Добрый день.

Есть задача организовать VPN поверх внутренней сети провайдера. Т.е. wan интерфейсы всех роутеров будут смотреть в эту локальную сеть. Данная сеть выхода в инет не имеет, поэтому нужно раздать его в филиалах через центральный офис.
С филиалами все понятно, подходит любая железка которая может указывать, в тоннеле находятся все остальные адреса кроме локальных. т.е. All nets или Any.
Проблема в устройстве для центрального офиса. На нем нужна возможность роутить весь vpn трафик в LAN сеть к интернет шлюзу.
Пробовал такое провернуть с DSR-500 неполучилось. Дополнительные локальные сети в static routing прописать можно, а 0.0.0.0 не разрешает. Поэтому инет из филиалов идет в WAN интерфейс, т.е. в никуда.

С DFL серией не работал, может она может такое? Возможно посоветуете какой-то другой вариант.

C DFL такое получится. Смаршрутизируете куда надо.

Часто решаемая на нем задача. Может не чисто в таком виде, но это детали.
Инет шлюз - это что? стороннее устройство?

Бюджет позволит во все офисы DFL?

_________________
6 x DFL-210, 2 x DFL-800. Для DFL-210/260/800/860 лучшая прошивка 2.27.08.03 (for WW). СКАЧАТЬ.
Совет: Не используйте в IP- и Routing-правилах сочетание any/all-nets нигде, кроме временных правил. Иначе возможны бреши в безопасности и несрабатывание последующих правил.

А DFL-260E такое тоже может? Каналы не слишком широкие 1-2 мбит. филиалов всего 7.

Инет шлюз это TMG 2010. В нем тоже есть поддержка IPSec site-to-site, но по всем мануалам только через WAN интерфейсы. А они уже заняты.

DFL во все офисы бюджет не позволяет. Поэтому придется городить огород...

С такой скоростью и общим кол-вом юзеров до 50-ти DFL-260E справится. Это если говорить об интернете.

Но для локальной сети скорости надо побольше, видимо.

Какую скорость позволяет внутр. сеть провайдера?

_________________
6 x DFL-210, 2 x DFL-800. Для DFL-210/260/800/860 лучшая прошивка 2.27.08.03 (for WW). СКАЧАТЬ.
Совет: Не используйте в IP- и Routing-правилах сочетание any/all-nets нигде, кроме временных правил. Иначе возможны бреши в безопасности и несрабатывание последующих правил.

Сеть провайдера позволяет столько, на сколько заплатишь )
Я планирую в центре 6Мбит, 2 филиала по 2Мбит и пять по 1 Мбит.
Нагрузка не самая большая 5-10 компов в каждом филиале. Постоянно висят только RDP сессии + ip телефония. Раз в сутки wsus обновления и изредко доступ к файлам в центре.

Не подскажете в каком разделе искать нужную мне функцию? Хочу по мануалу посмотреть заранее, чтобы потом быстро все настроить.

Основное - руководство по версии 2.27, на английском. Ставить прошивку 2.27.03.25 (for WW). Если хочется урезанное шифрование и связанные с этим проблемы, но зато по росс. законодательству - то 2.27.... (for RU).

Инструкции на русском - на российском сайте в разделе FAQ и на российском ftp.dlink.ru

http://www.dlink.ru/ru/faq/85/
ftp://ftp.dlink.ru/pub/FireWall/

_________________
6 x DFL-210, 2 x DFL-800. Для DFL-210/260/800/860 лучшая прошивка 2.27.08.03 (for WW). СКАЧАТЬ.
Совет: Не используйте в IP- и Routing-правилах сочетание any/all-nets нигде, кроме временных правил. Иначе возможны бреши в безопасности и несрабатывание последующих правил.

Взял на сутки DFL-260E, чтобы проверить все.

Подружил ее на основе мануала http://www.dlink.ru/ru/faq/92/850.html с DSR-250N, но возникло пару вопросов потому что в DFL я дуб.

1. В мануале это не описано, но пока я не разрешил весь входящий трафик к WAN DFL с айпишника второй железки туннель у меня не поднимался. Отсюда вопрос, DFL открывает порты для IPSec автоматом или нужно вручную?

2. Как все-таки на DFL зарулить трафик из VPN на инет роутер в LAN сети? Хотя бы наметки где это в админке.

Юрий, помогите )

Вполне возможно, что тут дело не в DFL. По крайней мере, пока.

Вы уверены, что DSR-250 сможет зарулить весь трафик (0.0.0.0/0) через IPsec? Я совершенно не уверен. Скорее наоборот.

Возможно, это придется делать через pptp/l2tp (c шифрованием или без) или применять вместо DSR более гибкие устройства (DFL или Mikrotik к примеру)

_________________
6 x DFL-210, 2 x DFL-800. Для DFL-210/260/800/860 лучшая прошивка 2.27.08.03 (for WW). СКАЧАТЬ.
Совет: Не используйте в IP- и Routing-правилах сочетание any/all-nets нигде, кроме временных правил. Иначе возможны бреши в безопасности и несрабатывание последующих правил.

У DSR с этим все хорошо:



Я даже поверх инета поднимал тоннель между DSR-500N и DSR-250N. И весь трафик нормально заворачивался в тоннель.

Проблема от того, что у меня мозгов пока не хватает разобраться с роутингом в DFL. Вот и мучаюсь. )

Отвечу позже. Пока занят.

Чисто тезисы:
1. верные маршруты на DFL и шлюзе инета.
2. верные IP правила для доступа в инет этого офиса
3. Работает ли нормально связь между офисами по IPsec каналу?
4. было бы разумно делать связь между офисами по шифрованному IPseс, а для инета по нешифрованному l2tр/pptp/grep каналу. для уменьшения загрузки ЦП/увеличения производительности.

_________________
6 x DFL-210, 2 x DFL-800. Для DFL-210/260/800/860 лучшая прошивка 2.27.08.03 (for WW). СКАЧАТЬ.
Совет: Не используйте в IP- и Routing-правилах сочетание any/all-nets нигде, кроме временных правил. Иначе возможны бреши в безопасности и несрабатывание последующих правил.

Remote IP = any выглядит хорошо
На DFL поставьте Local network = all-nets и сделайте NAT правило ipsec > wan
В целом, ваша схема только на DFL работать будет отлично (проверено)

_________________
Хотите хороший девайс? D-Link DFL!

Хотите считать с него трафик?
http://www.raresoftware.ru/products/lan/dfltc