Dotaz: Jak řešit propojení ipv4 poboček bez veřejných adres?

[Max]

V současné době používáme dvě řešení pro propojení poboček s centrálou. Prvním řešením je MPLS VPN v podobě outsourcingu. Druhým řešením je pomocí IPSEC tunelů, o které se staráme sami. Zde začínáme mít problém s tím, že dochází veřejné ipv4 adresy. Třeba Německý T-Online už odmítá dávat veřejné IP k LTE apod. Nemálo IPSEC tunelů tak provozujeme přes NAT, což funguje, ale je problém, že nemáme kontrolu nad klientskou stranou. Když spoj/tunel přestane fungovat, tak nemáme možnost cokoli ověřit/opravit.

Samozřejmě se ve firmě používají ipv4 protokoly, přes to vlak nejede. Osobně dělám síťařinu na minimální úrovni (MSTP, VLAN, LACP, ACL, IPSEC ...), k ničemu "většímu" jsem ještě moc nepřičuchl, takže sonduji, kdo by nastálou situaci jak řešil a pomocí jakých zařízení? Jinak v některých případech je i nutná komunikace mezi pobočkami.
Laický pohled na věc by mohl vypadat tak, že by se používal IPSEC na ipv6 a krz něj by se tuneloval ipv4, ale jaké zařízení (na čem to postavit, co to umí) v takovém případě použít?
Nebo to nějak řešit pomocí MPLS tunelovat si ipv4?
Stačí mně nasměrovat, zbytek si dostuduji.
Díky
Zdar Max

Odpovědi

[NN]

Pochopil jsem dobre, ze tunelujete a routujete mezi sebou jednotlive privatni subnety pobocek do centralniho routeru/serverovny?

[Max]

S centrálou (hlavní lokací) máme site-to-site ipsec tunely (vždy routujeme 192.168.XXX.0/24). Pokud je potřeba komunikace mezi pobočkami, tak je zbytečné, aby šel traffic přes centrálu, takže v případě potřeby naladíme site-to-site ipsec tunel i mezi pobočkami.
Zdar Max

[NN]

Tak, pokud mam jednoho providera, pro vsechny lokality, muzu se s nim domluvit na jednotnem reseni, napriklad na bazi MPLS( nebo Segment routing :D), QinQ, nebo nejake routovane reseni. Vyhoda je homogeni sit, kde nemusim resit sifrovani pres neznamou WAN sit.

Pokud to nelze, IPsec, SSL tunely a klidne pres IPv6. Proc ne? Koncove zarizeni s podporou(cisco,juniper,mikrotik..etc.), nebo i linux to umi.

[Max]

Síť právě není od jednoho providera. Jednou je to Německý T-Online s LTE, podruhý český ISP s 10,5GHz, potřetí nějaký ISP ve Slovinsku apod. Problém je pak s veřejnýma ipv4.
Říkáš tedy, že v takovéto situaci není nic rozumnějšího, než klasický ipsec na ipv6 a tunelovat v něm ipv4?
Co jsem se díval, tak cisco to umí, s linuchem není problém a mikrotik si asi budu muset otestovat.
Zdar Max

[NN]

Tak, je to challenge.

[Petr]

Asi fakt nic lepsiho nevymyslis. Mam to na ciscu a funguje to. Vyhrajes si ;).

[Jendа]

Když spoj/tunel přestane fungovat, tak nemáme možnost cokoli ověřit/opravit.

Uh eh… SSH tunel? OpenVPN? :)

[Max]

Máš pobočku bez veřejné IP, kde je náš router a několik PC s obyčejnýma uživatelema. Padne tunel, tak se do pobočky nedostaneš. Mnohdy bývá i problém se s uživateli domluvit. Někdy se jedná i o spolčenou společnost, u které zprostředkováváme ipsec tunelem jen komunikaci v rámci IS a pro nic dalšího nemáme přístup. Těch možností je samozřejmě více nehledě na občasné problémy s navazováním tunelů když jde o NAT.
Samozřejmě nám tam může někde tepat další krabička s openwrt, která by někam navazovala ssh tunel, nebo openvpn spojení. Ale je toto opravdu čisté řešení? Já si to nemyslím.
Rád bych to řešil čistě, jednou krabičkou tak, aby to fungovalo vždy na 100%. V současné době používáme ZyWALL USG krabky, ale ty možnosti jsou přecijen omezené, takže přemýšlím nad mikrotikem, nebo ciscem.
Threadem jsem jen sondoval, zda není ještě nějaká jiná možnost, jak toto řešit, než ipsecem.
Zdar Max

[Jendа]

Samozřejmě nám tam může někde tepat další krabička s openwrt, která by někam navazovala ssh tunel, nebo openvpn spojení. Ale je toto opravdu čisté řešení?

Ne, není. Mají tam router a klientské počítače, tunel může běžet na nich.

[Max]

Máš divné představy :)
Zdar Max
PS: na jedné pobočce musíme provozovat i NAT over IPSEC, protože mají shodný segment ...

[Jendа]

Máš divné představy :)

Ne, jenom řeším v technické poradně technické problémy. Takže: proč to nejde? (ssh tunel už funguje i na woknech!)

[Max]

Když ti ty pc nepatří, tak na ně nemůžeš nic instalovat. Dále ty pc se vypínají, nejsou pořád online.
Zdar Max