Как настроить локальную сеть через сервер

Как создать и настроить локальную сеть LAN

Компьютерные локальные сети, в отличие от глобальной, обеспечивают связь между компьютерами в пределах одного помещения, причем независимо от его размеров. Это может быть одна квартира или большой торговый центр. Существуют также гетерогенные (смешанные) сети, когда между собой связаны компьютеры или другие устройства с различными операционными системами или с разными протоколами передачи данных. В пределах одной локальной сети можно подключать не только компьютеры и ноутбуки, но и другие мультимедийные устройства (телевизоры, игровые приставки, музыкальные центры и т.д.) Грамотно создав такую систему, вы сможете просматривать фильмы или слушать музыку, которая находится на компьютерных носителях, на экране телевизора или с помощью аудиосистемы, быстро обмениваться файлами и т.д.

В данной статье мы рассмотрим пример настройки локальной сети для домашнего пользования. Справиться с этим делом сможет даже обычный пользователь. Рассматриваем вариант, когда на всех компьютерах установлена привычная для российских пользователей система Windows 7 (процедура почти ничем не отличается для настройки домашней сети под Windows 8 или Vista).

Первый этап — подбор оборудования

Настройка начинается с выбора подходящего сетевого компонента. Вариантов несколько — свитч (switch), роутер (router) или беспроводная точка доступа. Причем они могут комбинироваться, если вы планируете создание не только локальной сети, но и подключение к глобальной. В чем разница между этими устройствами?

1. Простой свитч для домашней сетки обеспечивает исключительно связь между компьютерами с помощью проводного соединения. Никаких других функций он не несет (мы не будем рассматривать особые «умные» устройства, которые используют провайдеры). Компьютеры и мультимедийные устройства подключаются к этому сетевому коммутатору проводами. В магазинах кабели UTP5 с обжатыми концами называются патч-кордами и продаются с разной длиной. Длина каждого патч-корда для домашней локальной сети не имеет значения, поскольку от устройства до устройства сигнал проходит по кабелю без ухудшения до 150 метров.
2. Роутер, или маршрутизатор. Этот сетевой компонент не только связывает между собой точки локальной сети, но и может обеспечивать доступ к сети Интернет. При этом многие современные модели поддерживают как проводную, так и беспроводную связь устройств внутренней системы (через WiFi).
3. Беспроводная точка доступа для домашнего пользования обеспечит связь ваших гаджетов между собой исключительно через WiFi. Учтите, что подключиться к ней могут компьютеры, имеющие беспроводную сетевую карту, ну а современные телефоны и планшеты почти все без исключений имеют доступ к WiFi.

Для самой простой связи домашних компьютеров в одну систему подойдет относительно дешевый свитч. Дороже обойдутся роутеры и беспроводные точки. Выбирайте подходящие компоненты, исходя из своих потребностей и финансовых возможностей. На рынке они представлены в большом количестве.

Второй этап — настройка локальной сети (через свитч)

В случае выбора вами простого свитча и подключения к нему компьютеров с помощью кабеля, мы сразу переходим к этапу настройки параметров для каждого компьютера или устройства.

В системе Windows 7 нам необходимо зайти в меню Пуск, выбрать Панель управления и открыть вкладку Центр управления сетями.

Кликнув на название сети (Домашняя сеть, Сеть предприятия и т.д.), вы сможете перейти к созданию рабочей группы (но лучше не усложнять процесс и отменить предложение системы). Слева вы увидите пункт Изменить дополнительные параметры общего доступа. Убедитесь, что в нем включены параметры Сетевое обнаружение, Общий доступ к файлам и принтерам, Общий доступ к папкам и другие необходимые вам параметры. Данные действия необходимо провести на каждом компьютере/ноутбуке!

Теперь настраиваем сетевые карты. В Центре управления сетями нажимаем пункт Подключение по локальной сети.

В появившемся окне нажимаем Свойства и выбираем строку Протокол Интернета версии 4 (TCP/IPv4) и снова нажимаем Свойства. В появившемся окне выбираем Использовать следующий IP-адрес и прописываем IP для первого (главного) компьютера — 192.168.0.1, а маску подсети — 255.255.255.0.

Строка с номером шлюза не указывается, если локальная сеть не имеет доступа к Интернету. Такие же действия проводим на всех других устройствах, только меняем последнюю после точки цифру в IP-адресе на 2, 3, 4 и т.д.

Количество подключаемых компьютеров обычно обуславливается числом выходов на хабе, которое варьируется от 8-16 или ещё больше. Такой способ подключения при определённых настройках о которой мы поговорим немного позже, позволяет объединить все компьютеры единой локальной сетью. Помимо этого такое подключение позволяет компьютерам находиться в сети независимо друг от друга. Даже если один из компьютеров отключится от сети, остальные буду продолжать работу. Для того чтобы реализовать сеть посредством хаба нам понадобится специальный сетевой кабель который будет связывать каждый компьютер с сетью. Этот кабель так же известен под названием «витая пара».

Шаг третий — проверка сетевых настроек

Теперь можно проверить корректность создания локальной сети. Для этого в меню Пуск в поиске набираем cmd и жмем Enter, в появившемся окне набираем слово ping и через пробел адрес требуемого компьютера, например, ping 192.168.0.3. если все было сделано верно, то появится сообщение об успешном обмене пакетами и время отклика. Если же настройки не были сделаны корректно, то вы увидите сообщения о превышении интервала ожидания для запроса.

Второй этап — настройка локальной сетки (для роутера)

В случае, если вы используете роутер в своей системе, то настройка обычной «локалки» ничем не отличается от вышеописанных действий для свитча. Но если вы хотите подключить компьютеры локальной сети к Интернету, то порядок действий изменяется радикально. Мы настраиваем только роутер, а для всех подключаемых к домашней сети устройств выставляем в параметрах сетевых карт пункт — Получать IP-адреса автоматически.

Чтобы настроить роутер, необходимо открыть окно любого браузера и набрать в строке его сетевой адрес (он обычно указан на самой коробке или в документации к нему). В зависимости от марки и производителя эти IP-адреса могут быть разные. Браузер откроет нам окно с параметрами роутера, где необходимо указать сведения, которые вам дал провайдер. В случае, если все было сделано верно, все ваши устройства автоматически объединятся по локальной сети и будут подключены к Интернету. Теперь вы можете перейти к 3 шагу — проверке корректности настройки и «пропинговать» все свои устройства, как это описано выше.

Если у вас возникли сложности, то мастера компании «Админ Сервис» всегда готовы помочь вам с проектированием, прокладкой и настройкой локальной компьютерной сети.

Источник

VPN-мост в локальную сеть

Прочитал топик habrahabr.ru/blogs/linux/67209 и решил выложить сюда свою статью, которая была до этого видна только в закрытой корпоративной Wiki.

Обычно, при создании VPN, используется подключение типа точка-точка к некоторому серверу, либо установка ethernet-туннеля с некоторым сервером, при котором туннелю назначается определённая подсеть. Сервер VPN при этом выполняет функции маршрутизации и фильтрования трафика для доступа к локальной сети через VPN.

Данная статья рассматривает другой подход к созданию виртуальной сети, при котором удалённые системы включаются в уже существующую локальную подсеть, а сервер VPN выполняет роль Ethernet-шлюза. При использовании такого подхода мы всё ещё имеем возможность фильтровать трафик на основании способа подключения (например, использовать для локальной сети и для удалённых пользователей разные фильтры), но исключается необходимость настройки маршрутизации, а удалённые машины включаются прямо в локальную сеть, видят ресурсы, даже способны использовать широковещательные посылки вообще без дополнительной настройки. Через такой VPN у них отображаются все компьютеры локальной сети Windows, все доступные XDMCP-серверы при XDMCP broadcast и т. д.

Структура сети и настройка сервера

Предположим, что имеется офис с локальной сетью, используется IP-подсеть 192.168.168.0/24. В эту локальную сеть мы включим домашних пользователей, то есть они будут иметь адрес из этой же самой подсети. Необходимо убедиться, что у них «дома» не встречается данная подсеть, и что никакие системы в локальной сети не имеют адресов из диапазона, который мы выделим для удалённых пользователей.

Поддержка моста в ядре

Для работы такой техники нам нужны некоторые ядерные драйвера. Это универсальный драйвер виртуальных сетевых интерфейсов tun, и драйвер ethernet-моста bridge. Можно включить их в ядро, или собрать модулями:

Если они будут собраны модулями, необходимо либо включить автоматическую загрузку модулей в ядре, либо загружать их самому перед установкой VPN-соединения.

Программное обеспечение

Для сервера потребуется OpenVPN и утилиты для обслуживания моста. В Gentoo они собираются следующим образом:

При использовании >=sys-apps/baselayout-1.12.6 этого достаточно, для более старых версий потребуются специальные утилиты для обслуживания tun/tap-устройств:

Настройка сети

Положим, eth2 — интерфейс, к которому подключена локальная сеть, с назначенным адресом 192.168.168.254. Его настройка выглядела примерно так:

Поскольку он будет участвовать в мосте, ему не нужно назначать адреса. Также, в мосте участвует вновь создаваемый виртуальный интерфейс tap0, которому тоже не назначается никакого адреса. Адрес, который использовался eth2, назначается теперь мосту br0:

Также нужно создать настроечные скрипты для указанных интерфейсов:

Достаточно автоматически загружать только интерфейс br0. depend_br0() автоматически поднимет все остальные необходимые ему для работы:

Создание ключей OpenVPN

Мы будем авторизовывать клиентов посредством RSA-ключей OpenSSL. Для упрощения процесса, для нас приготовили несколько init-скриптов:

Там есть файл vars, в который мы занесём общие значения:

Внизу этого файла мы заполняем наши переменные:

Загружаем переменные из этого файла и строим CA (Certificate Authority):

Ключ сервера

Для генерации ключа сервера с именем office, используем следующую команду:

На вопрос «Common Name» нужно ответить именем сервера (в нашем случае, office). На два вопроса в конце «Sign the certificate? [y/n]» и «1 out of 1 certificate requests certified, commit? [y/n]» отвечаем «y».

При необходимости, можно будет создать дополнительные ключи серверов. Например, это могут быть резервные серверы доступа для повышения надёжности системы. Они создаются той же командой, перед ней нужно выполнить source ./vars.

Параметры Диффи-Хеллмана

Здесь ничего дополнительно делать не придётся, но придётся подождать.

Этот файл нужен только на сервере.

Ключи клиентов

Каждому клиенту необходимо выдать свой ключ. Для клиента с именем client ключ создаётся командой

На вопрос о «Common Name» отвечаем именем клиента (в данном случае, client). На два вопроса в конце отвечаем согласием.

Сгенерированные ключи и сертификаты передаём клиентам через защищённый канал. При необходимости, можно создавать ещё ключи той же командой. Перед её запуском, необходимо загрузить окружение — выполнить source ./vars.

Настройка и запуск сервиса OpenVPN

Для запуска следует использовать следующую конфигурацию сервера (файл /etc/openvpn/openvpn.conf):

Ключ office.key должен иметь режим 600 (доступ только владельцу). Файлы office.crt и dh1024.pem имеют режим 644.

Настройка фильтрования

Поскольку мы используем мост, есть несколько особенностей организации фильтрования пакетов. Например, не все проходящие пакеты могут вообще оказаться IPv4. Для настройки работы моста в ядре существует несколько параметров:

Переменные этой группы сохраняются в файлах директории /proc/sys/net/bridge/. Их можно также настраивать в /etc/sysctl.conf, тогда они все получат префикс «net.brigde.»

• bridge-nf-call-arptables
  Логическая переменная bridge-nf-call-arptables управляет передачей трафика ARP в цепочку FORWARD пакетного фильтра arptables. Установленное по умолчанию значение 1 разрешает передачу пакетов фильтрам, 0 – запрещает.
• bridge-nf-call-iptables
  Логическая переменная bridge-nf-call-iptables управляет передачей проходящего через мост трафика IPv4 в цепочки iptables. Используемое по умолчанию значение 1 разрешает передачу пакетов для фильтрации, 0 – запрещает.
• bridge-nf-call-ip6tables
  Действие аналогично предыдущему, только оно настраивает передачу трафика IPv6 для фильтрования в цепочки ip6tables.
• bridge-nf-filter-vlan-tagged
  Логическая переменная bridge-nf-filter-vlan-tagged определяет возможность передачи трафика IP/ARP с тегами VLAN программам фильтрации пакетов (arptables/iptables). Значение 1 (установлено по умолчанию) разрешает передачу пакетов с тегами VLAN программам фильтрации, 0 – запрещает.

Для фильтрования пакетов, проходящих через мост, используется соответствие physdev, которое различает, с какого и на какой порт моста следует пакет. Включаем его в ядре:

Кроме этого, конфигурация ядра должна разрешать передачу пакетов на фильтрацию iptables, т.е. bridge-nf-call-iptables=1 и bridge-nf-call-ip6tables=1 (если вы используете IPv6).
После можете использовать, например, такие правила для фильтрования:

Поподробнее про настройку фильтрации между портами поста можно почитать в статье Building bridges with Linux

Если вы не хотите делать никаких различий между пользователями LAN и пользователями bridged VPN, вы можете просто выключить эти параметры в ядре (они включены по умолчанию):

Клиенты

На клиенте необходимо создать конфигурационный файл OpenVPN следующего содержания:

Если сервер подключен через несколько провайдеров, можно повысить устойчивость сети к отказам. Для этого клиенту нужно прописать несколько опций remote, по одной на сервер, в порядке «сначала предпочтительные».

Имена файлов, указанные в параметрах ca, cert и key — это файлы, переданные через защищённый канал. Права доступа к файлу key должны быть установлены в 600.

Linux

Необходим universal tun/tap driver в ядре, либо модулем, но загруженный.

Gentoo

При установке net-misc/openvpn создаётся скрипт /etc/init.d/openvpn. Этот скрипт запускает openvpn с конфигурационным файлом /etc/openvpn/openvpn.conf. Мы, однако, можем поддерживать несколько конфигураций OpenVPN одновременно, если сделаем симлинки вида /etc/init.d/openvpn.network-name -> /etc/init.d/openvpn — каждый такой скрипт запускает OpenVPN с конфигурационным файлом /etc/openvpn/network-name.conf.

Соответственно, помещаем туда вышеприведённый конфиг, создаём симлинк и кладём скрипты в поддиректорию в /etc/openvpn/. В конфиге прописываем полный путь к ключу и сертификатам. Следите, чтобы имена файлов в конфиге не пересекались, во избежание неприятных эффектов!

Запуск и останов сети производятся через управление сервисом /etc/openvpn.network-name.

Windows

Конфигурационный файл помещается в директорию «C:\Program Files\OpenVPN\config\» с именем вроде «office.ovpn», туда же помещаются остальные файлы — ключи и сертификаты. Если мы их помещаем в поддиректорию (например, хотим использовать несколько виртуальных сетей и все они предоставили файлы с одинаковым именем ca.crt), указываем полные пути к файлам.

Для запуска сетей можно либо запустить сервис OpenVPN (тогда будут запущены все конфигурации *.ovpn, найденные в config\), либо по отдельности — щёлкаем по файлу .ovpn правой кнопкой и выбираем «Запустить OpenVPN с этой конфигурацией».

Возможные проблемы

Проверить доступность сервера, если он запущен на TCP, можно обычным telnetом.

Windows

Нет свободного виртуального адаптера TAP

По логу OpenVPN видно, что клиент успешно присоединился к серверу, авторизовался, но не смог привязать виртуальную сеть к виртуальному адаптеру. Скорее всего, какие-то другие процессы уже задествовали все имеющиеся в системе адаптеры TAP-Win32. Это мог быть и сам OpenVPN, повисший и не отдавший адаптер.

Лечится перезагрузкой или выяснением, какие бы это могли быть процессы и принудительным их убиванием.

Источник