 Сеть в сети,  pdn_mail, 30-Июн-10, 18:16 [смотреть все]Здравствуйте!
Возникла передо мной нетривиальная задача, тем более, что я ещё не совсем профессионал в настройках маршрутизаторов, начинающий пользователь так сказать.
Схемка прилагается - http://www.sinor.ru/~pdn_mail/proekt.jpg
Итак, есть у нас корпоративная сеть. Её адресация начинается с 172.20.0.0/16 и пошла биться на подсети. В том числе в "Нашей конторе" есть ЛВС1 и присвоеная ей сеть 172.24.100.0/24, и также в нашем "Филиале нашей конторы" (попросту филиале) ЛВС1 с присвоеной сетью 172.24.101.0/24. Вся маршрутизация между ЛВС1 московской конторы, нашей и филиалом, осуществляется с помощью корпоративных маршрутизаторов, к которым у меня нет никакого доступа. Пакеты между станциями из ЛВС1 филиала ходят как в ЛВС1 нашей конторы так и в ЛВС1 москвы и обратно естественно. ЛВС1 защищены файерами, за стенкой только маршрутизаторы.Так вот, нам понадобилось (по своим причинам) сделать независимую сеть для мобильных клиентов. Т.е. ввести в строй распределённую ЛВС2 в нашей конторе и филиале, так чтобы мобильные клиенты могли работать и авторизоваться на сервере установленом в конторе в ЛВС2. Доступ к ЛВС1 не предполагается.
Что имеем для организации:
Два дополнительных маршрутизатора, в нашей конторе и филиале серии 2811.
Два коммутатора в нашей конторе и филиале. Модемы само собой.
Коммутаторы подцепляем в нашей конторе и филиале в разрыв корпоративных маршрутизаторов и файеров. Подключаем в коммутаторы дополнительные маршрутизаторы.
На дополнительных маршрутизаторах подымаем сеть с удалённым доступом для мобильных клиентов. В общем всё как нарисовано на схемке.
Вот тут и возникает у меня вопрос, в нашей конторе примерно понятно как настроить маршрутизацию чтобы удалённые клиенты авторизовались радиусом и работали с сервером конторы в ЛВС2. А вот как это сделать для филиала пока ещё мысли не оформились. Думаю что наверное надо прикрутить статическую маршрутизацию, только как? чтобы это всё ходило и мобильные пользователи филиала работали на сервере конторы в ЛВС2, может есть ещё способы. В общем вот он и вопрос, такое вообще можно сделать в принципе и какая примерно должна быть конфигурация на дополнительном маршрутизаторе в конторе и филиале? Помним что маршрутизаторы корпоративки мы трогать не можем. Ну и в будущем возможно эта схема будет масштабироваться на другие конторы.
Помогите пожалуйста, если возможно то и с примером конфигурации.
|
- Сеть в сети, pdn_mail, 18:23 , 30-Июн-10 (1)
Тут вот подумал ещё. Надо будет наверное RIP отключить на дополнительных маршрутизаторах, чтобы они не мешали работе корпоративных маршрутизаторов и всё сделать статическими маршрутами. Ну ещё конечно можно маршрутизаторы попроще, но пока есть только такие, да это и не важно, главное принцип работы.
- Сеть в сети, pdn_mail, 13:28 , 02-Июл-10 (3)
Это получается надо VPDN на cisco подымать? а на других маршрутизаторах (H3C, Nortel) авторизация по radius из филиала просто через VPN делается?Ещё такой вопрос, какие простые маршрутизаторы можете посоветовать, чтобы можно было модемный пул до 4 модемов организовать? Не обязательно cisco, но чтобы мог с ним в паре проброску авторизации через VPN делать.
- Сеть в сети, GolDi, 16:10 , 02-Июл-10 (4)
- Сеть в сети, pdn_mail, 09:57 , 03-Июл-10 (5)
Спасибо! Значит всё должно получиться.
>>Это получается надо VPDN на cisco подымать?
>
>Зачем, сделайте туннель между маршрутизаторами ЛВС2, так как у вас нет доступа
>к корпоративным маршрутизаторам
>Только IP адреса должны быть разными в разных сегментах ЛВС2 На схеме проекта у меня в конторе и филиале в ЛВС2 они разные, в конторе сеть 192.168.1.0/24, а в филиале 192.168.3.0/24. Но тут видимо я могу ошибаться, в филиале надо бы наверное рисовать подсеть 192.168.1.128/25 (ну или в конторе сразу 192.168.0.0/16), или это без разницы, можно просто иметь разные сети как на схеме и одну выделить для VPN?
- Сеть в сети, Andrey, 21:54 , 05-Июл-10 (6)
- Сеть в сети, pdn_mail, 09:43 , 08-Июл-10 (7)
>В нормальных конторах местные админы за подобные вещи обычно по шапке получают,
>если обнаруживается необснованный гейт в корпоративной сети. Я бы начала на
>вашем месте очень серьезно подумал. Нет не получу, иначе бы даже пробовать не стал. Вопрос остался, как рисовать сеть в конторе и филиале?
1. в конторе сеть 192.168.1.0/24, а в филиале 192.168.3.0/24
или
2. в конторе - 192.168.1.0/24, и в филиале 192.168.1.128/25
или
3. в конторе - 192.168.0.0/16, и в филиале 192.168.3.0/24 Как будет правильней, чтобы нормально VPN работал? или всё правильно, и лишь дело вкуса какую сеть нарисовать?
|
Версия для распечатки
