Как настроить маршрутизацию между клиентами vpn сервера?

Question

[semax95]

Добрый день.
Имеется такая схема сети:

На сервер операционная система Debian 9.

Хочу настроить сеть так, чтобы клиенты которые подключились к серверу vpn могли получить доступ к клиентам за microtic. Но при этом клиенты использовали разный интернет: те кто подключились к vpn серверу использовали интернет на vpn сервере, а те кто за microtic использовали интернет который на microtic.

Подскажите как настроить правильно маршрутизацию?

Спасибо res2001, совершенно забыл указать vpn сервер, сервер: l2tp/ipsec

Comments

[res2001]

Не написали главного - какой вариант ВПНа используете.
В OpenVPN это рулится настройками ВПН сервера, можно для каждого клиента сделать отдельные настройки.

[semax95]

res2001, vpn сервер: l2tp/ipsec

[res2001]

semax95, В виндовом клиенте в свойствах IP4 в свойствах подключения зарыта галка, что-то типа "Использовать как маршрут по умолчанию" (в английской винде она называется "Use default gateway on remote network"). Она по умолчанию включена и при подключении весь трафик направляется на ВПН сервер (т.е. обычный шлюз по умолчанию заменяется адресом ВПН сервера). Если ее выключить этого не происходит и маршрутизация идет обычным образом, т.е. интернет трафик пойдет через свой маршрутизатор, а через ВПН пойдет только трафик для подсети ВПН.
Подозреваю, что и в настройках клиента на микротике есть похожая настройка.

[semax95]

res2001, тут суть вопроса: как настроить конфигурацию чтобы клиенты которые подключились к vpn серверу могли попасть в локалку микротика и наоборот

[res2001]

На этих клиентах добавьте в таблицу маршрутизации соответствующую запись для сети за микротиком, шлюзом указывайте IP микротика в ВПН.
Например клиент на винде, а сеть за микротиком имеет адрес сети 192.168.1.0/24:
route -p add 192.168.1.0 mask 255.255.255.0 192.168.42.2

Как автоматически это сделать при подключении - х.з., я толком не работал с этим вариантом ВПН. Но можно и статикой сделать - ничего страшного, что подключения может не быть.

Answer 1

[Олег Попов]

Я бы сделал....
1. Поднял OSPF на сервере и mikrotik_е.
2. Объявил сеть 192.168.42.0/??? на сервере.
3. На mikrotik_е объявил две сети: 192.168.42.0/?? и 172.30.0.0/??
Т.к. (вероятнее всего) на сервере дефолтным гейтом является выход в интернет, то и все клиенты из сети 192.168.42.0/?? (кроме самого mikrotik_а) должны выпрыгивать через NAT в интернет сервера.
На микротике дефолтным гейтом сделать выход в интернет (свой), а для клиентов сети 172.30.0.0/?? - гейтом сам микротик.

Answer 2

[krosh]

l2tp/ipsec - это протоколы, не версия сервиса. Скорей всего вы используете StrongSwan. Переходите на IKEv2, уже все правильные ребята так давно сделали, это проще в поддержке чем l2tp.

Вам нужно добавить два статических маршрута на дебиан сервере и на микротике.

Дебиан: ip route add 172.30.0.0/24 via eth0
Микротик: ip route add 192.168.42.0/24 via eth0

Команды написаны условно. eth0 - вирт. адаптер впн-подключения. Не забудьте разрешить форвард-трафик на обех роутерах, чтобы трафик до подсети проходил. В инет трафик будет идти по дефолтовому маршруту, а в прописанную подсеть через интерфейс впн-подключения.