VPN a překlad adres

[Marty]

Myslím, že není vhodné používat jednu VPN pro user-access (z domova, na cestách) a pro propojování poboček.

Pro připojování lidiček z domova a spol. bych rozhodně doporučoval značně restriktivnější nastavení - firewall mezi VPN a omezení provozu z VPN do LAN.
Detaily k diskuzi.

A k propojení poboček... zywall... are you sure?

[Fox!MURDER]

tak bud, jak rika marty, wins server, nebo jinak stavenou VPN (fcni jako ethernet bridge. to je imo na spravu nejjednodussi ...) ale zas to chce nejakej filtr, to ma marty taky pravdu ...

[kamil]

no špatně jsem se vyjádřil; nemám v úmyslu propojovat pobočky, jde spíš o přístup do různých lokalit - ty mezi sebou propojeny nebudou...

vpn i nat jede na tom zywallu (Martymu se Zyxel nelíbí?).

je zajímavé, že když jsem to včera doma testoval - z obyváku jsem se přes cdma modem (tedy s veřejnou ip) připojoval zpět, tak mi netbois nešel;dnes jsem za routere (Asus WL500gp přes cdma) a prohledávání sítě mi jede, tak su s teho kozel...

[kamil]

jo a abych upřesnil o co jde:
přístup na fileserver (mě ip adresy nevadí, ale názvy jsou pro většinu pohodlnější)
přístup k sql (obdc)

[Fox!MURDER]

jo a dalsi varianta by bylo DNS ... ale nevim, jestli v tom klientovi co pouzivas, jde priradit, nebo ne ...

[Marty]

No já v zásadě se zyxelem nemám problém. Pokud vím, tak jednomu někdejšímu klientovi to funguje ke spokojenosti - přes ADSL tím má propojenou jednu pobočku a neslyšel jsem nic špatného.

Nicméně zase záleží na požadavcích. Já bych se s funkčností integrovaného firewallu nespokojil a chtěl bych něco víc.

Ale to zas ubíhám pryč.
Propojení poboček a vzdálených uživatelů bych řešil zhruba takto:

měl bych dva stroje:
1. hlavní router, připojení k internetu, transparentní ssl vpn server - tvořící bridge do vzdálených lokalit (to co popisuje fox)
2. vpn server, pro připojení vzdálených uživatelů. otázkou je, kam tento stroj zařadit. já bych ho dal buď vedle toho hlavního routeru nebo do nějaké dmz, aby se síť dala snadno oddělit. případně další varianta, dát ho přímo na ten hlavní router, ale to je zas zbytečné riziko...


nicméně, pro to, co popisuješ, bych volil skutečně asi výše popsanou konfiguraci, tj. pc-based router a na něm vpnky a firewall. samozřejmě také wins a dns, pak už je to "jen" věcí konfigurace.

[kamil]

dns v klientovi zadat jde

tak jsem otestoval dvě situace:
1. připojení přímo přes cdma (veřejná ip) - překlad nejede, přes ip je to funkční...
2. připojení přes router (stejný cdma modem) - překlad i procházení sítě je funkční

další zajímavost je (varianta připojení 2), že pokud mám v obou lan nastavenou stejnou síť, tak při spojení vpn mi na lokální straně přestane fungovat přístup na web rozhraní routeru; pokud nastavím různé sítě, tak to jede ok...