ну если умеешь ...

хотя у меня с 2002-го no ip redirects рефлекс

Я вот не сетевик не разу. Можно немного ликбеза? Есть локалка, допустим на добрую сотню серверов. У них у всех просто есть дефолтный гейтвей. И все они в 10.0.0.0/16. И все это клево работает. Но приходит момент когда встаёт необходимость поставить VPN и пустить юзеров. VPN нет возможности поставить на дефолтной гейтвее. Ставим на ещё одном серваке в той же сети. Юзерам VPN выдаётся сетка например 10.5.0.0/16. Особенность в том что требуется видеть на серваках их «реальные» IP из vpn сети. Я вижу 2 варианта: 1) Icmp redirect. Т.е на VPN серваке просто включается форвардинг и ответы от серверов идут по редиректу. 2) Каким то образом прописать маршрут на всех сераваках до VPN подсети via сервер VPN. Вопрос первый, как правильнее? Судя по тому что вроде как icmp redirect зло, то правильнее второй вариант. Отсюда второй вопрос, как разливать маршруты? Не ставить же на все серваки ospf? Мне приходила в голову идея, раздавать маршруты через dhcp, но показалось что они не удаляются потом если я их убрал из списка на dhcp.

это называется кривой дизайн

1) ставить ВэПээН за дефолтгейтвеем

д

1) ставить ВэПээН за дефолтгейтвеем

Как это? Гейтвей стоит на границе между локалкой и интернетом.

2) (кривой дизайн) - сделать на гейтвее маршрут до впн. и трафик от серверов будет ходить - сервер-дефгв-впн а обратно - впн-сервер

Как это? Гейтвей стоит на границе между локалкой и интернетом.

сделать третий интерфейс на гейтвее, не ?

2) (кривой дизайн) - сделать на гейтвее маршрут до впн. и трафик от серверов будет ходить - сервер-дефгв-впн а обратно - впн-сервер

Вот да, первый вариант реализации это и предусматривал.

ну да 4 раза через один гв будет ходит что поделаешь

-)

а че там, виртуалки?

у России ИТ рынок больше польского?

Тегните кто-нибудь Семеняку (не знаю, почему он у меня здесь не тегается). Он мне на днях говорил, что польский рынок ну совсем немного меньше российского

(Был до прошлой недели)

а че там, виртуалки?

И вирты и железо.

ну поднять еще одну виртуалку

которая будет впн терминировать

и с нее ротинг до гв

в отдельном влане

т.е. будет все равно весь траф бегать через дефолт гв?

конечно

и там можно организовать сесурити

а иначе это адок

Я правильно понимаю что если нужно вообще убрать траф VPN'щиков с дефолта, то без прямых маршрутов до VPN сервера не обойтись?

по крайней мере это решение будет иметь перспективы на развитие

зачем его надо убирать с дефолта

это же впн

там нет гигабит iscsi трафика

а вопросы сесурити, развития и масштабирования на хую провернуть, это дорого стоит

просто потенциально там может быть достаточно много трафа. У VPN сервера есть свой отдельный выход в интернеты. А на гейтвее всего гигабит в локалку и сотка наружу.

просто потенциально там может быть достаточно много трафа. У VPN сервера есть свой отдельный выход в интернеты. А на гейтвее всего гигабит в локалку и сотка наружу.

впн сервер со своим выходом в инет и все это в одном л2

роутеры придумали трусы

а зачем? впн гейт всё равно будет один интерфейсом в 10.5.0.0/16

только л2, только хардкор

а, сори, упустил

это не деф гейт

ну через DHCP раздать в 10.0.0.0/16 статик роут в 10.5.0.0/24

или на существующем DG сделать pbr

ну через DHCP раздать в 10.0.0.0/16 статик роут в 10.5.0.0/24

Вот вопрос. А когда я уберу его по какой то причине из списка раздачи. Он уйдет с серваков?

для DHCP 249\121 опция вполне

да, через 1\2 времени аренды

Тююююю, да это же все сильно упрощает

потому что через 1\2 времени аренды dhcp клиент должен постучать в dhcp сервер на предмет "а есть чо?"

для DHCP 249\121 опция вполне

249 это для винды да?

соот-но время аренды в 10 минут и погнали

249 это для винды да?

оба для винды

и для всего остального

это опция DHCP

но новый винды - 249

для ведра и прочего легаси -121

но там главное не наебаться в расчёте

ищи примеры

впрочем, вёдра игнорят 121\249

посему вафли в отдельный влан

нене, у меня linux only

249 - более ранняя (и не полная) MS реализация 121

нене, у меня linux only

оно точно умеет 121.

249 - более ранняя (и не полная) MS реализация 121

точно? тогда я перепутал

121 по rfc, у MS 249. в 121 может быть дефолт 0.0.0.0, в 249 нет. формат идентичен

да, норм опция 121

извините

249 это легаси

мс дхцп тоже в 249 умеет

нонче ;)

раньше не умело

да как бы нет, живет своей параллельной жизнью на ms клиентах/серверах

последние лет 10

у меня сейчас через 121 раздаётся на ура

игнорят только вёдра

и ХРюши

но хрюши я закопал

а что там с линями мне неведомо, к счастью

win10 запрашивает и то и другое. более ранние винды 121 не умели

121 вин7 умеет

и 2008р2 соот-но

а вот более ранние - да. там сиди считай 249

не win7 не умела раньше, инфа сотка. допатчили значит