Creare Una Rete Privata Tra Due Adsl Separate.

[Giuseppe Signorella]

Buongiorno,
Avrei la necessità di creare un'unica rete privata tra diversi PC e stampanti ubicati in due locali distanti tra di loro.
In entrambi i locali è presente una ADSL distinta e separata, ma entrambe dello stesso gestore.
Ho fatto presente del problema al gestore delle linee ADSL e mi ha dato due indirizzi IP privati così composti.:

ufficio (a)
192.168.10.11
255.255.255.0

ruotato tutte le porte indirizzo locale: 192.168.1.100

ufficio ( b )
192.168.10.10
255.255.255.0
ruotato tutte le porte indirizzo locale: 192.168.1.100

in parole povere quando faccio un ping da ufficio a 192.168.10.11 -> mi
risponde il locale 192.168.1.100 di ufficio b
mentre quando faccio il ping da ufficio b 192.168.10.10 -> mi risponde il
locale 192.168.1.100 di ufficio a

Ora la mia domanda è: cosa devo fare per mettere in rete i due uffici?
Ho bisogno di installare un router e fare il routing, oppure creare una VPN?

Faccio presente che attualmente entrambi gli uffici navigano su internet con il Gateway 192.168.1.1

Spero di essere stato sufficientemente chiaro.
Grazie per l'eventuale aiuto.

Modificato: 26 ottobre 2014 da Giuseppe Signorella

[radiation74]

MMmmmm... non perdonami, ma non ho ben chiaro la situazione attuale; i due uffici sono su reti distinte giusto? mentre gli IP forniti dal gestore dove li hai messi?

Non è che il gestore ti ha già creato lui un tunnel tra le due sedi?

Tecnicamente la soluzione più consona quando si devono unire due postazioni distanti è quella di creare una VPN tra le due e poi instradare il traffico secondo rotte definite.

In questo caso entrambi i router devono gestire la VPN (uno deve fare da server e uno da client). Io solitamente in queste situazioni uso il firewall PfSense installato su piccole board tipo Alix che con poche decine di euro permettono di mettere in piedi un potente firewall con un sacco di funzioni, tra le quali delle VPN (anche multiple) con monitoraggio tramite e-mail.

[Giuseppe Signorella]

La situazione attuale è la seguente.

Due linee ADSL distinte e separate entrambe dello stesso gestore. Le linee ADSL è fornita mediante wireless con apparati non configurabili dall'utente.

In pratica gli apparati del gestore sono raggiungibili mediante indirizzo IP 192.168.1.1, poi per accederci ci vorrebbero le credenziali che non forniscono.

Dai loro apparati esce un cavo che attualmente va allo switch di rete.

Gli IP forniti dal gestore non li ho (ancora) messi da nessuna parte, me li ha forniti via email e basta.

Però se faccio il ping rispondono come da sua descrizione.

in parole povere quando faccio un ping da ufficio a 192.168.10.11 -> mi
risponde il locale 192.168.1.100 di ufficio b
mentre quando faccio il ping da ufficio b 192.168.10.10 -> mi risponde il
locale 192.168.1.100 di ufficio a

Quindi attualmente ogni loro apparato ha due indirizzi IP separati, il 192.168.1.1 per la navigazione su internet ed il 192.168.1.100 per la rete interna.

Anche perché se provo a fare il ping sul 192.168.1.100 ottengo comunque risposta.

Io avrei pensato ad un tunnel VPN, ma ancora la situazione non mi è chiara. Sono un po confuso perché il loro tecnico invece parlava di routing da fare mediante router.

Modificato: 26 ottobre 2014 da Giuseppe Signorella

[radiation74]

Devi scusarmi ma continuo a non aver chiaro la situazione. Se non hai configurato nulla quel ping che tu fai a 192.168.1.100 da entrambe le sedi ottiene risposta perchè probabilmente è il gateway del provider; Se però il tuo abbiettivo è navigare e vedere in modo trasparente le due sedi direi che l'unica soluzione è realizzare un tunnel VPN;

In realtà questa cosa, dato che usi un provider wireless la potrebbero fare tranquillmanete anche loro tramite dell VLAN che andrebbero impostate.

Giusto per capire meglio la situazione, sul tetto avrai l'antenna CPE mentre in casa non hai nulla? Nessun router del provider? Vero è che l'antenna stessa potrebbe essre configurata come router.

Gli indirizzi che hanno le LAN nelle due sedi sono uguali? che classe hanno? Per caso sai se l'indirzzo che ti danno per la LAN è in bridge?

Anche io mi occupo di forniture di banda tramite sistemi wireless, ma se il cliente richiede l'interconnessione tra due sedi viene gestita in due modi diversi in base alla loro esigenza: unica LAN da entrambe le sedi con stessa classe di indirizzi (che in questo caso gestisco io) oppure due LAN separate che viaggiano su una VLAN dedicata e attraverso tabella di routing possono vedersi.

[Giuseppe Signorella]

Le antenne installate sul tetto delle rispettive sedi sono le Ubiquiti NanoBeam M5. E la cosa che mi manda in bestia, visto che le sedi sono distante poche centinaia di metri, che entrambe le antenne sono puntate sullo stesso nodo (ponte). Poteva il gestore crearmi una unica rete senza problemi.

Le antenne, fungono da router, e come detto, il cavo va direttamente allo switch Ethernet (fatto eccezione dell'alimentatore POE per alimentare l'antenna.

In entrambe le sedi ho la medesima classe di indirizzi IP. Router Ubiquiti NanoBeam M5 192.168.1.1 e a seguire i vari pc e stampanti in rete 192.168.1.xxx.

Sono convinto anche io che il gestore avrebbe potuto risolvermi direttamente lui il problema alla base, ma mi ha riferito che oltre alla fornitura dei due indirizzi IP supplementari non può fare. Poi come utilizzarli e connettere le reti, devo saperlo/farlo io. Sostiene che questa è l'unica soluzione adottabile. Lui gli indirizzi IP aggiuntivi che mi ha fornito li ha chiamati se non erro ALIAS.

Credo che lui abbia già creato una VPN tra i due indirizzi IP che mi ha fornito, ma non ho capito ora come utilizzarli per unire le due reti.

Modificato: 26 ottobre 2014 da Giuseppe Signorella

[radiation74]

Ok, è un po' più chiara la cosa, ma resta ancora un po' offuscata la parte di condivisione delle due reti. Con questo tipo di configurazione non puoi accedere alle due reti in modo "trasparente".....ma solo alle periferiche che imposterai con i duei Alias. Anche ammesso di usare due router (quindi assegnare alle WAN i rispettivi alias) devi poi creare una regola per ogni tipo di applicazione....

Se le due sedi dispongono di IP pubblico, oppure se conosci l'IP assegnato alle due CPE la cosa davvero più "semplice" e pratica è creare una VPN. L'indirizzo WAN da mettere ai router che metterai nelle due sedi è per entrambi 192.168.1.100 mentre le LAN che andrai a creare devono essere in classi divverenti; per esmpio LAN ufficio 1: 192.168.5.0 LAN ufficio 2: 192.168.6.0.

Creando poi la VPN digitando i vari IP sia da una sede che dall'altra puoi liberamente accedere alle periferiche.

In questo caso i router devono supportare la funzione VPN; uno deve fare da client (e questo lo fanno in molti), l'altro deve fare da server VPN (quest'altra funzione non tutti la supportano).

[Giuseppe Signorella]

Assegnare due classi differenti alle due reti non sarebbe un grosso problema, anche se in uno dei due uffici ho giù due classi separate.

In uno dei due uffici ho un altro router vodafone per il sistema VOIP al quale ho già assegnato una classe differente dal resto delle apparecchiature.

Se volessi creare la VPN utilizzando i dati ora in mio possesso avrei pensato ad un qualche cosa del genere.

Ricapitolando l'attuale configurazione è la seguente:

ufficio (a)

Classe degli indirizzi IP della rete interna 192.168.1.xxx
Alias 192.168.10.11
destinazione alias 192.168.1.100

ufficio ( b )

Classe degli indirizzi IP della rete interna 192.168.1.xxx
Alias 192.168.10.10
Destinazione alias 192.168.1.100

Trasformo l'ufficio b nel seguente modo:

ufficio ( b )

Classe degli indirizzi IP della rete interna 192.168.0.xxx

Alias 192.168.9.10
destinazione alias: 192.168.0.100

Installo due router che gestiscono la VPN. (che in realtà già ho)

In (ufficio a) la rete avrà la classe 192.168.1.xxx il router avrà indirizzo ip 192.168.1.100

In (ufficio la rete avrà la classe 192.168.0.xxx il router avrà indirizzo ip 192.168.0.100

Userò nella VPN come IP statico rispettivamente i due Indirizzi degli (alias)

Non so se la cosa possa funzionare, sperando anche di non perdere la connessione ad internet.

[radiation74]

Non esattamente.

Ufficio1:

WAN IP: 192.168.1.100 (infatti se ho ben capito il provider ti ha comunicato che tutte le porte sono girate a questo IP, quindi come se fosse in bridge)

WAN SUBNET: 255.255.255.0

WAN GATEWAY: 192.168.1.1

LAN:192.168.20.254 (Qui occorre dare una classe diversa sia dalla WAN ma tecnicamente anche dalle loro usat).

Ufficio2: (la parte WAN resta identica a quella dell'ufficio 1)

WAN IP: 192.168.1.100

WAN SUBNET: 255.255.255.0

WAN GATEWAY: 192.168.1.1

LAN:192.168.21.254 (l'importante è che sia differente sia dalla WAN ma anche dalla LAN ufficio 1 e anche in questo caso sarebbe opportuno che lo sia anche da quelle usate dal provider).

Fatto ciò occorre attivare una VPN tipo una IPsec dove tra i vari dati occorre specificare i due network locali (in questo caso 192.168.20.0 per un lato e 192.168.21.0 per l'altro), ma anche l'IP remoto: normalmente occorre specificare l'IP pubblico..........nel tuo caso invece dovresti inserire i due Alias.

In realtà tutto dipende da come gestiscono loro la rete....ma non ti assegnano un IP publico?

[Giuseppe Signorella]

No Andrea, non mi hanno assegnato nessun IP pubblico, gli IP sono dinamici. Loro mi hanno detto che per le mie esigenze (connettere le due reti tra loro) non erano necessari indirizzi IP statici.

In ogni caso, se mi riesce domani proverò a configurare i dispositivi e ti aggiorno.

Detto questo, colgo l'occasione vista la tua buona conoscenza in materia, se ti va di fare un piccolo tutorial (giusto un paio di paginette) per la creazione di una rete VPN utilizzando come hardware le board Alix da te menzionate (o comunque un altro tipo di router che tu voglia) da inserire nella sezione didattica del forum e nelle NEWS della home pagina.

Premetto che come unico riconoscimento avrai un Grazie da parte nostra e la forum card gratuita per un anno.....oltre la soddisfazione personale per aver fatto il tutoria.

Ciao e Grazie

Modificato: 26 ottobre 2014 da Giuseppe Signorella

[radiation74]

Questo è vero, tecnicamente non serve IP pubblico ma appunto l'alias o altrimenti l'IP privato che usano le cpe. In realtà credo credo che non hai un IP dinamico ( che comunque sarebbe pubblico anche se non statico) ma usi banalmente un IP nattato di cui usufruiscono tutti gli utenti del provider che non hanno IP pubblico. Solitamente è a pagamento (o almeno io uso così).

Per il tutorial appena ho tempo lo scrivo volentieri. Io uso PfSense che si può installare su PC, su board Alix, su alcune versioni di Watchguard e altri hardware.

[ivano65]

scusa la domanda , ma che senso ha avere due adsl separate in una situazione simile?

fai una rete dei due uffici in modo tradizionale ( anche se un tratto potrebbe essere realizzato in WI FI se non possibile stendere cavi) e accedi a internet da un solo punto.

risparmi soldi e fatica.

[radiation74]

La questione è che poteva essere il provider a stesso a proporre una simile soluzione. Anche io svolgo questo servizio e in questi casi propongo al cliente una sola fornitura di banda, mentre per il resto o la vendita del bridge oppure il noleggio della struttura dove oltre a creare il collegamento delle sedi ne garantisco il monitoraggio e manutenzione; una sorta di canone mensile. Ovviamente la maggior parte dei clienti opta per la seconda.

[ivano65]

visto la vicinanza delle reti la cosa non richiede apparati complessi .

il provider si guarda bene a proporre una soluzione del genere perche' va contro i suoi interessi.

telecom invece realizza e gestisce anche reti complesse , ma il prezzo non penso sia alla portata di cio' che vuole realizzare

[radiation74]

Confermo. È interesse del provider vendere una doppia connessione.

[fradifog]

Ma scusa,hai due reti collegate tramite collegamento hyperlan?

Nel caso con una sola adsl potresti usare un router in modalità bridge..

Modificato: 28 novembre 2014 da fradifog

[radiation74]

Il collegamento dell'utente non è in Hyperlan proprietaria, ma di un provider che ovviamente per lucrare ha stipulato due contratti e due connessioni indipendenti messi in comunicazione solo tramite route. Sarebbe stato sufficiente che gli creasse una vlan dedicata; ( alcune volte ho risolto così per alcuni miei clienti).