Как обойти ограничение Мегафона на доступ по IP между его абонентами?

Question

[vkapas]

У Мегафона есть неочевидное ограничение для абонентов его мобильной сети, которое описано, например здесь:

В рамках услуги не предоставляется возможность прямого IP-соединения между двумя абонентами, использующими IP-адреса, присвоенные Северо-Западным филиалом ПАО «МегаФон»

(об услуге «Статический IP-адрес»)

То есть, если два неких устройства выходят в сеть с помощью мегафоновского модема, то увидеть друг друга они не смогут, от слова совсем. При том, что из других сетей до каждого из них можно будет достучаться без проблем.

Как можно обойти это ограничение?

Хочется найти какое-то красивое решение, т.к. большая часть сети на Мегафоне, а IP специально был заказан для доступа к серверу из любого удалённого офиса, чтобы обойтись без сторонних VPN (до этого некоторое время пробовали работать через Zerotier, например).

У самого Мегафона есть услуга «Виртуальная частная сеть (IP VPN)», но описана она очень общими словами, не совсем понятно, что именно предлагается, нужно ли покупать их оборудование, ни цен ни технических подробностей не приведено; а техподдержка несёт какую-то ересь, про то, что статический IP — это и есть VPN.

Comments

[Николай]

А вы проверяли - этот статический IP действительно выдаётся на устройство? Мегафон у вас не использует ли трансляцию со своего белого адреса на серый(который уже на устройстве) порт в порт?

[vkapas]

nevzorofff: а как это можно проверить? Все сервисы по определению IP отдают именно тот адрес, что выдал Мегафон. Keenetic Giga, куда подключён модем, также отображает именно его.
В любом случае, такое ограничение ввели не вчера (я нагуглил обсуждение аж 11-го года), а в поддержке это ещё раз подтвердили.

[Николай]

vkapas: ну сопсно вы уже проверили - на роутере своём вы видите внешний адрес.
Я в описании услуги не вижу текста об отсутствии связности между белыми адресами Мегафона. На мой взгляд это идиотизм. А вот если в вашей цитате речь идёт об отсутствии связности между серыми адресами - ещё как-то можно понять.

[vkapas]

nevzorofff: ну в моём случае выглядит так:
Сервер с белым заказанным у Мегафона IP доступен для пинга снаружи.
Пингую его с шести разных физически удалённых друг от друга хостов.
С 4-х всё ОК, с 2-х получаю "Превышен интервал ожидания для запроса", и эти два — на мегафоновском модеме.
Судя по другим обсуждениям, покупкой IP для каждого из хостов Мегафона проблема не решается.
Получается, да, идиотизм. И/или вынужденное техническое ограничение, уже не знаю.

Answer 1

[yakov_cyb]

никак

Answer 2

[solalex]

Просто возьмите любого проводного провайдера, купите у него белый IP, поднимите на нем свой VPN и надолго забудьте о проблемах. Если pptp плохо ходят, то l2tp в принципе работают везде.

Comments

[vkapas]

Да, такое решение рассматривали, но, к сожалению, в здании не оказалось ни одного провайдера, а специально для нас протянуть оптику согласились за неподъёмную суму.

[Николай]

Вот с L2tp не всё так гладко. У Уфанета какой-то странный нат, из-за которого l2tp почему-то не пробивается - соединение не устанавливается.

Answer 3

[nApoBo3]

В как к мегафону подключены, как физ или как юр.лицо?
ИМХО самый простой способ, разместить на колакейшен шлюз или развернуть шлюз в облаке.

Comments

[vkapas]

Подключён как юр.лицо.
Про шлюз не могли бы скинуть ссылку-другую на пример настройки такой схемы или готовую услугу? Такое раньше не настраивал/не заказывал, а гугление выдаёт видимо не то, что мне требуется.

[nApoBo3]

vkapas: Колокейшен( colocation ), это размещение своего оборудование на узле "провайдера", т.е. вы ставите шлюз не у себя, а у провайдера, оптику к вам тянуть не надо. Аналогично можно поставить linux в облаке( напимер digitalocean ) и настроить шлюз на нем, а все клиенты будут подключены к нему. Это аналог vpn но самостоятельно.

[vkapas]

nApoBo3: спасибо, я имел ввиду пример реализации шлюза — например, чем он отличается от своего VPN-сервера в том же DO.

[nApoBo3]

vkapas: VPN это в некотором смысле частный случай шлюза. Если нет необходимости аутентифицировать клиентов или шифровать трафик можно обойтись без него.