Всем привет. Есть проблема такого рода: Как можно подключить к серверу и серверу DHCP еще два VPN porta (Е-Акимат со своей статикой и Отдельный порт от того же акимата с другим адресом). С одной АД, то есть три модема у меня Интернет со статикой и два VPN модема статика. Как можно поднять от одного источника раздающих TCP/IP. Извиняюсь за корявую раскладку инфы.
Для объединения трех каналов (одного основного интернета и двух VPN-каналов) с раздачей IP-адресов от одного DHCP-сервера на базе Windows Server 2008 R2 лучше всего использовать разделение сетей на уровне маршрутизации (VLAN или разные подсети) и функцию DHCP Relay Agent (ретранслятор DHCP).
Напрямую «смешать» три модема со статикой в один кабель нельзя — возникнут конфликты шлюзов и IP-адресов. Ниже приведена пошаговая схема, как это правильно организовать.
1. Схема подключения (Физический и сетевой уровень)
У вас есть три источника:
1. Модем 1 (Интернет) — например, локальный IP 192.168.1.1.
2. Модем 2 (VPN-1) — локальный IP 192.168.2.1.
3. Модем 3 (VPN-2) — локальный IP 192.168.3.1.
Как подключить к серверу:
• Вариант А (Если на сервере несколько сетевых карт): Вы подключаете каждый модем в отдельный сетевой порт сервера (NIC 1, NIC 2, NIC 3), а 4-й порт (NIC 4) смотрит в вашу локальную сеть (LAN) к пользователям.
• Вариант Б (Если сетевая карта одна/две): Вам понадобится управляемый коммутатор (L2/L3) с поддержкой VLAN. Каждый модем втыкается в свой порт коммутатора (со своим VLAN), а в сервер идет один транковый (Trunk) кабель, на котором поднимаются виртуальные сетевые интерфейсы.
2. Настройка DHCP-сервера (Раздача TCP/IP от одного источника)
Чтобы один DHCP-сервер на Windows Server 2008 R2 мог выдавать адреса для разных сегментов сети (например, одним пользователям нужен обычный интернет, другим — доступ через VPN-1, третьим — через VPN-2), нужно создать несколько областей (Scopes).
1. Откройте оснастку DHCP на сервере.
2. Создайте три разные области в протоколе IPv4:
• Область 1 (Основная сеть): пул 10.10.1.10 – 10.10.1.250, маска 255.255.255.0. В параметрах области укажите Маршрутизатор (003 Router) — IP вашего сервера в этой подсети (например, 10.10.1.1).
• Область 2 (Сеть VPN-1): пул 10.10.2.10 – 10.10.2.250, маска 255.255.255.0. Маршрутизатор (003) — 10.10.2.1.
• Область 3 (Сеть VPN-2): пул 10.10.3.10 – 10.10.3.250, маска 255.255.255.0. Маршрутизатор (003) — 10.10.3.1.
3. В параметре 006 DNS-серверы во всех областях укажите IP вашего контроллера домена (Active Directory), чтобы сохранялась работа домена.
(Примечание: Если клиенты находятся в разных VLAN, на коммутаторе или маршрутизаторе нужно включить функцию IP Helper / DHCP Relay, указав IP-адрес вашего Windows Server. Тогда сервер сам поймет, из какой подсети пришел запрос, и выдаст нужный IP и шлюз).
3. Маршрутизация трафика на Windows Server 2008 R2
В Windows Server 2008 R2 есть встроенная роль Маршрутизация и удаленный доступ (RRAS), но она плохо умеет делать Policy-Based Routing (маршрутизацию в зависимости от того, от кого пришел пакет — направлять одних в VPN-1, а других в Интернет).
Чтобы сервер знал, какой трафик в какой модем отправлять, есть два пути:
Путь 1: Маршрутизация по адресам назначения (Статические маршруты)
Подходит, если через VPN-модемы нужно ходить только на определенные IP-адреса или подсети (например, удаленные офисы), а весь остальной интернет должен идти через первый модем.
• На сетевой карте «Интернет» пропишите основной шлюз (192.168.1.1).
• На сетевых картах «VPN-1» и «VPN-2» удалите основной шлюз (оставьте поле пустым), пропишите только IP и маску.
• Добавьте постоянные маршруты через командную строку (от имени администратора):
(Где 172.16.x.0 — удаленные сети за VPN-модемами, а 192.168.2.1 / 3.1 — шлюзы этих модемов).
Путь 2: Вывод разных пользователей в разные модемы
Если нужно, чтобы одни компьютеры в офисе выходили в мир через Модем 1, а другие — целиком через Модем 2 (VPN-1):
• Стандартными средствами Windows Server 2008 R2 это настроить крайне сложно (система не любит два активных шлюза по умолчанию).
• Рекомендуемое решение: Поставить перед сервером недорогой аппаратный маршрутизатор с поддержкой Multi-WAN (например, MikroTik или Keenetic).
• Все 3 модема подключаются в роутер.
• На роутере настраивается маршрутизация (кого в какой модем пускать).
• Роутер соединяется с Windows Server, а сам сервер продолжает спокойно выполнять роли Active
Directory, DNS и раздавать IP-адреса через единый DHCP.
Важные нюансы для Active Directory
• Никогда не назначайте внешний белый IP или шлюз VPN на контроллер домена без фаервола. Включите NAT в роли RRAS на Windows Server, чтобы изолировать локальную сеть от внешних интерфейсов модемов.
• DNS: Убедитесь, что в свойствах сетевых карт, смотрящих в модемы, отключена регистрация в DNS (снимите галочку «Зарегистрировать адреса этого подключения в DNS» в дополнительных параметрах TCP/IPv4), иначе клиенты Active Directory начнут получать внешние IP-адреса модемов вместо локального адреса сервера, и домен перестанет работать.
*
Перейти на форум:
Google
Авторизация
Вы не зарегистрированы? Нажмите здесь для регистрации.
