Tonny_Bennet
11-05-2014, 18:29
Здравствуйте.
Несколько раз уже поднимал тему грамотного соединения нескольких сетей с использованием разного маршрутизирующего оборудования и ПО. Вот снова я в раздумьях.
Есть несколько филиалов (читай сетей /24), смотрящих в интернет через программный роутер под Ubuntu Server. Между филиалами построена full mesh VPN сеть при помощи демона tinc, работающего на каждом из программных роутеров. Под full mesh я понимаю то, что каждый роутер подключен к каждому другому роутеру. Но если посмотреть на всю ситуацию объективно сейчас мне не нужно, чтобы все роутеры были подключены друг к другу прямым каналом. Достаточно чтобы региональные центры имели связь между собой в таком формате, а розничные подразделения каждого региона были подключены к своему региональному центру, и через него подключались к остальным региональным центрам.
Т.к. программно-аппаратных full mesh решений я не нашёл, а в ближайшее время нужно запустить ещё несколько подразделений я решил организовать подобную схему своими силами, прошу вас её прокомментировать:
Обязательным условием является отсутствие выделенного сервера, к которому все подключаются. Хочется создать схему без клиента и сервера, чтобы не было стороны инициализирующей и принимающей подключения.
Предположим есть четыре региональных центра: Ростов, Краснодар, Ставрополь, Волгоград. Между ними я поднимаю IP-IP тунели или GRE тунели. От каждого к каждому (Ростов-Краснодар, Ростов-Ставрополь, Ростов-Волгоград, Краснодар-Ставрополь, Краснодар-Волгоград, Ставрополь-Волгоград). Т.к. IP-IP или GRE тунели передают трафик в открытом режиме, на каждой из точек я разверну IPSec и буду шифровать трафик исходя из направления. Но т.к. я ленивый и писать статическую маршрутизацию для каждой сети мне лень, я разверну OSPF маршрутизацию, на всех тунельных и локальных интерфейсах маршрутизаторов. В таком случае если я захочу подключить розничное подразделение в Волгограде, я сделаю тунель только к волгоградскому офису с применением вышеописанной конфигурацией. Трафик из него будет попадать в любую сеть, через волгоградский филиал.
Меня смущает несколько моментов. Где-то я читал, что если в подобной схеме отключится IPsec трафик пойдёт в открытом виде. О OSPF ничего не знаю и поэтому хочу услышать заработает ли всё это в моей схеме? Или может стоит обратиться к чему-то ещё?
Несколько раз уже поднимал тему грамотного соединения нескольких сетей с использованием разного маршрутизирующего оборудования и ПО. Вот снова я в раздумьях.
Есть несколько филиалов (читай сетей /24), смотрящих в интернет через программный роутер под Ubuntu Server. Между филиалами построена full mesh VPN сеть при помощи демона tinc, работающего на каждом из программных роутеров. Под full mesh я понимаю то, что каждый роутер подключен к каждому другому роутеру. Но если посмотреть на всю ситуацию объективно сейчас мне не нужно, чтобы все роутеры были подключены друг к другу прямым каналом. Достаточно чтобы региональные центры имели связь между собой в таком формате, а розничные подразделения каждого региона были подключены к своему региональному центру, и через него подключались к остальным региональным центрам.
Т.к. программно-аппаратных full mesh решений я не нашёл, а в ближайшее время нужно запустить ещё несколько подразделений я решил организовать подобную схему своими силами, прошу вас её прокомментировать:
Обязательным условием является отсутствие выделенного сервера, к которому все подключаются. Хочется создать схему без клиента и сервера, чтобы не было стороны инициализирующей и принимающей подключения.
Предположим есть четыре региональных центра: Ростов, Краснодар, Ставрополь, Волгоград. Между ними я поднимаю IP-IP тунели или GRE тунели. От каждого к каждому (Ростов-Краснодар, Ростов-Ставрополь, Ростов-Волгоград, Краснодар-Ставрополь, Краснодар-Волгоград, Ставрополь-Волгоград). Т.к. IP-IP или GRE тунели передают трафик в открытом режиме, на каждой из точек я разверну IPSec и буду шифровать трафик исходя из направления. Но т.к. я ленивый и писать статическую маршрутизацию для каждой сети мне лень, я разверну OSPF маршрутизацию, на всех тунельных и локальных интерфейсах маршрутизаторов. В таком случае если я захочу подключить розничное подразделение в Волгограде, я сделаю тунель только к волгоградскому офису с применением вышеописанной конфигурацией. Трафик из него будет попадать в любую сеть, через волгоградский филиал.
Меня смущает несколько моментов. Где-то я читал, что если в подобной схеме отключится IPsec трафик пойдёт в открытом виде. О OSPF ничего не знаю и поэтому хочу услышать заработает ли всё это в моей схеме? Или может стоит обратиться к чему-то ещё?