Настроить сплит-туннелинг для клиентского VPN на основе интерфейсов?

Настроить сплит-туннелинг для клиентского VPN на основе интерфейсов?, UniFi Network

htaylor_au

Guest

25.03.2017 08:21:00

Я уже делал такие замечания в нескольких других постах, но хотел прямо спросить в новой теме. Итак, поехали... Мне удалось настроить клиентские VPN на USG для Torguard и Private Internet Access. USG отлично с этим справляется, но из графического интерфейса сейчас поддерживается только PPTP. Для моих целей — скрыть метаданные от провайдера (в Австралии у провайдеров есть обязательное хранение метаданных, что, по моему мнению, создаёт огромную ловушку для злоумышленников — идеальное поле для кражи личных данных) — этого достаточно.

Плохая новость в том, что некоторые сервисы, например Netflix, блокируют доступ при использовании VPN. Я уже головой об стену бьюсь, пытаясь понять, как организовать разделённый туннель VPN на USG. Вот что я понял: в поле «Remote subnets» в интерфейсе надо прописывать все сети, которые хочется пускать через VPN. Обычно это нормально, если речь о филиале — там всего пара сетей и подсетей. Но чтобы сделать это для всего LAN → интернет, исключив при этом IP Netflix, — практически невозможно. Нужно будет указывать тысячи подсетей, и это скорее всего просто забьёт таблицу маршрутизации и память USG.

В качестве более простого варианта я подумываю настроить два LAN и WLAN на USG: один пускается напрямую через провайдера, другой — через VPN. Но пока не знаю, реально ли это и как сделать. В GUI точно не получится, но с конфигом config.json я бы попробовал, если вообще возможно настроить разделённый туннель по интерфейсам.

Надеюсь,
@UBNT-cmb
или
@UBNT-MikeD
могут помочь, это бы очень пригодилось многим в такой же ситуации. Жду конкретного ответа! Заранее спасибо.

Robbidoo Guest	#2 01.06.2019 17:31:00 Тебе удалось это настроить, @singh763173? То есть чтобы только определённые локальные клиенты (или подсети) использовали VPN-подключение клиента?

ThomasKaerager Guest	#3 30.12.2020 20:46:00 Ты уже нашёл решение?/Томас

MarcBrandt Guest	#4 12.06.2020 11:14:00 Привет, кто-нибудь смог это запустить? Ищу решение, чтобы весь трафик или отдельные приложения работали через nordvpn. Спасибо, marc

singh763173

Guest

25.12.2017 21:51:00

Спасибо, Shroomie, это действительно помогло! Моя цель — подключаться по VPN к коробке OpenVPN, у которой IP будет статично задан и меняться только тогда, когда я сам решу. Соответственно, буду обновлять настройки при таком изменении. У меня есть несколько VLAN, но из них только один я хочу, чтобы весь трафик шел через VPN. Остальной трафик должен выходить в интернет напрямую. Можно ли это настроить через GUI? Или придется пользоваться приведенными выше примерами командной строки? Спасибо и с Рождеством!

shr00mie

Guest

25.12.2017 21:28:00

Поле «Remote Subnets» — это место, куда вы вводите удалённые адреса назначения, которые находятся на другой стороне VPN. Оно нужно для маршрутизации, чтобы ваша сеть понимала, где расположены удалённые ресурсы, когда пытается их найти по IP или если локально разрешается IP, который не входит ни в одну из ваших локальных подсетей. Жалоба на пересечение связана с тем, что подсеть, которую вы пытаетесь добавить как возможное удалённое назначение, уже существует локально, и это вызвало бы кучу путаницы.

Опция 1 включает или отключает VPN-клиент.
Опция 2 направляет весь трафик со всех подсетей через это VPN-соединение, вместо того чтобы выходить через локальный шлюз провайдера.
Опция 3 лучше всего подходит для статических назначений. Если DNS разрешается в конкретный IP или небольшой набор IP в узком диапазоне, то это будет работать. Если же назначение либо балансируется по нагрузке, либо использует CDN, то тут вы в затруднительном положении — скорее всего, вам придётся опрашивать этот URL неделю или больше, чтобы собрать полный список всех CDN, на которые может указывать этот URL.

singh763173

Guest

25.12.2017 17:27:00

Извиняюсь за то, что поднимаю тему, но у меня возникли проблемы с настройкой. Я хочу сделать VPN только для одного диапазона /24, но хочу сделать это через GUI, потому что не доверяю себе работать с командной строкой и не хочу оставаться без сети, пока пытаюсь исправить то, что сломал.

Когда я добавляю /24 в поле удалённой подсети, появляется ошибка о перекрывающихся диапазонах — я думал, что для этого нужна «корпоративная» сеть, чтобы сопоставить конфигурацию VPN-клиента. Если я ошибаюсь, как привязать эту сеть к портам на моём коммутаторе и назначить её на SSID? И ещё, как получить DHCP для этого диапазона?

Извините, я совсем запутался.

depasseg

Guest

01.12.2017 04:10:00

USG работает на том же самом коде, что и edge router. Можно зайти на USG по SSH и настроить его с помощью тех же команд. Но чтобы команды сохранялись после повторного конфигурирования, нужно создать файл config.gateway.json. Я написал инструкцию по маршрутизации определённых IP-адресов через VPN, но тот же принцип применим и к маршрутизации определённых типов трафика: https://community.ui.com/questions/a8fc0f3d-54f1-4eba-bc37-e046f54b3fea

cmacnevin

Guest

01.12.2017 03:48:00

Эта конфигурация предназначена для Edge Router, а не для USG. Примерно год назад я долго обсуждал это с поддержкой — стоит ли брать USG для маршрутизации с политиками по протоколу. После множества переписки стало ясно, что этим могут заниматься только edge роутеры.

depasseg

Guest

#10

17.10.2017 19:56:00

Вы можете воспользоваться CLI для настройки маршрутизации на основе политик: https://help.ubnt.com/hc/en-us/articles/204952274-EdgeRouter-Policy-based-routing-source-address-based. Затем создайте файл config.gateway.json, чтобы настройки сохранялись при любом будущем обновлении конфигурации: https://help.ubnt.com/hc/en-us/articles/215458888-UniFi-How-to-further-customize-USG-configuration-with-config-gateway-json.

CappyKD

Guest

#11

17.10.2017 18:46:00

Это именно то, что я хочу сделать, только хочу, чтобы весь трафик шел через VPN не по назначению, а по источнику. Хочу направлять весь трафик через VPN на основе либо исходного VLAN, либо исходного IP. Кто-нибудь уже настроил такое?

Marzen Guest	#12 16.10.2017 21:07:00 Это было бы идеально и для моих нужд.

rossbeck

Guest

#13

13.10.2017 23:43:00

Я бы хотел сделать что-то вроде этого, но чтобы работало только на одном локальном сервере и ТОЛЬКО для торрент-трафика. Это возможно? Так как торренты используют разные случайные порты и обращаются к множеству IP-адресов, я думаю, мне нужно:
1) ограничить доступ к VPN только для одного локального IP (скажем, 192.0.0.10).
2) настроить VPN так, чтобы он обходил определённые порты, например, 80 и 443 для веба и 32400 для Plex-сервера.

Возможно ли это всё реализовать на USG и PIA с простой настройкой?

DirtyHarry Guest	#14 22.08.2017 21:03:00 О Боже, вот в чём была проблема. Я использовал неправильные данные для входа. Чувствую себя немного глупо, но сейчас очень рад! Большое спасибо!

olig89

Guest

#15

22.08.2017 15:39:00

Ты используешь PIA? У меня была такая же проблема, потом вспомнил, что стандартный логин и пароль отличаются от тех, что нужны для PPTP/L2TP/SOCKS — из-за этого этап аутентификации не проходит. Зайди на сайт PIA и создай нужные учетные данные в панели управления аккаунтом:

Надеюсь, это поможет.

DirtyHarry

Guest

#16

16.08.2017 08:48:00

Привет! Провёл почти весь вчерашний вечер, пытаясь настроить это, но всё ещё застрял. Я настроил сеть более-менее точно так, как показано на скриншоте LinuxLowell выше. Однако, похоже, я не получаю ожидаемого результата: мой IP по-прежнему показывает тот, что выдал мой провайдер. Есть идеи, что могло пойти не так? Когда я подключаюсь по ssh к USG и запускаю команду show interfaces pptp-client pptpc0, как рекомендовано, в ответ получаю только «Coming up».

LinuxLowell Guest	#17 08.04.2017 14:48:00 Извиняюсь за задержку с ответом, на прошлой неделе был в командировке. Вот скриншот моей конфигурации: Имя пользователя специально скрыто.

Читают тему (гостей: 1)