Punkt wyjścia: dwa routery i brak stałego adresu
Mała firma chciała łączyć się z siecią biura spoza biura, przez VPN. Operator odmówił stałego publicznego adresu IP, a droższe łącze biznesowe nie miało sensu przy skali firmy. Dodatkowo w biurze pracowały dwa routery jeden za drugim: router operatora i drugi, własny, zaawansowany (MikroTik). Ten drugi dostawał od pierwszego adres z sieci prywatnej, więc z internetu nie było do niego drogi.
Co zrobiono
- Diagnoza. Adres widoczny po stronie zewnętrznej własnego routera był adresem prywatnym. Ruch z internetu kończył się więc na routerze operatora, którego konfiguracji nikt nie znał.
- Dwie drogi. Pierwsza: przekierowania portów na obu routerach, przy czym jeden z nich pozostawałby czarną skrzynką. Druga: przestawienie routera operatora w tryb bridge, w którym tylko przekazuje łącze dalej, a całą pracę wykonuje jeden router.
- Wybór. Postawiłem na drugą drogę. Router operatora pracuje w trybie bridge, a na MikroTiku działa serwer OpenVPN z przekierowanym portem.
- Formalności. Zmiana trybu wymagała kontaktu klienta z operatorem, bo tylko on ma dostęp do swojego routera.
Efekt
Dostęp do sieci biura przez VPN działa na jednym routerze, który ma pełną kontrolę nad ruchem. Konfiguracja jest prostsza w utrzymaniu: jeden punkt zamiast dwóch i brak ukrytej warstwy, o której nikt nic nie wie. Firma nie musiała dopłacać do stałego adresu ani do droższego łącza.
Wnioski
- Gdy VPN nie działa, najpierw sprawdź, czy ruch z internetu w ogóle dociera do właściwego routera. Podwójne NAT-owanie to częsta przyczyna.
- Brak stałego adresu IP zwykle da się obejść (na przykład dynamicznym DNS), jeśli tylko ruch trafia tam, gdzie powinien.
- Zanim kupisz droższe łącze, sprawdź tryb pracy sprzętu, który już masz.
Zobacz usługi druga linia wsparcia IT i zdalna pomoc oraz porządek w dostępach, hasłach i kontach firmy.