Как организовать удаленный доступ к сети центрального офиса одного-единственного сервера в филиале?

Question

[Евгений Ферапонтов]

Суть задачи сводится к следующему: в филиалы необходимо "завезти" AD DS. Планируется поставить в каждом филиале по RODC, который каким-то образом должен быть подключен к центральному офису. Доступ для клиентских машин в сеть центрального офиса не нужен, в идеале его вообще не должно быть. В центральном офисе роль маршрутизатора и файрволла выполняет коробка с линуксом, внешние ip статические.
Т.е., фактически, нужен туннель от RODC до нормальных DC. И желательно, чтобы на RODC не пришлось устанавливать никакого софта (OpenVPN клиент, например). Какие могут быть варианты?

UPD: Окей, НЕ остановился на l2tp + ipsec. Вопрос следующий: в центральный офис провайдер отдает интернет по pppoe. L2TP over IPsec over PPPOE = трижды инкапсулированный трафик, внутри которого еще куча инкапсуляций может быть -- такое вообще будет работать?

Answer 1

[Евгений Ферапонтов]

Прочитал тонны материалов по VPN, решил остановиться на IPsec + GRE. Вроде как это стандартный режим работы VPN на базе рутеров Cisco, что в дальнейшем потребует меньше усилий по перенастройке оборудования, плюс уменьшит оверхед при инкапсуляции (на один вложенный уровень меньше!).

Comments

[Евгений Ферапонтов]

Этот мой комментарий теряет силу
>желания и возможности тащить туда железку с linux'ом нет.
т.к. "идиот открыл для себя виртуализацию".

Answer 2

[Ильяс]

Site-to-site VPN c рутером филиала(как вариант OpenVPN) . Далее настройка фаервола.

Comments

[Евгений Ферапонтов]

В филиалах роль рутера выполняет какой-то SOHO D-link, желания и возможности тащить туда железку с linux'ом нет.

Answer 3

[brutal_lobster]

Лучше уж site2site на границе. Так хотя бы при отказе rodc всё продолжит работу.

Если не охота заморачиваться со шлюзами в филиалах, то можно использовать RRAS

Comments

[Евгений Ферапонтов]

>Так хотя бы при отказе rodc всё продолжит работу.
К счастью, ни в одном из них нечему прекратить работать в случае отказа RODC. По крайней мере, не за те пару часов, за которые кто-нибудь подвезет новый КД.
>site2site на границе
Это не совсем понял. Имеется в виду site2site на рутерах, смотрящих напрямую в интернет?

[brutal_lobster]

Да, что-то такое :) Можете поставить микротики вместо сохо длинков - гораздо функциональнее и удобнее в управлении.

Answer 4

[anton1234]

Будет работать. Инкапсуляция будет уменьшать mtu каждого последующего уровня.
Советую погуглить ipsec mtu problem\calculator.