть компьютеры из разных подсетей, то статические маршруты должны быть адаптивными.

[dwemer]

Статические маршруты нужно прописать на стороне FreeBSD, как это сделать зависит от реализации VPN (MPD, POPTOP, ...)

При подключении к VPN, кроме дефолтного маршрута будут добавляться и прописанные статические.

Если клиентами VPN могут быть компьютеры из разных подсетей, то статические маршруты должны быть адаптивными.

не подскажите как это сделать в mpd ? :) доку перечитал 3 раза - не нашел Edited April 5, 2007 by dwemer

[Alteron]

Смотри в сторону set iface up-script/down-script.

[Anton67]

Смотри в сторону set iface up-script/down-script.

А что в них смотреть-то? Они выполняются на стороне сервера, а маршруты нужны на клиенте.

[Anton67]

Нашел решение - параметр Framed-Route у Radius, который я использую в связке с mpd

[dwemer]

хм, все бы хорошо ... но куда этот параметр можно прописать в utm5_raduis от нетапа ? %)

[TSM]

10.1.1.1 - это в тырнет ?

 

Я решил прописыванием маршрутов в DHCP.

 

option rfc3442-classless-static-routes code 1

option ms-classless-static-routes code 249 = string

option ms-classless-static-routes 10:c0:a8:c0:a8:01:ee

 

В HEX-ах побайтно длина маски, сеть, роутер

16/192.168|192.168.1.238

 

Если я конечно правильно понял задачу )

 

При поднятии VPN-соединения в этом случае винда не лезет через инет в соседний сегмент :)

Edited April 7, 2007 by TSM

[Klush]

Немного отвлекусь, но может кто сможет подсказать.

 

В мою квартиру приходит Интернет по VPN на компьютер с ip, mac адресами и проверкой по пользователю.

 

Мне нужно подключить 2-ой компьютер (сервер) к этому каналу.

 

Вопрос. Какое оборудование мне нужно поставить на провод в квартиру что бы одновременно работали 2 компьютера в Интернете?

 

Спасибо за внимание!

Edited April 23, 2007 by Klush

[mikevlz]

интернет-шлюз на нужное количество компьютеров с поддержкой нужного типа VPN.

[t0ly]

либо поставить 2-ю сетевуху и расшарить vpn подключение, второй компьютер подключить кроссоверным кабеле ко -й сетевухе

[Klush]

либо поставить 2-ю сетевуху и расшарить vpn подключение, второй компьютер подключить кроссоверным кабеле ко -й сетевухе

Так уже стоит. Хотелось бы подключить 2-ой компьютер к каналу а не копьютеру.

 

Какой роутер выполнит такие условия подключения?

 

интернет-шлюз на нужное количество компьютеров с поддержкой нужного типа VPN.

ну так какой нужен шлюз

[mikevlz]

тот, который поддерживает нужный тип VPN.

виртуальные частные сети можно делать на разной основе, какая именно виртуальная частная сеть у вашего провайдера - не указано, посему рекомендовать конкретное железо будет глупо.

[Grey]

Нашел решение - параметр Framed-Route у Radius, который я использую в связке с mpd

... и виндовый клиент не примет этого от сервереа доступа ... даже Reply-Message не принимает.... а клиент, к примеру, под FreeBSD всё это прекрасно принимает и пережёвывает... :)

[mikevlz]

наткнулся на мамонта в сетке, вин98 не понимает бесклассовых маршрутов. Пришлось руками дописывать статику, благо там нужен только инет.