Чтобы я правильно понял, мне нужно настроить полностью квалифицированный домен, чтобы связать эти две штуки, или можно использовать что-то вроде Hamachi? И вообще, нужно ли мне два USG? Спасибо, PJ

К сожалению, нет

Спасибо, я создал пост https://community.ui.com/questions/1d8ae6b9-0226-4a2c-9f3d-258ff1b1e8ac

Итак, в основном я настроил беспроводную сеть на нашей станции 1: 4 точки доступа и маленький Raspberry Pi с контроллером. Все это подключено к стандартному роутеру Verizon, который у нас установлен в станции. Офицеры хотят, чтобы я настроил такую же систему на второй станции. Я никогда полностью не занимался сетями, просто пытаюсь разобраться. Допустим, у меня есть 2 USG, как их связать вместе, чтобы система работала синхронно под одним контроллером?

Привет, ребята, просто хотел уточнить, потому что немного запутался. Когда все говорят «site to site», это подразумевает одну и ту же локацию или я могу сделать это, например, на двух разных пожарных станциях?

Сейчас у меня похожие проблемы с необходимостью вручную настроить site-to-site IPsec VPN между двумя USG, оба с динамическими IP-адресами. Когда же можно ожидать, что GUI сможет работать с FQDN для WAN IP? Всё это происходит в Китае, так что сплошные головные боли и потеря времени — не представляю, как деать отладку и запускать всё, постоянно прибегая к редактированию JSON.

@traub

Вот ссылка: https://community.ui.com/questions/0220066b-6d7e-4ee5-9015-bdff0d58c625#comment/f4378c97-35d6-4e7d-b880-e7846d47a4b1  
Я хорошо знаком с OpenVPN, а с L2TP — не очень, поэтому для меня это было намного проще. Файл openvpn.conf в посте — это стандартный openvpn.conf, ничего специфического для USG/UBNT.  
Если вы не знакомы с OpenVPN, рекомендую настраивать его с опцией «topology subnet». Ниже дам конфигурацию, которую я использую и которая работает.  

Вам нужно заранее подготовить сертификаты/CA/PKI, а также нужно будет найти папку ccd по пути /config/user-data/openvpn/ccd. В Интернете много статей, где это описано (Ubuntu поставляется с удобным скриптом easy-rsa, который сделает всю работу на машине x86, а потом, возможно, вы просто отправите это на «центральный» USG).  

config.gateway.json:  
{  
 "firewall": {  
   "group": {  
     "network-group": {  
       "remote_site_vpn_network": {  
         "network": [
           "10.5.0.0/16",  
           "10.6.0.0/16"  
         ]  
       }  
     }  
   }  
 },  
 "interfaces": {  
   "openvpn": {  
     "vtun0": {  
       "firewall": {  
         "in": {  
           "name": "LAN_IN"  
         },  
         "local": {  
           "name": "LAN_LOCAL"  
         },  
         "out": {  
           "name": "LAN_OUT"  
         }  
       },  
       "config-file": "/config/user-data/openvpn/openvpn.conf"  
     }  
   }  
 }  
}  

Сервер:  
local 0.0.0.0  
multihome  
dev tun  
proto udp  
port 1194  
fast-io  
comp-lzo yes  
push "comp-lzo yes"  

ca /config/user-data/openvpn/ca.crt  
cert /config/user-data/openvpn/server.crt  
key /config/user-data/openvpn/server.key  # Этот файл должен храниться в секрете  
dh /config/user-data/openvpn/dh2048.pem  
tls-auth /config/user-data/openvpn/ta.key 0 # Этот файл тоже секретный  
cipher AES-256-CBC  

topology subnet  
server 10.0.8.0 255.255.255.0  
max-clients 15  

ifconfig-pool-persist ipp.txt  

keepalive 50 600  

# client-to-client  
client-config-dir /config/user-data/openvpn/ccd  

user nobody  
group nogroup  

persist-key  
persist-tun  

# Обратите внимание, что подсети ниже совпадают с JSON-файлом в секции remote_site_vpn_network  
route 10.5.0.0 255.255.0.0  
route 10.6.0.0 255.255.0.0  
# Добавляйте сколько угодно маршрутов, чтобы сервер знал, куда направлять трафик для вашего VPN-соединения  
status /var/log/openvpn-status.log  
log-append /var/log/openvpn.log  

mute 20  

Файл ccd на сервере для «remoteusg1» (/config/user-data/openvpn/ccd/remoteusg1):  
#10.0.8.40 будет IP, назначенным клиенту «remoteusg1»  
ifconfig-push 10.0.8.40 255.255.255.0  

# 10.5.0.0/16 — это подсеть за шлюзом «remoteusg1»  
# Эта команда сообщает внутреннему маршрутизатору OpenVPN на сервере,  
# куда направлять пакеты, связанные с этим peer. Но при этом всё равно нужны route-команды в .conf файле сервера. Если есть iroute, но нет route на сервере — не заработает.  
iroute 10.5.0.0 255.255.0.0  

# Прокидываем локальные подсети, доступные через VPN-шлюз «remoteusg1» (добавляет эти маршруты на удалённый USG)  
push "route 10.0.7.0 255.255.255.0"  
push "route 10.0.5.0 255.255.255.0"  

Файл клиента для «remoteusg1» (/config/user-data/openvpn/openvpn.conf):  
client  
dev tun  
proto udp  
remote www.yourserverwan1ip.org 1194  # замените на URL вашего сервера  
remote www.yourserverwan2ip.org 1194  # тут так же  
resolv-retry infinite  
nobind  
user nobody  
group nogroup  
persist-key  
persist-tun  
mute-replay-warnings  

ca /config/user-data/openvpn/ca.crt  
cert /config/user-data/openvpn/remoteusg1.crt  
key /config/user-data/openvpn/remoteusg1.key  

ns-cert-type server  

tls-auth /config/user-data/openvpn/ta.key 1  

cipher AES-256-CBC  
comp-lzo  
verb 3  
mute 20  

Это должно помочь вам запустить всё.

Профи используют мульти-WAN (резервирование)

@UBNT-jaffe Есть какие-нибудь идеи?