Deixe o servidor VPN agir como um comutador de rede

Question

Estou tentando entender alguns princípios básicos de redes virtuais.

É (e como é possível) permitir que um túnel VPN funcione como um switch? Para que minha máquina local esteja recebendo um endereço da rede remota?

Site A:
Net A: 10.1.0.0/16
Internet Gateway: 10.1.0.254
VPN Server A: 10.1.0.200
Some Clients in Network A:
PC1: 10.1.0.1
PC2: 10.1.0.2
...
PC199 etc.
And some File Servers.
DHCP Net A: 10.1.0.253

Site B:
Net B: 192.168.2.0/24
Client B: 192.168.2.2
Internet Gateway: 192.168.2.254

Cenário 1:

O cliente B deve se conectar à Net A via servidor VPN A. É possível que ele obtenha um endereço IP no intervalo da rede A em sua interface vpn, por exemplo. 10.1.0.201?

Cenário 2:

Seria possível que um PC na Rede B (VPN_B) atue também como um comutador, para que o DHCP da Rede A forneça os endereços para a rede B? E todos os clientes da rede B se conectam à rede via VPN_B?

Cenário 3:

Acho que esse será o cenário mais produtivo: Para um único cliente, como no cenário 1, para uma conexão de rede:

Network A: 10.1.0.0/16 or 192.168.1.0/24
Network B: 10.2.0.0/16 or 192.168.2.0/24
Network C: 10.3.0.0/16 or 192.168.3.0/24
etc.

e cada rede possui um DHCP e um gateway próprios. Como eu preciso configurar os servidores VPN que o tráfego na rede 10.0.0.0/8 abrangendo o site passaria pela vpn se o cliente não estivesse no mesmo site e o tráfego externo (conexão da Web) passasse diretamente pelo gateway da Internet.

O servidor VPN deve ser configurado como o gateway e encaminha o tráfego para uma porta "wan" ou a vpn ou seria possível usar qualquer cliente na rede como servidor VPN

    

Answer 1

Cenário 1:

sim, é possível, mas não automático. Por exemplo, o OpenVPN possui dois modos de conexão, chamados bridged e roteados . No modo em ponte, você obtém um endereço IP pertencente à sub-rede do servidor, enquanto no modo roteado não o faz (você obtém um endereço IP em uma terceira sub-rede, que você escolhe, mas deve ser diferente da LAN local ou remota).

Cenário 2:

Pergunta confusa. Sim, é possível organizar as coisas de tal forma que os endereços IP da sub-rede A e da sub-rede B sejam distribuídos por um único servidor DHCP, pertencente à sub-rede. Não é uma jogada inteligente: se por algum motivo a conexão entre A e B estiver quebrada, uma das duas sub-redes ficará sem o servidor DHCP.

Segunda parte da pergunta: Sim, você pode. Suponha que você tenha um PC, chamado PCVPN, na rede B, que está conectada via VPN à rede A. Então, tudo que você precisa fazer é informar a todos os PCs da sub-rede B que o gateway para a Internet não é seu roteador (192.168.2.254 ) mas é PCVPN. No PCVPN você tem que habilitar a opção "forward IPv4", que é feita de forma diferente dependendo do sistema operacional que você possui.

Cenário 3:

Sim, isso pode ser feito, mas exigirá que você use um roteador com o software OpenWRT, DD-WRT ou Tomato instalado. Isso pode ser feito de várias maneiras (todas as partes de todos os sites pertencentes à mesma sub-rede ou não, todo o tráfego externo roteado através do gateway local ou um único gateway específico e assim por diante), que não posso fornecer uma única solução. Mas você pode encontrar informações sobre este aqui e here . A segunda solução é a minha favorita, porque é mais completa: você terá uma única sub-rede, digamos 192.168.1.0/24, com os endereços IP 192.168.1.1-127 sendo dados por um gateway em um site e 192.168.1.129-254 sendo dado pelo outro gateway do outro lado. Desta forma, todos os recursos de qualquer site são acessíveis a todos os computadores, não importando onde estejam localizados. Além disso, esta solução roteia a comunicação pela Internet através de cada roteador local (em outras palavras, somente as comunicações destinadas à outra rede local são roteadas através da VPN). Se, em vez disso, você desejar que tudo passe por um roteador específico, digamos 192.168.1.1, instrua o outro roteador a usar 192.168.1.1 como o gateway padrão, e ele passará essas informações para os PCs para que fornece endereços IP.

A generalização para três ou mais sub-redes é trivial, lembre-se de usar ipcalc ou alguma ferramenta para os cálculos das máscaras de rede.