Как объединить локальные сети через интернет

Хотя тема и избита, но тем не менее, часто многие испытывают затруднения – будь то начинающий системный администратор или же просто продвинутый пользователь, которого начальство заставило выполнять функции эникейщика. Парадоксально, но несмотря на обилие информации по VPN, найти внятный вариант — целая проблема. Более того, даже складывается впечатление, что один написал – другие же нагло скопировали текст. В итоге, поисковая выдача буквально захламлена обилием ненужной информации, из которой стоящее редко можно вычленить. Поэтому я решил в своей манере разжевать все нюансы (может, кому и пригодится).

Итак, что такое VPN? VPN ( Virtual Private Network — виртуальная частная сеть) — обобщённое название технологий, позволяющих обеспечить одно или несколько сетевых соединений (логическую сеть) поверх другой сети (в том числе и интернет). В зависимости от применяемых протоколов и назначений, VPN может обеспечивать соединения трёх видов: узел-узел, узел-сеть и сеть-сеть. Как говорится, без комментариев.

VPN позволяет легко объединить удаленный хост с локальной сеткой фирмы или другого хоста, а также объединить сети в одну. Выгода вполне очевидна – мы легко с клиента VPN получаем доступ к сети предприятия. Кроме того, VPN еще и защищает ваши данные посредством шифрования.

Я не претендую на то, чтобы вам описать все принципы работы VPN, так как есть масса специальной литературы, да и если честно, я и сам много чего не знаю. Тем не менее, если у вас стоит задача «Сделай!», нужно срочно вливаться в тему.

Давайте рассмотрим задачу из моей личной практики, когда нужно было объединить по VPN два офиса –головной и филиал. Ситуацию еще и осложнял тот факт, что в головном офисе стоял видео-сервер, который должен принимать видео с IP камеры филиала. Вот вам вкратце задача.

Способов решения много. Все зависит от того, что у вас есть под рукой. Вообще, VPN легко построить с помощью железного решения на базе различных роутеров Zyxel. В идеале, может случиться и то, что интернет обоим офисам раздает один провайдер и тогда у вас вообще проблем не возникнет (достаточно просто обратиться к прову). Если фирма богата, то может себе позволить и CISCO. Но обычно все решается программными средствами.

А тут выбор велик – Open VPN, WinRoute (учтите, что он платный), средства операционной системы, программы типа Hamanchi (честно говоря, в редких случаях она может и выручит, но полагаться на нее не рекомендую – бесплатная версия имеет ограничение в 5 хостов и еще один существенный минус заключается в том, что все ваше соединение зависит хоста Hamanchi, что не всегда гуд). В моем случае идеально было бы воспользоваться OpenVPN – бесплатной программой, способной незатейливо создать надежное VPN-соединение. Но мы, как всегда, пойдем по пути наименьшего сопротивления.

У меня в филиале интернет раздает шлюз на базе клиентской Windows. Согласен, не самое лучшее решение, но для тройки клиентских компьютеров хватит с головой. Мне нужно сделать VPN-сервер из этого шлюза. Так как вы читаете эту статью, то наверняка уверен, что являетесь новичком в VPN. Поэтому для вас я привожу самый простой пример, который, в принципе, устраивает и меня.

В Windows семейства NT уже вшиты зачаточные возможности серверов. Поднять VPN-сервер на одной из машин не составит труда. В качестве сервера я буду приводить примеры скриншотов Windows 7, но общие принципы будут теми же самыми, что и для старушки XP.

Учтите, что для соединения двух сетей, нужно чтобы они имели разный диапазон! Например, в головном офисе диапазон может быть 192.168.0.x, а в филиале – 192.168.20.x (или любой диапазон серых ip). Это очень важно, так что будьте внимательны. Теперь, можно приступать к настройке.

Зайдите на сервере VPN в Панель управления -> Центр управления сетями и общим доступом ->изменение параметров адаптера.

Теперь нажмите клавишу Alt, вызвав меню. Там в пункте Файл нужно выбрать «Новое входящее подключение».

Поставьте галочки тем пользователям, которые могут входить в систему по VPN. Я настоятельно рекомендую Добавить нового пользователя, назвать его понятным именем и назначить пароль.

После того, как вы это сделали, нужно в следующем окне выбрать как будут подключаться пользователи. Ставьте галку «Через интернет». Теперь вам остается назначить диапазон адресов виртуальной сети. Причем, можно выбрать сколько всего компьютеров может участвовать в обмене данных. В следующем окне выберите протокол TCP/IP версии 4 нажмите «Свойства»:

У вас появится то, что у меня на скриншоте. Если вы хотите, чтобы клиент получил доступ к локальной сети, в которой находится сервер, просто ставьте галку «Разрешить звонящим доступ к локальной сети». В пункте «Назначение IP адресов» я рекомендую указать адреса вручную по принципу, который я выше описал. В моем примере я дал диапазону всего двадцать пять адресов, хотя мог указать просто и два и 255.

После этого жмем на кнопку «Разрешить доступ».

Система автоматически создаст VPN-сервер, который будет сиротливо ожидать, когда к нему кто-либо присоединится.

Теперь остается дело за малым – настроить VPN-клиента. На клиентской машине также идете в Центр управления сетями и общим доступом и выбираете Настройка нового подключения или сети. Теперь вам нужно будет выбрать пункт «Подключение к рабочему месту»

Жмете на «Использовать мое подключение к Интернету и теперь вас выбросит в окно, где нужно будет ввести адрес нашего интернет-шлюза в филиале. У меня он имеет вид 95.2.x.x

Теперь можно вызывать подключение, вводить то имя пользователя и пароль, который вы ввели на сервере и пытаться подключиться. Если все правильно, то вы подключитесь. В моем случае, я могу уже посылать пинг любому компьютеру филиала и запрашивать камеру. Теперь ее моно легко цеплять к видеосерверу. У вас же может быть что-то другое.

Как вариант, при подключении может выскочить ошибка 800, сигнализируящая о том, что с подключением что-то не то. Это проблема брэндмауэра либо клиента, либо сервера. Конкретно я сказать вам не могу – все определяется экспериментально.

Вот так незатейливо мы создали VPN между двумя офисами. Таким же образом можно объединить и игроков. Однако не стоит забывать, что это будет все-таки не полноценный сервер и лучше использовать более продвинутые средства, о которых я расскажу в следующих частях.

В частности, в части 2 мы с вами рассмотрим настройку OPenVPN под Windows и Linux.

Теперь нажмите клавишу Alt, вызвав меню. Там в пункте Файл нужно выбрать «Новое входящее подключение».

После этого жмем на кнопку «Разрешить доступ».

В частности, в части 2 мы с вами рассмотрим настройку OPenVPN под Windows и Linux.

Есть две сети локальные и у каждо выход в интернет.

Вопрос задан более года назад
9138 просмотров

Дмитрий, Да я вроде бы знаю что такое маршрутизация (или я всё же не понял), у меня некоторые порты из wan маршрутизируются на LAN IP, но причем тут VPN? То есть мне, что нужно для всех служб что мне нужны делать маршутизацию портов и откуда и куда не понятно?

Сейчас VPN соединение есть но при попытки открыть smb://192.168.2.21 с MAC OS desktop 1
ip 192.168.1.30 пишет, что подключения нет.

Дмитрий, Я думаю такого функционала у меня в роутере нет.

Это всё что есть:

Дмитрий, Вроде бы тогда должно быть так?

Дмитрий, да, шлюзом установил адрес роутера клиента VPN, а интерфэйсы только такой выбор:

Я только не до конца понимаю, что писать в поле "IP-адрес сети или хоста":
айпишник роутера ВПН сервера? Может сеть 192.168.2.0 ведь это сеть роутера ВПН сервера?

Любой VPN поднимаете на роутере, или внешнем сервере.

А вот по организации этого всего может быть два варианта —

Вы делаете разные подсети в филиалах, к VPN подключается роутер филиала, на нем прописаны маршруты.
Вы оставляете одинаковую адресацию, к VPN подключается каждый компьютер, и получает адрес от VPN сервера.

Смотрите как вам удобней.

Я сделал первый вариант. Вот с маршрутами не понятно. Мне каждый порт нужно маршрутизировать? Допустим мне нужен порт 24267.

внешний ip у меня вида 92.80.20.1 в одной сети и 90.150.200.180 в другой. В LAN уще 192.168.2.1 в одной сети и 192.168.1.1 в другой. Маршрут откуда куда прописывать?

Мне каждый порт нужно маршрутизировать?

Нет, маршрутизируются пакеты.
Маршрут это схема прохождения пакета до нужного адреса.
А порт это просто идентификатор, вот когда пакет дойдет до нужного компьютера, тот посмотрит какой там порт.

По поводу маршрутов — внешние адреса значения не имеют, чтобы сказать какие маршруты нужно знать где VPN сервер стоит, какой у него адрес.

АртемЪ, VPN на роутере у которого внешний 92.80.20.1 а внутрений 192.168.2.1

Маршрут на роутере с ВПН сервером

Подобные задачи решаются с помощью ВПН вполне тривиально.
Если в Вашем случае соединение установлено успешно и Вы с одного роутера видите другой (по внутренним впн адресам), значит дело в роутинге. Каждый роутер должен знать, какая сеть расположена за другим, иначе будет ситуация как у Вас — никто никого не видит )
Пример:
роутер1: впн адрес 10.8.0.1, сеть за ним 192.168.1.хх
роутер2: впн адрес 10.8.0.2, сеть за ним 192.168.2.хх

На первом роутере прописывается статик роут: route add 192.168.2.0 mask 255.255.255.0 gateway 10.8.0.2
На втором, аналогично, но наоборот )): route add 192.168.1.0 mask 255.255.255.0 gateway 10.8.0.1
Команды могут незначительно отличаться в зависимости от софта, скорее всего у Вас вообще будет графическая админка, а там что-то вроде "сеть", "маска", и "шлюз", в примере это соответствует первому, второму и третьему значению.
При условии, что все компьютеры в сетях имеют шлюз по умолчанию == внутреннему айпи своего роутера (х.х.1.1/х.х.2.1.), все должно заработать сразу после добавления роутов.

п.с. А прозрачности в мак-адресах, можно добиться опцией "proxy-arp" 😉

а вот если такая сеть то как прописать? ТОСТЕР на даёт мне больше возможности оставлять комментарии. лимит на день исчерпан.

адреса роутеров пингуются без прописки маршрутов но только с MAC, и ПК в сети не пингуются:

На windows ещё хуже сеть 192.168.1.1 вообще не видна:

У пптп сервера/клиента должны быть свои внутренние адреса. У Вас на схеме только WAN и LAN.
Их можно посмотреть в настройках роутеров в закладке "интерфейсы" или "статические маршруты", как вариант — там тоже видны настройки. На худой конец — в логе загрузки роутера после рестарта видны присвоения адресов.
Кроме того, неплохо указывать параметры сетевых адаптеров на компьютерах, в частности шлюз. Если на "отвечающем" шлюз будет неверным, то ответа не будет, даже если со стороны пингующего все верно.

Вин параметры адаптера выдает по команде ipconfig (выполнять из cmd).

Возможно стоит обновить прошивки на роутерах.
Как-то "неоднозначно" у Вас все работает.

п.с. чтобы клиенсткий айпи "зафиксировать" — можно сузить диапазон до одного адреса )