Creazione doppia VPN tra 3 diversi posti con 2

[Caio81]

Ciao a tutti,
sto progettando l'implementazione di un tunnel VPN tra diverse locazioni fisiche, ma la situazione è un pelo complicata, per cui vorrei sapere se qualcuno ha avuto esperienza in qualcosa del genere per darmi conferma della fattibilità prima di passare alla realizzazione.

La topologia della rete che voglio realizzare è come quella nello schema qui.

Ho gia una VPN tra il posto A e il posto C che utilizzano l'ISP2 con 2 router dedicati che si occupano appunto di realizzare il tunnel crittatografato.

Devo aggiungere una VPN tra tutti e 3 i posti fisici e per farlo ho a disposizione una ADSL dedicata con un altro provider, ISP1.

Per la realizzazione ho pensato di scegliere dei router dedicati che si occupino di gestire anche la VPN, in modo da evitare ulteriori grane.

Considerando che ogni locazione fisica avrà la propria sottorete diversa, e che se avete idea di come si creino le VPN su questi aggeggi è generalmente necessario specificare la sottorete remota con cui si sta creando il tunnel, il dubbio che mi sorge è che nelle locazioni A e C, come farò a indirizzare il traffico su una o sull'altra VPN (e quindi su uno o sull'altro provider) visto che dovranno comunicare con le stesse sottoreti?

Ad esempio se nella zona C uso la sottorete 10.0.2.X, nella B 10.0.1.X e nella A 10.0.0.X, quando dal posto A voglio comunicare con la sottorete C, considerando che tra i 2 posti esisteranno 2 VPN diverse su quale dei 2 router e quindi dei 2 ISP sarà instradata la connessionevisto che starò cercando di contattare la stessa sottorete in entrambi i casi?

E' forse necessario utilizzare 2 schede di rete su ogni macchina (o comunque 2 indirizzi IP diversi su ogni scheda) tra la sede A e la C in modo da poter specificare una diversa sottorete remota per ogni tunnel VPN anche se si tratta fisicamente della stessa sottorete remotao si può fare in altri modi?

Grazie

[BTS]

credo che basti identificare un defalut gateway (il router) per spedire i dati alla VPN giusta

[Caio81]

Originariamente inviato da BTS

credo che basti identificare un defalut gateway (il router) per spedire i dati alla VPN giusta

ecco appunto, però mi chiedevo quale default GW dovrei scegliere per indirizzare i pacchetti da A a C considerando che in C ho sempre la stessa subnet.

[hmetal]

ciao

puoi gestire il problemain vari modi:

puoi impostare 2 gateway sui client (ma con il dhcp ne puoi rilasciare solo uno per cui lo devi fare a mano su ogni client) mettendo la metrica piu bassa sul gateway che tu vuoi che venga gestito come primario. Una volta che cade, i client andranno sull'altro gateway.

Alternativamente ci sono delle strutture chiamate di "alta affidabilità" in cui tu installi due firewall in cluster e loro gestiscono sia il carico di traffico sia il failover (cioè se uno cade l'altro entra in funzione), e possono gestire anche piu gestori telefonici.

L'ultima soluzione è ovviamente di alto livello e comporta uno sforzo economico molto piu elevato.

ciao

[Caio81]

Originariamente inviato da hmetal

ciao

puoi gestire il problemain vari modi:

puoi impostare 2 gateway sui client (ma con il dhcp ne puoi rilasciare solo uno per cui lo devi fare a mano su ogni client) mettendo la metrica piu bassa sul gateway che tu vuoi che venga gestito come primario. Una volta che cade, i client andranno sull'altro gateway.

Alternativamente ci sono delle strutture chiamate di "alta affidabilità" in cui tu installi due firewall in cluster e loro gestiscono sia il carico di traffico sia il failover (cioè se uno cade l'altro entra in funzione), e possono gestire anche piu gestori telefonici.

L'ultima soluzione è ovviamente di alto livello e comporta uno sforzo economico molto piu elevato.

ciao

si si ok questo lo avevo gia preventivato, ma è una soluzione logicamente diversa.

Cioè un conto è scegliere un bilanciatore di rete che si occupi di trasferire il carico su una delle due VPN in base al traffico generato o al protocollo dei pacchetti che transitano (facendo ad esempio QOS), ma in questo caso non discriminerebbe più sulla VPN da usare, ma su altri fattori.

Un altro conto è avere due VPN diverse collegate tramite ISP diversi tra due sedi uguali, e utilizzare una o l'altra a propria discrezione.

Mi sa che però a questo punto non ha più senso avere due VPN diverse che collegano due reti remote se non si fa un qualche tipo di discriminazione logica, cioè posso dire usa ISP1 per VOIP e ISP2 per HTTP e allora con un unico dispositivo che fa bilanciamento di carico lo posso gestire, altrimenti mi sa che è proprio necessario dare 2 indirizzi diversi ad ogni sottorete in modo che a seconda della sottorete a cui sto puntando utilizzi un determinato tunnel VPN piuttosto che l'altro.

[hmetal]

ma le 2 interfaccie interne dei due firewall che tengono su i tunnel hanno per forza 2 ip diversi...

tu metti nelle impostazioni del gateway degli host (che siano telefoni ip o pc) il gateway che a te interessa usare.

oppure puoi crearti delle regole (ma qua dipende dagli apparati che stai utilizzando, i router/firewall questo non lo fanno) in modo tale che se arriva traffico http escano da una parte mentre se hai voip escano da un altra. In pratica vai a isolare i due firewall che gestiscono le vpn in una rete e tieni un terzo firewall (che diventa quindi il gateway della lan) che gestira e reindirizzerà il traffico a seconda delle tue esigenze.

ciao

[Caio81]

Originariamente inviato da hmetal

ma le 2 interfaccie interne dei due firewall che tengono su i tunnel hanno per forza 2 ip diversi...

tu metti nelle impostazioni del gateway degli host (che siano telefoni ip o pc) il gateway che a te interessa usare.

Si si certo, infatti il problema non ci sarebbe se io volessi usare una unica VPN per ogni pc. Per usarle entrambe a seconda della situazione però mi sa che avrei appunto bisogno del bilanciatore per discriminare sul traffico.

Originariamente inviato da hmetal

oppure puoi crearti delle regole (ma qua dipende dagli apparati che stai utilizzando, i router/firewall questo non lo fanno) in modo tale che se arriva traffico http escano da una parte mentre se hai voip escano da un altra. In pratica vai a isolare i due firewall che gestiscono le vpn in una rete e tieni un terzo firewall (che diventa quindi il gateway della lan) che gestira e reindirizzerà il traffico a seconda delle tue esigenze.

ciao

Esatto, ci sono degli ottimi dispositivi che fanno tutto questo e anche di più in un unico piccolo apparato, mi sa che punterò ad uno di questi!
Grazie