Сквозная маршрутизация
Настроены маршруты между подсетями площадок. Устройства офисов и удалённое рабочее место доступны друг другу по IP через VPN.
Связность на уровне IP · без объединения всех площадок в один L2-сегментКЕЙС / СЕТИ И IT-СИСТЕМЫ
Разные адреса.
Одна сеть.
Головной офис, два филиала
и главный бухгалтер на удалёнке.
Объединили площадки компании VPN-туннелями на базе WireGuard. Настроили сквозную маршрутизацию, контроль доступности узлов и автоматический переход филиалов на резервный VPN.
ЕДИНАЯ СЕТЬ КОМПАНИИСхема решения
Головной офисЦентральный узел · MikroTik
01Филиал 01Локальная сетьWireGuardL2TP/IPsec · резерв
02Филиал 02Локальная сетьWireGuardL2TP/IPsec · резерв
03Главный бухгалтерУдалённое рабочее местоWireGuardДоступ к ресурсам компании
Сквозная IP-маршрутизация
Офисы и удалённый сотрудник — в общей сети
Основной VPNРезерв для филиалов
3офиса в общей сети
1удалённое рабочее место
2VPN-протокола для офисов
Автопереключение на резерв
ЗАДАЧА
Связать офисы.
Сохранить доступ к работе.
Площадки компании находятся в разных местах, но должны работать с общей IT-инфраструктурой. Устройствам головного офиса и двух филиалов нужна взаимная IP-доступность, а главному бухгалтеру — удалённое подключение к корпоративной сети.
Для межофисной связи требовался резерв: при недоступности основного VPN маршрутизаторы должны самостоятельно выбирать другой туннель.
АРХИТЕКТУРА РЕШЕНИЯ
Площадки работают вместе
Связность между подсетями,
а не отдельные подключения к каждому устройству.
Бухгалтер — в контуре компании
Для главного бухгалтера организовано удалённое рабочее место с VPN-доступом к корпоративной сети. Подключение не привязано к физическому присутствию в офисе.
Работа с ресурсами компании через защищённый туннельОсновной VPN
WireGuard передаёт IP-трафик через зашифрованные туннели и аутентифицирует узлы по криптографическим ключам.
Маршрутизация и контроль
На маршрутизаторах настроены контроль удалённых узлов и автоматическое переключение межофисного трафика на резервный путь.
L2TP/IPsec
Резервный VPN
Дополнительные L2TP-туннели защищены IPsec и используются как резерв для связи между офисами.
ОТКАЗОУСТОЙЧИВОСТЬ
Основной туннель недоступен?
Маршрут меняется автоматически.
WireGuard · основной→Проверка удалённого узла→L2TP/IPsec · резерв
Основной маршрут
Между офисами работают туннели WireGuard. По ним передаётся трафик корпоративных подсетей.
Контроль доступности
Маршрутизаторы проверяют доступность удалённых узлов, чтобы отслеживать работоспособность пути до другой площадки.
Переход на резерв
Если основной путь недоступен, маршрутизация автоматически переключается на резервный туннель L2TP/IPsec.
Резервный протокол помогает при недоступности основного VPN. Если оба туннеля используют один интернет-канал, его полный отказ потребует отдельного резервного подключения. Существующим сеансам после смены пути может потребоваться переподключение.
ЗАЩИТА СОЕДИНЕНИЙ
Шифрование — основа.
Доступ — по правилам.
Возможности протоколов
и рекомендации по эксплуатации сети.
Шифрование трафика
WireGuard шифрует и проверяет подлинность пакетов. В резервном соединении защиту обеспечивает IPsec: сам по себе L2TP шифрования не предоставляет.
Аутентификация ключами
Узлы WireGuard распознают друг друга по открытым ключам. Закрытые ключи остаются на соответствующих устройствах и не должны передаваться другим участникам сети.
Разграничение доступа
Общая маршрутизация не требует открывать все сервисы всем. Рекомендуем разрешать межсетевым экраном только нужные направления и порты, отдельно определяя доступ удалённого сотрудника.
Контроль подключений
Рекомендуем отзывать ключи выведенных из эксплуатации устройств, обновлять RouterOS и ограничивать управление маршрутизаторами доверенными адресами.
О протоколах: WireGuard · WireGuard в RouterOS · L2TP/IPsec в RouterOS
РЕЗУЛЬТАТ
Одна инфраструктура.
Больше свободы для работы.
- Головной офис и два филиала объединены VPN-туннелями.
- Главный бухгалтер подключается к сети удалённо.
- Устройства площадок доступны друг другу по IP.
- При недоступности основного пути межофисная связь переключается на резервный туннель.
ОБСУДИМ ВАШУ СЕТЬ