Сеть между офисами с VLAN'ами на базе оборудования Mikrotik

[Khoss]

А какие варианты есть в случае отсутствия статики на одном из узлов? PPTP?

[p00h]

PPTP не предоставляет транспорт для L2. В случае «клиент-сервер» подойдут L2TP, либо OVPN в режиме L2.

[werthk]

L2VPN должен в принципе помочь, но с ним я не разбирался

Ну и могут помочь скрипты, на базе port knoking думаю вполне можно создавать автоматические соединения от головного офиса в сторону удалённых.
К сожаление я ими не пользуюсь, хватает коробочного функционала

[htol]

L2VPN это услуга оператора связи основанная на MPLS/VPLS. Если у вас нет «темного волокна» или уже готового l2vpn от оператора между офисами, то можете забыть. Сами не сделаете.
Из опыта, если встает необходимость пробросить VLAN между офисами, в большинстве случаев значит что, что-то делается не так. Я бы на вашем месте пересмотрел дизайн сети.
Опять же при увеличении количества филиалов и необходимости иметь full mesh, лучше использовать DMVPN. В противном случае погрязнете в менеджменте соединений. Три офиса это еще ни чего 3(3-1)/2 всего 3 линка. 6(6-1)/2 уже 15, 10(10-1)/2=45…

[werthk]

Извините не правильно написал название технологии, имел ввиду L2TP

[werthk]

Про необходимость VLAN ответил ниже
Полная связность пока не требуется и есть время что бы придумать как это лучше реализовать

[htol]

Была похожая ситуация. Оказалось проще поставить рядом asterisk. Заодно функционала добавилось.

[werthk]

Я уже давно на него кошусь, есть тестовый сервер.
Sip от прова завёл, на софтофонах погонял, а спроса нету((
Начальник требует железного решения

[JDima]

С какой целью растягивается L2 между офисами вместо кошерного роутинга?

[werthk]

А это спасибо Panasonic'у. А вернее их политики лицензирования. Они ограничили раздел настройки sip линий только для своих технарей.

[JDima]

Я так и не понял, зачем единый VLAN на все площадки.

[werthk]

Настройки на sip линии делают технари Panasonic. В частности пароль для sip подключения ставят они, если надо поменять необходимо ждать пока это чудо произойдёт. То есть доступ к АТС получить довольно не проблематично.
Если вы про в VLAN в частности, то:
Полная изоляция трафика
Проще управление (единый пул адресов, нет необходимости маршрутизировать и писать правила для трафика)
Проще диагностика и отладка

[JDima]

Если вы про в VLAN в частности, то:

Может, я чего не понимаю, но по-моему растянутый VLAN как раз намного сложнее роутинга с точек зрения изоляции трафика, управления и диагностики, плюс серьезный риск одной проблемой положить сразу всё. От подобных дизайнов все бегут как от огня.

Ну как хотите.

[werthk]

Я не сетевой дизайнер (архитектор), так бы использовал другой подход, оборудование, бюджет и вообще не использовал такие решения))
Делал для себя, то что позволили мои знания и навыки. Конечно сейчас всё выглядит таким простым (глупым), но пришлось собрать несколько решений которые довольно долго искал, переваривал, додумывал. Пусть и не в таком виде, но может они кому и пригодятся.

PS Спасибо JDima
Я очень признателен за ваши комментарии. Вообще считаю диалог и обсуждение неким двигателем (особенно когда они подкреплены аргументами). Именно это позволяет развиваться. А процесс развития не когда не должен останавливаться

[Biochemist]

очень интересную тему Вы затронули. А скажите, как более оптимально продумать архитектуру, что, с Вашей точки зрения более отказоустойчиво и проще в маршрутизации?

[JDima]

Зависит от топологии. Если две площадки как у автора, то просто GRE туннель, а направлять трафик статикой или любым нормальным IGP. Захочется резервирования, т.е. по два провайдера на площадку — не проблема, поднимается два туннеля, трафик балансируется по ним, в случае отказа он быстро сфейловерится. С L2 инкапсуляциями проблемы возникнут уже на этапе балансировки трафика, что никогда не помешает.

[Biochemist]

Хороша я тема для поста, имхо. В теории звучит очень вкусно и здорово, но, конечно, было бы шикарно увидеть пошаговую реализацию на конкретном железе. На том же Микротике — самом доступном в финансовом смысле.

[werthk]

Да проблема не большая, тунели сделать и потом динамическую маршрутизацию поднять (пока не хотел трогать динамику, но потихоньку посматриваю как она работает). Вот есть интересная методичка, наверное даже ближе к рекламному проспекту)

[JDima]

Ну микротики — это никаким боком не ко мне. Да и нет смысла в написании настолько базовой статьи, ведь материалов на эту тему море. Вам нужно объяснение, как поднять GRE туннель между двумя устройствами и поднять на нем какой-нибудь роутинг?

[Biochemist]

Скажем так, как раз базовые step-by-step мануалы в формате микростатей — не самый плохой вариант для тех, кто вынужден этим заниматься разово (редко). Для специалиста-сетевика, конечно, они не нужны, им, скорее всего, достаточно базовых мануалов и вики. А вот тому, кому иногда по долгу совместительства или случайного стечения обстоятельств (например болезни или командировки коллеги) вынужден заниматься чем-то подобным — например нужно срочно настроить такой туннель — авария, сбой, да мало ли какая производственная нужда — вот в таком случае это крайне полезно и поверьте, очень многие люди скажут Вам за это спасибо. Лично у меня, например, давно уже в закладках статья о настройке трех провайдеров в мироктике и поверьте, я регулярно обращаюсь к ней. Я не вижу ничего плохого в том, чтобы писать базовые мануалы для, пусть и для большинства специалистов несложных, но далеко не очевидных вещах, так как в том же интерфейсе микротика далеко не все интуитивно понятно…

[JDima]

базовые step-by-step мануалы в формате микростатей — не самый плохой вариант для тех, кто вынужден этим заниматься разово (редко).

Религия запрещает мне писать step-by-step мануалы без углубления в дебри того, как оно устроено. В GRE я не вижу никаких интересных и достойных внимания дебрей помимо аппаратных особенностей определенных железок. Неинтересно. И я уверен, что в официальной документации уже есть маны по настройке GRE.

[ZatriX]

А какие именно микротики использовались? Понимаю, что немного не в тему, просто интересно.

[werthk]

rb1200, rb2011, rb750, rb951. А вообще это не принципиально, работает на любом устройстве с routeros))