☰

IPSec 사이트 간 터널을 통해 VTI를 통해 하나 이상의 공용 IP 라우팅

tag-icon • tag-icon networking ipsec tunneling
IPSec 사이트 간 터널을 통해 VTI를 통해 하나 이상의 공용 IP 라우팅

OVH에서 홈 라우터(UBNT Edgerouter)와 전용 서버(Ubuntu 16.04) 사이에 IPSec 사이트 간 터널을 통해 VTI를 성공적으로 생성했습니다. VTI 장치를 통해 각 측면의 내부 개인 네트워크를 라우팅하고 다른 사이트에서 액세스할 수 있습니다(사이트 A의 NAT 장치(예: 라우터 뒤의 컴퓨터)에서 사이트 B 개인 범위 장치에 액세스할 수 있으며 이는 훌륭합니다). 공용 네트워크를 라우팅하는 데 문제가 있습니다.

사이트 A: 홈 라우터:

공개 기본 IP: 89.xx81

개인 IP(NATed 홈 장치): 10.100.10.1/24

VTI: 10.255.12.1/30

~# ip r
default via 89.x.x.1 dev eth0  proto zebra 
10.100.10.0/24 dev eth1  proto kernel  scope link  src 10.100.10.1 
10.255.12.0/30 dev vti0  proto kernel  scope link  src 10.255.12.1 
89.x.x.0/22 dev eth0  proto kernel  scope link  src 89.x.x.81 
172.16.0.0/12 dev vti0  proto zebra 

~# ip tunnel
vti0: ip/ip remote 51.x.x.136 local 89.x.x.81 ttl inherit nopmtudisc ikey 0 okey 1234
ip_vti0: ip/ip remote any local any ttl inherit nopmtudisc key 0

사이트 B: OVH의 서버:

공용 IP: 51.xx136

서버에 할당/라우팅된 공용 IP 블록: 51.xx128/28(서버에 .136만 구성됨)

개인 IP(OVH vRack): 172.16.0.1/12

VTI : 10.255.12.2/30

~# ip r
10.100.10.0/24 dev vti0  scope link 
10.255.12.0/30 dev vti0  proto kernel  scope link  src 10.255.12.2 
51.x.x.142 dev eth0  scope link 
172.16.0.0/12 via 172.16.0.1 dev eth0  scope link 
172.16.0.0/12 dev eth0  proto kernel  scope link  src 172.16.0.1

~# ip tunnel
ip_vti0: ip/ip  remote any  local any  ttl inherit  nopmtudisc key 0
vti0: ip/ip  remote 89.x.x.81  local 51.x.x.136  ttl inherit  nopmtudisc key 1234

목표:

홈 라우터의 VTI 장치를 통해 OVH 서버 블록(51.xx128/28)에서 하나 이상의 공용 IP를 구성합니다(그런 다음 라우터 뒤의 서버에 IP를 할당하기 위해 그곳에서 1:1 NAT를 만듭니다). 또는 뒤의 장치에서 직접 구성합니다. 가능하다면 홈 라우터.

VTI에서 가능합니다. 아니면 VTI에서 GRE로 변경을 고려한 후 다음을 따라야 합니다.https://serverfault.com/a/557949?

답변1

네, 며칠 전에 혼자서 해결했습니다.

사이트 A:

다음을 통해 공용 IP(집으로 라우팅하려는)에 대한 경로를 추가했습니다.vti0장치

~# ip r
...
51.x.x.134 dev vti0  scope link

사이트 B(두 가지 옵션 중 하나 선택):

  1. 공용 IP를 홈 라우터로 라우팅

    원하는 공용 IP를 추가하세요.eth0(또는vti0) 장치를 통해 표시 및 기본 게이트웨이가 있는 라우팅 테이블을 생성합니다.vti0을 선택한 다음 소싱된 출력 트래픽을 다음으로 표시합니다.iptables.

    또는

  2. 공용 IP를 홈 라우터 뒤의 장치로 라우팅

    만들기DNAT: Public IP->NATed Device를 통해 기본 게이트웨이에 대한 라우팅 테이블을 생성합니다.vti0선택한 NAT 장치에 대해(장치에서 인터넷으로의 모든 트래픽은 다음을 통해 라우팅됩니다.)VPN)

그래서 나는 필요한 것을 얻었습니다. 다음 단계는 사이트 A의 서버에서 올바른 출력 IP 주소를 설정하는 것입니다(이제 트래픽은 기본 A 사이트 서버 IP 주소에서 나갑니다).

내 솔루션이 모범 사례가 아닌 경우 알려 주시기 바랍니다.

내 가정을 달성하는 다른 방법이 있습니까? 아마도 프라이빗 BGP 피어링이 해결책이 될까요??

관련 정보