具有多个 IP 地址的主机的 VPN 路由

网络工程 虚拟专用网 路由
2021-07-17 01:35:59

我使用 Mikrotik RouterOS 作为 NAT 路由器。路由器后面的一些主机也直接连接到 Internet，这些主机具有到 ISP 网关的默认路由，而不是 RouterOS。我在其中一台具有公共 IP 的主机上以 tun 模式设置了 OpenVPN 服务器。问题是 VPN 客户端无法与具有公共 IP 的主机通信，因为它们具有到 ISP 的默认路由。我可以在 RouterOS 上放置静态路由，但我无法控制 ISP 的路由器。因此，发送到 VPN 客户端的数据包将发送到 WAN 链接而不是 VPN 服务器。我有哪些选择？

私有 DHCP 池 172.16.10.0/24，网关 172.16.10.1 (RouterOS)

OpenVPN 池 172.16.11.0/24

  1. 轻敲模式，大量开销
  2. tun模式，DHCP池内的VPN池和局域网内VPN池的OpenVPN服务器proxy-ARP
  3. 在 tun 模式下，在每个具有公共 IP 的主机上为 OpenVPN 池添加静态路由。这不能很好地扩展，在混合环境中工作太多
  4. IPv6。问题在于许多 Windows 应用程序（例如 VMware 产品）对 IPv6 的支持很差。所有主机都具有 IPv6 连接，但 VPN 客户端可能很难获得 IPv6。

我知道我可能应该把所有东西都放在防火墙后面。在我获得瞻博网络 SRX 后，我会这样做。我没有为每个主机提供足够的公共 IP。并且 RouterOS/pfSense 不太适合具有混合公共/私有 IP 的环境。我不得不承认这是一个糟糕的设计，任何不破坏银行的迁移路径？这不是生产，只是有点复杂的家庭网络。

我很欣赏你的意见。

Edit1（对 JelmerS 的回答的回应）：这是可行的，但不能像我在 OP 中提到的那样很好地扩展。在我的环境中，我有不同风格的 BSD、Linux、Windows 和没有外壳的独立设备（例如打印机、网络监控设备、电话）。我将尝试 DHCP 选项 33 和选项 121，不确定它们在不同设备上的支持情况。

Edit2（对 Joseph Drane 的回答的回应）：1. 目前拥有公共 IP 的主机有一个到 RouterOS LAN 的链接和另一个到 ISP 的链接（绕过 RouterOS）

  1. 做静态 NAT 有什么理由吗？似乎没有必要（严重的性能损失）

  2. 我正在寻找的防火墙可以在透明模式下很好地工作。DHCP/NAT 完全可以由另一个盒子完成。但是我使用的大多数防火墙都不支持/在透明模式下运行良好，并且难以排除故障（缺乏可见性）

Edit3：RouterOS 在 ESXi 内运行。还有一些其他的来宾操作系统。环境与物理/虚拟主机混合在一起。我在 ESXi 盒子上确实有足够的 NIC 接口。我希望能够灵活地允许主机在公共/私有地址之间轻松切换。

2个回答

路线总是按照特殊性的顺序选择。假设主机有一条通过路由器 A 到 10.0.0.0/8 的路由和通过路由器 B 到 10.0.1.0/24 的路由。只要它想向 10.0.1.1 发送数据包，它就会优先选择路由器 B 而不是路由器 A。默认设置路线是您可以拥有的最不具体的路线。您添加的任何其他路由都将优先于默认路由。所以答案很简单：通过 Mikrotik 路由器向 VPN DHCP 池添加特定路由。不要忘记使路由持久化，这样它们将在重启后继续存在。假设您的 DHCP 池是，10.0.1.0/24并且您的 Mikrotik 有 IP1.1.1.1并已连接到eth0，这是 Windows 的命令：

route add -p 10.0.1.0 MASK 255.255.255.0 1.1.1.1

对于Linux，通过编辑/etc/sysconfig/network-scripts/route-eth0文件来添加持久路由，为eth0接口定义静态路由。

GATEWAY0=1.1.1.1
NETMASK0=255.255.255.0 
ADDRESS0=10.0.1.0

因此，正如您已经知道的那样，分配了公共 IP 地址的主机并不好。我参考了您关于在前面放置防火墙的评论。

我会使用你的路由器，为 DMZ 网络添加另一个接口。此 DMZ 网络将使用非公开的私有 IP 地址。

然后，在您的路由器内，只需将公共 NAT 转换为该私有 IP 地址即可。

所以当前配置：[internet]---->RouterOS----->Host w/ public IP

新配置/设置：[Internet]--->RouterOS<--->NAT public IP 60.70.80.90 <--to--> 192.168.100.90---->Host w/ Private IP 192.168.100.90

因此，现在您只需放置一条到 192.168.100.90 子网/网络的路由，这将是 DMZ 子网/网络。

关于拥有“临时”防火墙，您可以使用 IP 表做一些很酷的事情，但我不是帮助解决这个问题的人。我是思科人。

其它你可能感兴趣的问题
上一篇DSCP 信任边界 下一篇如何在 HPE/Aruba 5400R 上为 RDNSS 和 DNSSL 设置 IPv6 RA 值