פתרון אופטימלי ליצירת שתי רשתות LAN נפרדות בבית

[rm1]

אבל הוא לא צריך את זה.
כל הרשת שלו רצה מתוך מחשב שרת אחד שמריץ מכונות וירטואליות.
בצד ה LAN לא צריך לזה כרטיס פיזי ולא VLAN על כרטיס פיזי.
פשוט סויץ לוגי ללא חיבור פיזי.
אם היה מדובר במחשב נוסף או ציוד אחר אז צריך שני רשתות או VLAN.
אבל במקרה הנדרש הנ"ל לא צריך את זה.

[sys_admin]

@rm1
·
ברגע שמשתמשים ב PFSENSE, אז היגיוני שהוא ישרת את כל הרשת הביתית ולא רק את המכונות הוירטואליות וגם בנוסף לזה, אם הוא לא ישתמש ב PFSENSE כבנתב לכל הרשת שלו, אלה שישים אותו אחרי NAT של נתב ביתי אחר, יווצר לו המצב של DUAL NAT לכל התקן שמחובר אחרי PFSENSE, דבר שבעיתי ביותר כשלעצמו. כמו כן, אם PFSENSE זה יהיה אחרי NAT של נתב נוסף ברשת וישימש תוך כדי כך כשרת VPN, דבר זה יצור מצב של חוסר יציבות בתקשורת VPN זו. וזה רק כמה מהבעיות הרבות שבתרכיש כזה.

[rm1]

אין לי כח.
הלקוח מרוצה.

[sys_admin]

@rm1
·
כמו שלפני זה הוא הייה מרוצה מה softether, עד שהרגיש והבין שבצורה זו פשוט לא ניתן לעבוד, כי כל פעם זה קורס ולא עובד בצורה צפויה. כך שמראש כדאי לבנות רשת תקינה ולא להשתמש בקיצורי דרך, שלטווח ארוך יצאו יותר מתוסבכים ובסוף יהיה בכל מקרה צורך לבנות את הרשת בצורה היגיונית.

[evgenetic]

@sys_admin
זו כנראה לא הייתה אשמת softether אלא הגדרה לא נכונה של openwrt מצידי. בקושחה רגילה אני באמת מרוצה מאיך שהוא עובד.
בקונפיגורציה נוכחית לא נתקלתי בבעיות עם ניתוקים VPN למכונות וירטואליות, אני מניח שזה משהו שעובד או לא, אם הforwarding תקין והIP של pfesense קבוע, אז מאיזו סיבה יכולות להיות הבעיות ובאילו נסיבות הן יצוצו?

[Lyonia]

הייתי ממליץ ללכת על mikrotik או ubnt, יש להם כמה דברים נחמדים:

• EdgeRouter
• EdgeMax
• UniFi USG פתרון יחסי זול (119$ בארה''ב) שמתאם לך ויכול להחיק וכן מחזיק חברות קתנות שלמות (spec)

[sys_admin]

@evgenetic
·
את הנסיבות לבעיות אלו אני כבר פירטתי והן למשל, אם PFSENSE ממוקם מאחורי NAT, דבר שלעצמו מאוד בעיתי. בשביל שהרשת תעבוד בתורה תקינה, PFSENSE צריך לקבל לקבל כתובת IP חוקית ברגל WAN שלו.

דרך אגב, softether מוכר כתוכנה די בעיתית וממש לא ברור למה הית צריך אותה, אם הייה לך כבר את OPENWRT, שגם הוא היה יכול לשמש כשרת של OPENVPN. בכל מקרה, גם השרת VPN שמיושם ב PFSENSE הרבה יותר יציב והמערכת של PFSENSE יכולה לתת לך מענה לכל הצרכים שלך שברשת הביתית, גם כ FIREWALL, גם כשרת VPN, גם כטרמינצייה וניתוב של VLANS , וגם לדברים רבים אחרים.

[evgenetic]

@sys_admin
בכל מקרה עכשיו הכל עובד פיקס. אם אני אסתבך אז פשוט ארד לאופציה של רשת אחת כפי שהיה במקור, עם VMs זה בסה"כ להחליף להם כרטיס רשת מinternal לexternal. לאחר מכן כבר אחשוב איך לעשות את זה יותר מסודר עם pfsense/ראוטר פיזי אחד שיתחבר למודם וייצור מספר LANים נפרדים כפי שאתה ואחרים פירטו.

אני משתמש בsoftether כי בשבילי זה כאב ראש להגדיר את OPENVPN ידנית (גם pfsense פותר את הכאב ראש הזה). עד כה הוא לא אכזב אותי.

[Lyonia]

@evgenetic
1. vpn אתה צריך לחיבור לרשת ביתי או לשרת?
2. עד כמה אתה צריך גישה לשרת מהרשת ביתי?


·

[evgenetic]

@Lyonia
1. גם וגם, אבל כרגע בשביל הרשת הביתית מספיק לי softether שעובד על המחשב הראשי בבית, אל הVMs כבר יתחברו דרך הpfsense עם שרת הVPN שלו. כנראה בעתיד אני אעביר את הכל לניהול של pfsense.
2. בקונפיגורציה הנוכחית כבר יש לי גישה לVMSERVER מהרשת הביתית וזה בסדר מבחינתי, העיקר היה לגרום לכך שהרשת הביתי לא תהיה חשופה לVMs.

[rm1]

@evgenetic
·
אתה יכול גם להשתמש ב pfsense כדי לגשת לרשת הביתית ע"י שימוש ב Client Specific Overides בהגדרות של OpenVpn
אתה יכול להקצות לכל לקוח VPN כתובת/הגדרות ספציפיות (overid) ואז להגדיר rule פרטני רק אליו.
כך לחסום את כל המשתמשים ולפתוח גישה רק לחלק מהם.
קצת גוגל והכל ברור.

[evgenetic]

@rm1
תודה על הטיפ! איכשהו לא נפל לי האסימון שpfsense מקשר גם לרשת הביתית. שיניתי עכשיו את ההגדרה "IPv4 Local network(s)" בtunnel settings לרשת הביתית וזה אכן נתן לי לגשת למחשב הביתי דרך RDP. מחר כבר אעשה את זה מסודר לפי משתמשים.

[rm1]

מוזר שזה עובד עם ה ip של הרשת הביתית זה קצת סתירה.
זה צריך להיות רשת בניהול של pfsense ולא כתובת מהצד של ה wan שלו...
אני חשבתי יותר במצב של איפשור ניתוב route לרשת הביתית.
האם בדקת את זה בחיבור מחוץ לבית?
כי יכול להיות שזה עובד כי אתה גם מחובר ב wifi לרשת הביתית.

[evgenetic]

@rm1
כן, את כל בדיקות הVPN אני עושה עם רשת הסלולר. אבל למה זה מוזר בעצם? הרי ברירת המחדל של הrule של openvpn הוא הכל פתוח. את הLAN של pfsense כבר סגרתי אבל לא את openvpn. עכשיו דווקא נראה לי הגיוני שהוא יוכל לגשת לרשת ביתית מחיבור VPN.

[rm1]

נכון אבל הגדרת לו שהוא מקצה כתובת ברשת הביתית ללקוח ה vpn וזה מה שמוזר לי שעובד.

[evgenetic]

יכול להיות שלא השתמשתי במושגים הנכונים. הכתובת של client vpn היא ב-10.0.8.0/24 כשהוא מתחבר, את הטווח הזה אני מגדיר ב"IPv4 Tunnel Network", אבל יש לclient גישה גם לרשת אחרת שאני מגדיר תחת "IPv4 Local network(s)". שתי ההגדרות נמצאות בopenvpn server.

[rm1]

אהה צודק גם אני בלבלתי בינהם (מהזכרון).
צודק זה הכן יעבוד.
וללקוחות רגילים אתה יכול לתת תחום אחר ומוגבל יותר

[sys_admin]

@rm1
·

בידיוק את הדבר זה שכרגע מתבהר, ניסיתי להבהיר כשהסברתי, שאם קיים תווך משותף, לא ניתן לבצע הפרדה אמיתית מובטחת בין רשתות משנה ויש צורך להפריד אותו למקטעים מבודדים ולא משנה איך זה מתבצע על ידי שימוש במספר כרטיסי רשת ומתגים או מה שיותר הגיוני, גמיש וסקלבילי, על ידי שימוש בתקן 802.1Q.

[Lyonia]

לדעתי הכל אפשר לעשות בנתב אחד, בלי תוספת ווריטאלי + בלי הpfsense במחשב רגיל.

1. בנתב מגדירים יציא אחד לBRIDGE ראשון עם רשת למחשב עבודה שרצו אליו דברים ווירטוילים עם כל הגדרות..
אפשר לממש הכל זה גם דרך VLAN, כדאי לראות קונפיגורציה הזאת (בלי VPN)

2. בנתב מגדירים שאר היציאות לBRIDDGE השני עם רשת ביתי
3. מגדירים שרת VPN בנתב עם הגדרות שנוות תלוי לאיזה רשת צריך לגשת.

[sys_admin]

@Lyonia
·
כמובן שכל זה ניתן לבצע בנתב אחד, כולל גם את מימוש של שרת VPN, למשל בנתב שמריץ את OPENWRT. וכבר הסברתי את הנקודה זו. רק, שאם המחשב הפיזי שמריץ את המכונות הווירטואליות משמש גם לשימושים של רשת ביתית או שחלק מהמכונות הווירטואליות בו משמשות לרשת ביתית, בכל מקרה נדרש יהיה להשתמש ב VLANS או במספר כרטיסי רשת במחשב זה ( דבר שגם מבזבז פורטים סתם במתג. ) גם שאם הרשת הביתית כוללת יותר התקנים מ 4 פורטים שיש בנתב ביתי רגיל ובדרך כלל כל רשת ביתית כוללת כמות גדולה של התקני רשת, אז בכל מקרה נדרש גם מתג מנוהל לצורך של מימוש של רשת זו.