[請益] 有哪些設備可以支援這樣的架構 VPN Routing (附圖)

cafeer
個人積分：0分
文章編號：13728463

0分

樓主

2009-07-31 17:02

目標是希望所有的LAN都能互通
且所有對外流量都藉由防火牆出去

透過圖中兩台灰白色的 VPN Router 來做 VPN Tunnel
兩邊的VPN是用 VDSL 固定 IP 連線
目前不清楚有什麼設備可以達到這樣的功能
希望價格能在30K以內/每台

懇請有經驗的前輩提供建議
謝謝

2009-07-31 17:02 發佈

文章關鍵字 VPN Routing 架構設備附圖

zackting

zackting
個人積分：47分
文章編號：13731794

47分

2樓

2009-07-31 19:35

我怎麼看都覺的你的架構圖很怪

vpn route怎麼可能不用透過防火牆出去，就可以內部連接了
除非是點對點的專線才有可能
是不是畫錯了呀？？

先不談架構圖
基本上只要在設備內部的靜態路由設定就可以實現了

在LAN 2的VPN ROUTER 靜態路由設定所有的全部往LAN 1送

在LAN 1 的VPN ROUTER設定內部IP往防火牆的LAN走，其餘的往WAN走
就行啦

reejan

reejan
個人積分：9分
文章編號：13737304

9分

3樓

2009-07-31 23:58

我也覺得這樣很怪耶
這個架構
非常奇怪...........
不過如果這樣的話
似乎

Vigor2950可以做到
具體教學在此
http://www.tamio.com.tw/taiwantamio/new/faq.php?id=70

而且兩台加起來也確實在30K附近

應該是符合原PO的需求
但........那個圖真的怪怪的

cafeer

cafeer
個人積分：0分
文章編號：13746796

0分

樓主

2009-08-01 14:28

謝謝兩位的說明

我再補充一些原先的想法
主要是想尋找是否有這樣的設備可以達成像專線那樣的功能
所以那張架構圖看起來會有點奇怪

我想要找的設備其實不是防火牆也不是NAT
而是要能夠支援透過VDSL線路等固定IP的方式建立起VPN Tunnel後
針對網路流量做路由的設定

目前市面上許多支援LAN to LAN VPN的路由器(防火牆)
基本上都會有些限制
像是VPN流量只針對內部網段做路由
對外流量(預設路由)一般都不會經過VPN Tunnel
而是直接由各自的對外VDSL出去
所以我才想要找這樣的設備
可以說是一種路由器但是支援建立 LAN to LAN VPN
功能就像是ISP提供的專線一樣沒錯

不曉得這樣的構思是不是有設備可支援
或是只能朝申請專線一途

KyoMasahiro

KyoMasahiro
個人積分：7分
文章編號：13760002

7分

5樓

2009-08-02 5:55

可以用兩台具vpn功能的router，裝在site1跟site2
site1跟site2設為vpn互連後
將其site1的routing設定為一律由site2連出
我之前是用vigor的2600設定的，驗證過ok

當初一台是在大陸，另一台是在台灣，大陸的電腦對外連線都是由台灣連出去的，所以也可以解決某些網站無法連線的問題
供您參考

cafeer

cafeer
個人積分：0分
文章編號：13762591

0分

樓主

2009-08-02 11:17

謝謝KyoMasahiro提供的寶貴訊息
我會去找設備來借測一下

想再請教一點
不知您是否有試過
在site2的流量是導到LAN網段的另一個閘道
像我的架構圖中表達的
真正的對外閘道其實都不是在VPN Router上
而是在防火牆

chuchulee

chuchulee
個人積分：2022分
文章編號：13776144

2022分

7樓

2009-08-03 0:06

版主想要的應只是將另一端所有路由導回另一台VPN設備,再出去..
這功能在Vigor的選項是有的, 只要勾一下下列圖示的選項,就不會非VPN的走一般網路了...這功能用在最多的就是大陸設廠的台商..這樣有一個好處, 若再配合Vigor的smart monitor..那大陸員工做什麼都可以監控囉..

KyoMasahiro

KyoMasahiro
個人積分：7分
文章編號：13782895

7分

8樓

2009-08-03 11:07

Hi, 我所做的設定和chuchulee是完全一樣的，就是在vigor上的那個選項打勾即可。

我們公司是用Juniper的NetScreen來串連所有海外據點
不論如何，每台VPN裝置當然需要一個local的網路才能連上遠端的VPN網路
通常每個VPN裝置就設定為一個C class的內部網段
例如板主的設置可以是192.168.1.0/24及192.168.2.0/24
192.168.2.0/24的這個網段設定成透過192168.1.1(假設這是router的ip)來對外

因所學不精，僅供各位先進參考討論，謝謝。

cafeer

cafeer
個人積分：0分
文章編號：13788588

0分

樓主

2009-08-03 15:07

感謝 chuchulee & KyoMasahiro 兩位的說明
這兩天借測設備到了之後會再做詳細的測試
如有其他心得再跟各位討論

謝謝大家的解囊相授

d1120

d1120
個人積分：0分
文章編號：13796059

0分

10樓

2009-08-03 20:49

樓上的幾位的建議說的很好
但我不知你另一端的機器有多少(SITE1)
如果多，除非你site2的頻寬夠，要不可能會吃不消的~~
目前我們使用的是俠諾的產品，最近它專攻的是大陸市場
你可以考慮一下，site1用QVM330(大陸)，site2用QVM660(台灣)，http://www.qno.com.tw/index.asp
這樣子應該就可以了，目前我們就是這麼做的，但我們只有特定幾部機器透過660上網，具體設定它網上有
不過如果考慮價錢的話，樓上幾位介紹的品牌是一個很好的選擇~~