Как связать два офиса в единую локальную сеть?

Question

[Sinot]

Здравствуйте.

Вопрос не оригинальный, но решения я найти не смог.
Есть две части локальной сети в разных городах, с интернетом (разные провайдеры, так что VLAN отменяется). В локальной сети города 1 работают сервера DHCP, DNS, сервер контролера домена, файловый сервер, почтовый сервер, VPN-сервер (Windows) и рабочие места. В городе 2 рабочие места просто соединены в локальную сеть и присутствует компьютер с двумя сетевыми картами под управлением Debian Wheesy (подключен к интернету через внешний роутер).

В городе 2 мне удалось настроить VPN-туннель (через утилиту pptp-linux) на машине с Debian и получить доступ ко всем ресурсам локальной сети города 1. Собственно вопрос в том, как создать сетевой мост между второй сетевой картой и VPN-туннелем, чтобы все остальные машины города 2 стали частью локальной сети города 1?

Попробовал объединить вторую сетевую карту и VPN-соединение с помощью bridge-utils, но, видимо, это был в корне не верный подход.
Попробовал создать сетевой мост с помощью iptables:

iptables -A FORWARD -i eth0 -o ppp0 -j ACCEPT
iptables -A FORWARD -i ppp0 -o eth0 -j ACCEPT

Не сработало. Видимо из-за того, что машины в городе 2 не имеют своей сети, а должны получить настройки из города 1.

Нашел решение этой проблемы с помощью OpenVPN, но установить OpenVPN-сервер в городе 1 не представляется возможным.

На машине с Debian сетевая карта eth1 получает настройки через DHCP от роутера, сетевая карта eth0 не имеет настроек, VPN-соединение - ppp0.

Знаний по этому вопросу катастрофически не хватает, подскажите хотя бы в какую сторону двигаться?

Спасибо.

Answer 1

[Клёвый Админ]

Вам нужен либо EoIP чтобы получить сеть на уровне L2 (но без шифрования), либо IPSec в туннельном режиме чтобы получить сеть на уровне l3 (но без общего DHCP и с разной адресацией), либо IPSec в транспортном режиме плюс EoIP туннель построенный поверх этого транспорта - получаете защищённую плоскую сеть, в том числе с возможной общей адресацией.

Comments

[Sinot]

Спасибо большое. Я так понял IPSec можно реализовать по средством VPN, а вот про EoIP я нашел только разнообразные настройки Mikrotik. Это не тоже самое, что IP-over-IP или IP-туннель?

[Клёвый Админ]

По EoIP есть отличная дока вот тут habrahabr.ru/post/227859

IPSec это отдельный от VPN механизм, работающий немного по иным законам нежели VPN. Ну то есть в случае с VPN (равно как и EoIP) вы просто говорите "вот между этими двумя айпишниками у меня туннель" и дальше маршрутизируете туда трафик, то для IPSec вам не просто нужно указать "концы" но и в самих же настройках IPSec сказать для какого трафика служба должна сама поднимать туннель (то есть порядок построения туннеля обратный - вначале трафик потом сеть).

Хорошая демонстрация как это работает в ядре есть в документации к микротику (она применима и для большинства линуксов) wiki.mikrotik.com/wiki/Manual:Packet_Flow последние две диаграммы.

[Клёвый Админ]

Но к делу это отношение имеет опосредованное. У вас всё будет так:
1. Между двумя адресами подняли IPSec шифрование в транспортном режиме - в этом режиме будет зашифрован трафик идущий именно между этими двумя адресами
2. Установили EoIP как в доке по ссылке
3. Проверили пинги - должны ходить \ проверили IPSec счётчики - должны расти
4. Соединили полученные EoIP туннели с локальной сетью в бридж на обоих концах - получили плоскую сеть.

Answer 2

[Mak1012]

А что мешает в городе 2 использовать свою подсеть?
Все станет проще.

Comments

[Sinot]

"Нужно сделать именно так." В общем заложник ситуации.