А реально ли организовать lan-lan vpn по ipsec если один канал в Сеть со статическим, а другой с динамическим адресом?

Если конкретно, там где динамический - стоит adsl модем DLink 500T и по NAT выпускает в Сеть.
Можно ли что-то хитрое типа диапазона адресов задать в Remote Gateway? Как устанавливается соединение при поднятии тунеля?
Remote Gateway:
The gateway can be a numerical IP address, DNS name, or range of IP addresses for roaming / NATed gateways.

Спасибо!

Для поднятие IPSec туннеля при динамической адресации нужно использовать agresive mode. Буквально недавно dserge поднимал тунель с циской при использовании динамической адресации

Можно подробнее? Что на каком конце и какой тип туннеля необходимо организовать?

_________________
best wishes, drserge

Имел опыт настройки такого тунеля:


То есть, Router1 был подключен классически, а Router2 стоял в промежуточной сети и внешнего адреса не имел.
Однако, тунель настроился, поднимался только со стороны Router2
На Router1 в качестве peer-address был указан 2.2.2.2

На этапе тестирования реализовал IPSEC VPN LAN to LAN на паре DFL-200. WAN интерфейсы с адресами WAN1 192.168.99.1 и WAN2 192.168.99.2.

В реальной схеме WAN1 со статическим реальным адресом... я его точно не знаю, но не важно, пусть X.X.X.X, а WAN2 находится за NAT модема DSL-500T (который свой внешний IP получает динамически - ?.?.?.?) и IP, к примеру, у него будет 192.168.254.170.

Т.е. что-то типа вот этого:
(LAN 192.168.10.0/24)DFL1(WAN X.X.X.X) ---- (WAN ?.?.?.?)DSL-500T(LAN 192.168.254.192) ---- (WAN 192.168.254.170)DFL2(LAN 192.168.0.0/24)
Для DFL2 в параметрах тунеля я, разумеется, задам Remote Gateway X.X.X.X, а что задать в этом параметре у DFL1? На каком из DFL (или может на обоих) надо ставить галку Agressive mode?

Имхо для модема (DSL-500T) перепутаны WAN и LAN на схеме (вместе с адресацией).


Ну, если DFL200 позволяет указывать в качестве адреса hostname, можно поднять на DSL-500T dyndns и его использовать

_________________
best wishes, drserge

То что IPSec в общем случае "проходябелен" через NAT, я Вам сказал. Только уточните, есть ли у DSL-500T IPSec-Pass-Through?

Ес-но, без манипуляций на DSL-500T туннель будет подниматься только с одной стороны, как и в моём случае.

Про некую возможность указания динамического адреса Вы сами привели фразу: "The gateway can be a numerical IP address, DNS name, or range of IP addresses for roaming / NATed gateways." ИМХО, дальше только натурный опыт.

DSL-500 стоит перед DFL2, вроде всё верно. Просто, ИМХО, Вам показалось, что он стоит перед DFL1

Точно, был невнимателен...

_________________
best wishes, drserge