» SoftEther Multi-Protocol VPN Server

hoz
Здесь предлагают публичный VPN Gate используя SoftEther для всего мира, что мне кажется вполне говорит о производительности и эффективности SoftEther. Тема на форуме Ссылка

Цитата:

Я считаю варианты равноценными по производительности,  
только SoftEther более функционален, поддерживает больше протоколов,
удобнее в настройках.

А как же аспект использования SoftEther промежуточного сервера? Ведь это тоже, как никак издержки по времени... Хотя, с другой стороны, это очень удобно, в плане снятия ограничений установленных внутренними DNS-серверами локального провайдера.

hoz
Цитата:

А как же аспект использования SoftEther промежуточного сервера?

Там нет никакого промежуточного сервера,
в отличие от тимвьювера, гамаши и прочих. Имеется чисто вспомогательный сервер
любезно предоставляемый проектом SoftEther, который выполняет две функции,
DynDNS и NAT "Punched Hole". Если они не нужны, использование
вспомогательного сервера можно отключить вообще.

vlary, я ж не имел ввиду, что для работы т.е. непосредственно для авторизации или получения каких-либо необходимых данных для функционирования ПО нужны промежуточные сервера. Но тем не менее, трафик то прогоняется через сервера проекта. А это и есть теоретически узкое звено. Не так ли?

Кстати, появился вопрос. Для настройки маршрутизации, обычно, как я понял, подымают роль на сервере: Службы политики сети и доступа - Маршрутизация и удаленный доступ.
Я так понимаю, это необходимо, если не пользоваться сторонним софтом для этих целей? Имею виду, например, Open VPN, SoftEther etc...
А если всё-таки воспользоваться сторонним софтом, то эта роль не нужна?

hoz

Цитата:

Но тем не менее, трафик то прогоняется через сервера проекта

Не прогоняется он через них. Мне казалось, что я ясно ответил.
Не надо его путать с VPN Gate, это другой проект.

Цитата:

А если всё-таки воспользоваться сторонним софтом, то эта роль не нужна?

Не нужна.

Цитата:

Не нужна.

Я так понимаю, SoftEther создаёт подключение, к которому потом нужно подключать всех пользователей. Попутно, разумеется, выбирается тип авторизации(порольный, сертификаты, шифрование и т.д.)
Они подключаются под своей учёткой домена или обычной учёткой пользователя и попадают на удалённый рабочий стол. Я верно понимаю?

hoz
Цитата:

Я верно понимаю?

При чем тут вообще рабочий стол? Клиенты получают
айпи из удаленной локалки и могут ходить куда хотят в пределах своих прав.
В том числе и на рабочий стол. Авторизация может быть разная и разнообразная.


Добавлено:
gryu
Цитата:

а как создать сервер-посредник я не понял...

Его не надо создавать, он уже есть. Это сервер проекта.
Когда ты запускаешь свой сервер за НАТ, он регистрируется на посреднике,
и получает имя типа ххххх.softether.org. Заодно запоминается порт.
Когда цепляешься к серверу родным клиентом, он как-то узнает этот порт,
и подключается через него к серверу.
Если в конторе все совсем уж сурово, можно воспользоваться VPN Azure cloud

--
перенесено

vlary

Цитата:

Если в конторе все совсем уж сурово, можно воспользоваться VPN Azure cloud

вот клоидами я пока не пробовал. Кстати вполне возможно что и выйдет.
Цитата:

Его не надо создавать, он уже есть. Это сервер проекта.
Когда ты запускаешь свой сервер за НАТ, он регистрируется на посреднике,

а вот тут то и облом. Недостукивается он до их базового сервера.
Я имел ввиду создать сервер-посредник на том самом сервере из п.4

gryu
Цитата:

а вот тут то и облом. Недостукивается он до их базового сервера.

Проблемы с фаерволом, каспером, симантеком каким-нибудь?

vlary
Многоуровневая защита на основе аппаратных устройств Cisco (незнаю какая) и многоступенчатое проксирование.
Когда даже входящий и исходящий из системы трафики с разных белых IP получаются. В смысле так сделано на постоянке, а не "получаеттсО".. а то звучит как то криво.

[more] [more]море такое море[/more]

vlary
Поможете с советом?

Есть изолированный (сеть между виртуалками недоступна извне) гипервизор (ESXi) с виртуалками на борту:
1. Win2008R2 - терминальный сервер
2. Сервер 1С на CentOS
3. PostgreSQL на CentOS
4. gate на CentOS, он-же DNS и DHCP

Хочу с помощью Softether ограничить терминальные подключения каналом VPN.

На данный момент:
На гейте два сетевых интерфейса - один смотрит на провайдера, второй в локальную сеть виртуалок.
На локальном интерфейсе висят демоны dhcp и dns (все работает как часы).
[more=Есть правила iptables:]
$ipt -P INPUT DROP
$ipt -P FORWARD DROP
$ipt -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
$ipt -A INPUT -i lo -j ACCEPT
$ipt -A INPUT -s $LAN_RANGE -j ACCEPT
$ipt -A INPUT -p icmp -m icmp --icmp-type echo-request -j ACCEPT
$ipt -A INPUT -p icmp -m icmp --icmp-type echo-reply -j ACCEPT
$ipt -A INPUT -p tcp -m state --state NEW --dport 22 -m recent --update --seconds 30 -j DROP
$ipt -A INPUT -p tcp -m state --state NEW --dport 22 -m recent --set -j ACCEPT
$ipt -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
$ipt -A FORWARD -s $LAN_RANGE -j ACCEPT

# Incoming connect to VPN
$ipt -A INPUT -d $WAN -p udp -m multiport --dports 500,4500 -j ACCEPT

#nat SNAT
$ipt -t nat -A POSTROUTING -s $LAN_RANGE -o $inet -j SNAT --to-source $WAN

#Хосты выброшенные наружу
# Win2008
$ipt -A FORWARD -d $SRVRDP -p tcp --dport 3389 -j ACCEPT
$ipt -t nat -A PREROUTING -p tcp -d $WAN --dport 3389 -j DNAT --to-destination $SRVRDP:3389
[/more]
Softether настроен на L2TP, виртуальный хаб бриджем привязан к локальному интерфейсу, интерфейсы tun/tap отсутствуют.
В клиентских подключениях чекбокс "ипользовать шлюз в удаленной сети" пустой.

Проблема в следующем:
[more=Странно выглядит состояние работающего VPN_L2TP:]
http://s2.jpeghost.ru/i2/000/232/i232719xb.jpg[/more]
dhcp якобы неактивен, но адрес присваивается из диапазона объявленного в конфигах dhcpd, хотя, согласно конфигу dhcpd, подсеть должна быть 24я, а не 32я. И не объявляется имя локального домена.
Пакеты от клиента VPN доходят до каждого хоста локальной сети, кроме локального интерфейса на гейте, соответственно нет возможности использования имен локального домена (имена не резолвятся)

Если соединение поднимать через клиента Softether, то настройки dhcp прилетают корректные (маска, домен, время аренды), но к гейту пакеты все так-же не ходят.
Временно решил проблему поднятием еще одной виртуалки только ради поддержания службы dns для клиентов VPN.

Преследуемая цель - без заморочек с правилами роутинга (без отдельной подсети для VPN), клиентов VPN заводить в локальную сеть виртуалок с доступом по именам локального домена. [/more]

Я установил на сервер данное ПО. Появилась дополнительный виртуальный сетевой интерфейс. Я так понимаю, чтоб полностью изолировать сетевую среду от вне нужно чтоб весть трафик перенаправить через этот виртуальный сетевой интерфейс? А физический интерфейс не использовать. Как это грамотнее реализовать? Адрес то у физического сетевого интерфейса всё-равно имеется. Убрать вообще?

hoz
Все автоматом делается, если использовать дистр с http://www.vpngate.net/en/.
Перед подключением глянь на результат команды cmd -> route print и после (еще раз route print) увидишь, что все пакеты станул завернуты на виртуальный интерфейс.

timsky, так это если установить на домашнюю машину. Но мне нужно на сервер. Чтоб после того все подключались к нему только посредством VPN. Это ж не тоже самое...

1karavan1
Цитата:

dhcp якобы неактивен, но адрес присваивается из диапазона объявленного в конфигах dhcpd, хотя, согласно конфигу dhcpd, подсеть должна быть 24я, а не 32я.

Все правильно. Маска а интерфейс дается по правилам РРР, а именно /32.
А вот маршрут к локалке дается с правильной маской.
Цитата:

Пакеты от клиента VPN доходят до каждого хоста локальной сети, кроме локального интерфейса на гейте

В смысле - на самом сервере? Если сервер на линуксе, так оно и есть,
связано с чем-то в линуксовом ядре. Сервер на винде пингуется без проблем.

hoz
Ну сам пропиши маршруты: route -p ADD ... и гугл/хелп в помощь.

timsky, я имел ввиду не то. Сам прописываю маршруты уже года 2. У меня есть и физические VPN от провайдера. Приходится разделять от интернета. Вопрос был другого рода. Щяс опишу всё подробнее.
На данном сервере имелось 2 сетевых подключения до того, как я установил на него серверное ПО SoftEther VPN.

Вот скрин.

Так вот.
iNet - физический сетевой интерфейс смотрящий в интернет.
Lan - физический сетевой интерфейс смотрящий в локальную сеть.
VirtualLan - виртуальный сетевой интерфейс, который появился после установки SoftEther VPN.
Шлюзом в интернет для локальной сети является TI - Traffic Inspector. Там сконфигурировано, что в интернет смотрит интерфейс iNet, а в локальную сеть смотрит, соответственно, интерфейс Lan.
Но это есть сейчас. После установки SoftEther VPN появился, как уже написал, сетевой интерфейс VirtualLan. Таким образом получается, что если я хочу чтоб из интернета подключения были через интерфейс VirtualLan, а не через интерфейс iNet мне нужно будет в TI сконфигурировать так, что мол интерфес смоторящий в интернет уже VirtualLan. Логично? Логично!
Но. У нас же всё-равно имеется интерфейс iNet. Чтоб делать с ним?

Прдыдущий вопрос я, вроде как, понял. Возник другой.
Допустим, у интерфейса iNet имеется статический IP-адрес. Возможно ли при подключении к локальной сети через интерфейс iNet получать права от домена, у которого IP-адрес другой.
Например, IP-адрес интерфейса iNet 192.168.1.100, а IP-IP-адрес виртуального интерфейса VirtualNet 192.168.1.101
Как при входе с ВНЕ, например, с дома и с других машин организации, которые расположены не в локальной сети, а за проксей входя в сеть сразу же подцеплять групповые политики AD ? Т.е. становится полноправным участником домена?

Прошу обратить внимание общественность на такой момент:
процесс vpnserver_x64.exe постоянно активно занят чтением диска, и довольно активно 3-16МегаБайт/сек.
Запись обычно, но постоянно 400КилоБайт/сек.
Пусть запись это журналирование, а что тогда чтение?
И вообще, при всех его плюсах меня очень смущает что управление сидит на том же порту что и рабочий порт, даже у OpenVPN это разнесено.
И ещё, почему по умолчанию не создаётся файл adminip.txt (127.0.0.1) что архиважно.
Прошу высказаться на этот счёт.

Добрый день! Подскажите, как реализовать такую задачу.
Есть две удаленных друг от друга локальных сети, в каждой из них доступ в интернет организован через маршрутизатор на w2012s, причем используется по два интернет-канала от двух разных провайдеров (везде статические белые адреса).
Используя SoftEther, я могу организовать туннель между своими сетями либо через провайдера1, либо через провайдера2.
Задача: организовать туннель одновременно через двух провайдеров, чтобы пропускная способность каналов агрегировалась, и пропускная способность туннеля использовала всю ширину каналов от обоих провайдеров.
Как это сделать?

Dmitriy_Kolesnikov
Цитата:

организовать туннель одновременно через двух провайдеров,
чтобы пропускная способность каналов агрегировалась

Агрегировать канал от двух разных провайдеров,
это из области ненаучной фантастики.

Dmitriy_Kolesnikov
Почитайте Агрегирование каналов


Добавлено:
vlary
Я сперва тоже так хотел сказать, но если речь об агрегации уровня канала VPN, то почему "нет"?
Dmitriy_Kolesnikov
Как это научили делать win2012 я не знаю, а на linux делал бы так:
С каждой стороны по одному Linux (потом объявим их шлюзами для маршрута сети VPN).
На каждом Linux по два сервиса SoftEther (допустим softether1 и softether2), каждый держит канал только до своей пары (softether1 -> softether1, softether2 -> softether2) на другом Linux (каждая пара должна использовать канал своего провайдера).
Получим на каждом Linux по два VPN-интерфейса, которые так и просятся в Linux Bonding.
Осталось на шлюзе прописать передачу маршрута клиентам сети.
!!!Обязательное условие!!! Винда должна уметь одновременную работу через каждого провайдера.

P.S.: В упомянутой мной статье по агрегации каналов есть упоминание о способностях win2012 на подобный финт.
P.P.S: Softether тут не основной инструмент, а вспомогательный.

1karavan1
Цитата:

В упомянутой мой статье по агрегации каналов есть упоминание о способностях win2012 на подобный финт.

В том то и дело, что ни там, ни где еще я не нашел
четкого указания на то, что в 2012 сервере реализован PBR,
необходимый для работы с более чем одним провайдером.

vlary
2012 пока еще не доводилось щупать на предмет роутинга, но разве она не сможет держать статические маршруты?
Пров1.1 -> Пров2.1
Пров1.2 -> Пров2.2

1karavan1
В принципе можно жестко указать статические маршруты
к адресу назначения первого туннеля через первого провайдера,
а второго туннеля через второго. Во второй сети сделать аналогично.
Прописать маршруты с одинаковой метрикой через эти туннели.
Но будет ли ходить трафик нормально, и будет ли балансировка нагрузки, не знаю.
У меня, например, вторые каналы служат для резервирования.
Маршрутизация через туннели идет по EIGRP, в качестве рабочего
автоматически выбирается тот, который на данный момент имеет лучшие параметры.
Хотя конечно порог изначально сдвинут, и переход на резервный туннель происходит,
когда на основном канале становится достаточно плохо.

vlary

Цитата:

Но будет ли ходить трафик нормально

только эксперимент покажет

Dmitriy_Kolesnikov
Надеюсь, из нашего диалога с vlary Вы поняли, что агрегацию Softether не умеет (и не должен)?

1karavan1
Что не умеет - догадался. В документации об этом ни слова, на оффоруме молчат.
Собсно, я планировал попробовать объединить в Team два виртуальных VPN-интерфейса - примерно так же, как вы написали про Линукс. Но прежде чем городить такой огород - решил уточнить, нет ли у Софтэзера штатного средства агрегации каналов.
Если вдруг не удастся поставить второй экземпляр Софтэзера на одну машину (и заставить два экземпляра корректно работать вместе) - можно использовать для пары ему OpenVPN.

Цитата:

можно использовать для пары ему OpenVPN

сложности в одновременной поддержке двух разных конфигов, лучше будет убрать грабли мешающие запуску второго экземпляра

Dmitriy_Kolesnikov
Цитата:

Если вдруг не удастся поставить второй экземпляр Софтэзера на одну машину

Зачем?! Там есть такое понятие, как Virtual Hubs.
Ты их можешь на одном сервере наделать сколько угодно, и оперировать ими.