Пример данных для конфигурации роутера серии DFL

Вы хотели пати? Нате! Тут отдельные личности в посте про настройку роутеров серии DFL просили пример показать. Забирайте. Адреса и номера вланов, разумеется, взяты с вполне реального потолка. Сканера под рукой нет, поэтому схему, которая вполне кликабельная, фотографировал. В конце концов, сами же просили черновик…

Схема

Маршруты. Отмечу, что gs_nets (и av_nets) – это группа, в которую включены дополнительные подсети провайдера. Нужно это, чтобы до них можно было в принципе достучаться, если они “серые” и не ходить кругами через другого провайдера, если “белые”. Мониторим по доступности шлюза, потому что физический канал в нашем случае упадет когда-то врядли. Но если кабель провайдера воткнут прямо в роутер, можно и физический статус канала мониторить. IPSec мониторим, чтобы не долбиться туда, если оно лежит, тут мониторится как раз поднят он или нет. Маршрут в сеть, куда мы стучимся как PPTP-клиент, появится сам, когда соединение будет установлено. Это же касается и работы PPTP-сервера. Локалку не мониторим, нафиг оно не надо.

Правила для траффика. 1 и 3 – запрещаем выходить любому netbios наружу ибо нефиг. 2 и 4 – все запросы из локалки и гостевого Wi-Fi выпускаем наружу, используя NAT. Обмена траффиком между гостевой зоной и локалкой нет, потому что все упрется в стандартное правило “запретить все остальное наглухо”. 5 и 6 правила – разрешаем ходить траффику к нашим PPTP-клиентам и обратно. 7 и 8 – то же самое для туннеля. 9 – разрешаем пинговать шлюз октуда угодно. 10 – прокидываем FTP-запросы к шлюзу со стороны одного из провайдеров к локальному серверу. 11 – пропускаем sip-запросы к серверу через туннель к нему. Provider – это группа интерфейсов, включающая в себя avers и g-service. Если группу не использовать, пришлось бы создавать по два отдельных правила на каждого провайдера. Та же ситуация и с PPTP-сервером.

Из того, что не попало в вышесказанное. Для PPTP-сервера нужно указать где брать имена пользователей и пароли. У меня это база данных pptp_auth_db. Можно указать пул адресов для раздачи клиентом, это есть в списке для заполнения адресной книги. Пул и база пользователей у меня общая. А вот правила аутентификации, где указывается какой интерфейс и внешний ip слушать – придется создавать отдельные для каждого внешнего адреса, который будет слушать. Сервер времени используется для синхронизации времени на роутере, выставляется в соответствующей настройке. Локальный DNS используется только клиентами в локалке и, фактически, этот элемент был создан “для порядку”.

Интерфейс pptp_sip используется для ip-телефонии, но с тем же успехом это может быть и какой-то из провайдеров, тогда подпиливаем настройки по ситуации. Кстати, это может быть не PPTP, а вовсе даже и PPPoE какой-нибудь у провайдера. Подмену MAC-адреса я не использую, но это тоже можно сделать – добавится еще один элемент адресной книги и настройка интерфейса WAN, в котором сейчас все стоит в null. Из схемы видно, что у меня оба провайдера через tagged-порт заведены в один порт на роутере. Поэтому интерфейсы avers и g-service – не физические, а VLAN.

На роутере поднят DHCP-сервер, который раздает адреса из соответствующего пула. DNS используем провайдерский какой-нибудь по вкусу. Точка доступа и свитч управляются из того VLAN, который привязан к локалке. Как настроить точку доступа на несколько беспроводных сетей я уже рассказывал, собственно так оно и сделано в данном случае. Как настроить свитч – отдельная тема, быть может, когда-нибудь я ее затрону.

В целом, как-то так. Черновик, нарисованный на скорую руку, если кто-то придираться начнет 😉 Реально, нужно подходить плотнее к вопросу.