Как объединить 2 сети в локальную?

Question

[DeNick]

Имеется сервер на ubuntu 18 версии. На нём настроен DHCP в паре с netplan которые раздают ip пользователям по MAC адресам + 3 шлюза для разграничения.
Провайдер даёт 2 ip адреса, один для всех пользователей, второй идёт только в бухгалтерию. Вопрос. Как соединить бухгалтерию и одну машину из общей сети?
Тянуть провод от бухгалтерии до приёмной не вариант, больше 100м получается расстояние.
На сервер заходит кабель от провайдера на первую сетевуху, дальше из второй сетевой карты кабель выходит на switch серверной. Второй провод от коммутатора провайдера идёт в каб. бухгалтерии на роутер и там раздаёт у них сеть.
Для большего понимания, прикладываю схему.

Switch в серверной D-Link DES1016D.

P.s мои догадки реализации:
Есть ещё 3 сетевуха, которую можно вставить в сервер. Думал может на сервере как-то настроить маршрутизацию и к 3й сетевухи подключить бухгалтерию.
Ещё была мысль как-то всё организовать с роутером, в него эти 2 провода вставить, ну и раскинуть с него на сервер и бухгалтерию. Но пока очень мутно представляю как это сделать и это просто мысль, она не продумана вообще.

P.s.s
Ещё я не совсем понимаю как работает коммутатор провайдера (SNR-S2950-24G). Остальные порты этого коммутатора не дают линка, пробовал подключать роутер, реакции 0. Хотел тестовую сеть развернуть, но как я понял остальные порты заблокировали или просто 2 открытых оставили. На нём есть консольный порт, но провода да и пароля у меня нет.

Буду благодарен за любой совет. Прошу не кидаться тапками, пока не так силён в этой теме.

Comments

[Дмитрий]

Модель роутера в бухгалтерии какая? Если между роутером и сервером пинги ходят, то можно организовать VPN между ними. Еще конечно нужно проверить, ограничивается ли скорость (если нет, что считайте, что повезло). А провайдерский коммутатор лучше не трогайте, давать доступ клиентам к настройкам на провайдерском оборудовании - это из разряда фантастики.

[DeNick]

Дмитрий, Да простой роутер tp-link wr840n. Роутер на прямую подключён к свитчу провайдера и как бы на этом всё. Я вот думаю, может какой-то маршрутизатор недорогой взять для этой задачи и подсоединить 2 провода от свитча провайдера к нему. А дальше так же, один провод от маршрутизатора к серверу, другой в бухгалтерию к роутеру. Но как я понимаю это нужен маршрутизатор с двумя WAN портами, всё верно? И что бы посоветовали из оборудования. Спасибо

[Дмитрий]

Я бы немного по другому сделал. Сейчас у вас два независимо друг от друга работающих роутера, их можно было бы заменить на один, поставив его рядом с провайдерским коммутатором. При этом TP-Link окажется вообще не нужен, а сервер, если он выполняет какие-либо задачи, помимо маршрутизации и выдачи ip-адресов по DHCP, можно оставить включенным в локальную сеть одним портом. Из оборудования наверное подойдет Mikrotik RB750Gr3, при условии, что тарифы на интернет не более примерно 300Мбит/с (столько он способен смаршрутизировать, если интернет раздается через PPPoE, а если провайдер не использует инкапсуляцию, то существенно больше). Порты настраиваются гибко, каждый порт может быть и LAN, и WAN, можно задействовать несколько каналов в интернет одновременно. Единственно, настройка с непривычки может показаться сложноватой (но фактически это всего-лишь переработанный интерфейс к стандартным сетевым возможностям Linux - маршрутизации, iptables и т.д.).

[be52]

DeNick, не надо ничего, настрой zerotier на всех компах к которым нужен доступ и пофиг будет какие там провайдеры как подключены

[Дмитрий]

be52, ну конечно можно и так. А если там персональные данные обрабатываются? Кто будет отдуваться, если будет проверка на эту тему?

[be52]

Дмитрий, какая может быть безопасность в сети с неуправляемыми коммутаторами, роутерами tp-link wr840n(конкретно у этой модели например дыра в WPS изкаропки и она не исправляется обновлением прошивки) и школьником в роли сисадмина

[DeNick]

Дмитрий, правильно ли я понял, что под двумя разными роутерами, вы подразумеваете роутер в бухгалтерии и сам сервер? TP-Link можно тогда превратить в свитч + wifi. По поводу

сервер, если он выполняет какие-либо задачи, помимо маршрутизации и выдачи ip-адресов по DHCP, можно оставить включенным в локальную сеть одним портом

не совсем понятно. Ведь он раздаёт по DHCP ip другим компьютерам + там общие файлы в локалке. Получается что в любом случае в сервер будет заходить провод с сетью от роутера microtik, а после с второй сетевой карты сервера будет выходить провод на свитч, который уже передаёт инфу другим свитчам и тд.
Если я всё правильно понял, то вот примерно схему накидал, точнее изменил старую


Не придётся ли изменять все настройки на сервере в dhcp и netplan в таком случае? Ведь там прописаны ip адреса провайдера

З.ы
Тут вопрос назрел. Можно ли из оного провода провайдера вытянуть 2 ip адреса? Ну а дальше в microtik настроить эти маршруты. Или можно тогда обойтись одним сервером и настроить всё там?

[Дмитрий]

Даже если так, то наверное не стоит давать рекомендации, ведущие к дальнейшему усугублению ситуации? ;) A TP-Link можно например прошить в OpenWRT и в этом случае с безопасностью все станет немного лучше, и появится возможность обеспечить доступ между сетями, просто прописав маршруты между сервером и роутером (при условии, что провайдер пропускает трафик), или, что более правильно, поднять IPSEC (правда tp-link выдаст единицы мегабит в шифровании).
P.S. Все когда-то были школьниками...

[DeNick]

be52, Мне кажется можно даже обойтись стандартными средствами винды,организовать VPN. Но тут встаёт вопрос скорости и безопасности в целом. Хотя я могу вполне ошибаться. На счёт оборудования, к сожалению что имеем, эту сеть до меня делали, нужно исходить из этого. Мне по сути нужно БД 1С расшарить на 2 компа, а софт который предложили вы, мне кажется очень избыточен для этого)

[Дмитрий]

DeNick, для того чтобы раздавать файлы и ip-адреса, серверу достаточно только одного порта, смотрящего в локальную сеть. Если вы уберете задачу по маршрутизацию трафика с сервера, то у вас останется один роутер вместо двух, что существенно упростит администрирование. Также ничего не мешает перенести DHCP-сервер на Микротик, там управление выдачей ip-адресов реализовано вполне удобно. Если бы на сервере была установлена винда и контроллер домена, то еще был бы какой-то смысл держать там и DHCP-сервер. А в остальном все правильно поняли.
Возможно ли повесить два IP-адреса на один WAN-порт - зависит от того, как провайдер раздает Интернет. Наверное имеется ввиду, можно ли получить две разные услуги на одном порту? Скорее всего можно, но зависит от того, как конкретно провайдер предоставляет подключение.

[DeNick]

Дмитрий, Ну если в целом последняя схема правильная, то я вас понял. Можно сказать, что по портам там ничего изменять не нужно, только вместо провайдера подключится microtik. А в microtik есть какое-то ограничение по DHCP? Просто у меня больше 70 машин в dhcpd conf прописаны с mac адресами, не совсем понимаю почему прошлый админ пошёл именно по такому пути, но всё же. Тут получается 4 шлюза. 1 серверный, 2-3 под все компы, а последний раздаёт уже динамику под wifi.
Можете ещё посоветовать что-то для тестов? Ну например софт какой-то (знаю что у cisco есть софт например) или может на виртуалке попробовать это проделать.

[Дмитрий]

DeNick, ограничений по количеству dhcp-записей нет, по крайней мере 70 - это точно допустимое количество. А для тестов скачайте и запустите на виртуалбоксе образ Mikrotik CHR, интерфейс и функционал там будут практически те же самые, что и роутера, который я посоветовал выше.

[DeNick]

Дмитрий, спасибо большое за ответ! Попробую в тестовом режиме разобраться

[be52]

DeNick, это самый простой вариант из серии про впн. устанавливаешь на комп эту софтину, в ней подключаешься к своей виртуальной сети по ее короткому идентификатору. в админке от своей сети разрешаешь этим компам подключится и всё, у тебя на этом компе есть связь со всеми компами которые сделали то же самое
никаких ключей адресов и протоколов, красота необыкновенная

[DeNick]

be52, хм, ок, попробую ещё этот варик. Нужно потестить какая скорость будет. Спасибо

Answer 1

[Muhona]

VPN

Comments

[DeNick]

Спасибо, подумаю на счет этого варианта

[seidzi]

Лучше и не скажешь, только VPN либо отдельный vlan от провайдера

[DeNick]

seidzi, VPN средствами винды? Я боюсь на счет маленькой скорости. Тут как бы БД 1С расширить надо и наверно скорость это важно. На счет vlan надо узнать.
А средствами линукса это не сделать? Или маршрутизатор какой дешёвый взять и через него настроиться? Правда в случае сервера я не знаю, будут ли доступны 2 ip по одному кабелю. Что-бы потом с сервера вывести 1 кабель в общую сеть, другой в бухгалтерию.

[Muhona]

DeNick, скорость будет равно скорости канала, 1с тонкий клиент и скорость пофиг.

Answer 2

[paran0id]

Иногда можно договориться с провайдером, чтобы тебе выделили VLAN между площадками.

Comments

[DeNick]

Попробую узнать на счёт этого момента, спасибо за наводку

Answer 3

[Алексей Блышко]

я бы подумал нафига так было сделано и не будет ли хуже, если объеденить приемную с бухгалтерией в одну сеть.

Но вообще если непонятно с какой стороны подступиться, то варианта лучше чем протянуть провод не найти. Эту штуку в любом случае придется поддерживать, как то реагировать на "а у нас не работает" и т.п.

Альтернативный вариант - можно попробовать организовать сеть через такие штуки - https://www.dns-shop.ru/catalog/17a8ac6416404e77/a... - из плюсов - не придется тянуть провод.

Comments

[DeNick]

Делали это до моего прихода на работу, т.к для бухгалтерии нужна отдельная сеть, безопасность все дела.
Такой вариант как бы есть, хоть он и более геморный. Я так понимаю, нужно же вести либо от роутера бухгалтерии, либо от конкретного компа (две сетевухи в брижд). Ну ещё по середине пути впихнуть повторитель, т.к будет больше 100 метров. Но в этих случиях, комп из приёмной будет выходить в интернет через бухгалтерию. Я думаю, что это конечно не особо важная проблема, откуда будет выходить в инет, но вдруг приёмной ещё захочется пользоваться файлами из общей сети)

На счёт сети по эл. проводу, скорость низкая будет, да и всё же лучше стандартными средствами.

Answer 4

[DmitRy52gerry]

Так у вас адреса у сервера и роутера в бухгалтерии как-то связаны? Вы можете подключиться из убунты к роутеру в бухгалтерии? Какая у вас адресация? Белые или серые? Есть связность какая-нибудь?

Comments

[DeNick]

Нет, они не связаны. По сути один кабель с коммутатора провайдера идет в сервер для общей сети, а другой на прямую к роутеру в бухгалтерию. У этих двух ip адресов от провайдера (общий и бухгалтерии) один шлюз разве что, ну и у них подсеть одинаковая, на стороне провайдера конечно же. В схеме всё это я указал, кроме шлюза. IP белый соответственно

Answer 5

[commik]

Маршруты прописать на роутерах

Comments

[DeNick]

Роутер только в бухгалтерии и он присоединён на прямую к свитчу провайдера

[Vinni37]

DeNick, А что это меняет? Если сервер и роутер в одной сети?

[commik]

А сервер != роутер? Подсеть 10.... выходит в интернет? Если да, то сервер служит и роутером (сервер=роутер).

[DeNick]

commik, да, всё верно, сервер = роутер. Просто изначально запутался немного.

Answer 6

[Vinni37]

Варианта два. Первый и самый простой решить вопрос маршрутизацией, если маршрутизацией не получится к примеру провайдер зарежет трафик для серых ip на своем оборудование, то поднять между сервером и роутером vpn

Answer 7

[fpir]

Если соединить роутер бухгалтерии с любым из ваших свичей то можно: как прописать маршрут на компе в приёмной в бухгалтерию и обратно, так и прописать маршруты в подсети на сетевом оборудовании - роутере и сервере(который шлюз). Вы можете это сделать и через интернет, причём пакет, при человеческой маршрутизации у провайдера, не должен уйти дальше первого L3 свича. Но да, для уверенности нужен VPN.
Более того, без всякого L3 оборудования, можно масками настроить так, чтоб одна подсеть входила в другую, при этом доступ из большей в меньшую будет, а наоборот нет. Например 3 компа, №1 имеет доступ к №2 и 3, а номер № 2 - только к №1:
№1 192.168.0.1/23
№2 192.168.0.2/24
№3 192.168.1.0/23
по маршрутизации
Например, втыкаете порт lan1 роутера в порт свича, который не занят. На сервере поднимаете интерфейс 192.168.0.254(интефейс, сетевая не нужна, вешаете его, на ту сетевую, что в свич смотрит) и прописываете маршрут на роутере 10.0.1.0 255.255.255.0(видимо) 192.168.0.254, на сервере маршрут в 10.0.1.0 уже есть, поэтому прописать надо только обратный 192.168.0.0 255.255.255.0 192.168.0.254.
С микротиком... не сказать, что сложней, но придётся ввести несколько новых сущностный, ибо такова парадигма микротика. С другой стороны, вы можете на наём сделать оба входа от провайдера, прописав маршрутизацией, что куда, и даже набросать скриптик, чтоб в случае падения одного, другой его резервировал, а так-же настроить маршрутизацию с чёрными и белыми списками, блекджеком и программистками.