作者BIAO (超越自己)
看板Network
標題[問答] SoftEther VPN LAN to LAN Bridge失敗..
時間Fri Jun 9 17:37:59 2017
各位板友大家好，
小弟近日想用SoftEther VPN建置LAN to LAN的VPN網路，
參考官網相關教學文:
https://www.softether.org/4-docs/2-howto
/1.VPN_for_On-premise/3.LAN_to_LAN_Bridge_VPN
環境架構:
有兩台router分別透過同台中華電信小烏龜撥接，
獲取不同的外網ip，其中A router內的某電腦建立Server，
B router內的某電腦建立Bridge。
目前遇到的狀況是：
VPN Server能夠被外網VPN Client連接，
VPN Bridge顯示能夠連接到VPN Serverhttp://imgur.com/a/dogBU，
但安裝Bridge的電腦IP依舊顯示B router DHCP所分配的IP，
雖然可正常上網，但無法滿足所期望的功能，等於B router的Bridge貌似無效。
想請問板上先進前輩大大們，
是否能指點一二呢? 謝謝大家。
--
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 122.116.193.176
※ 文章網址: https://webptt.com/m.aspx?n=bbs/Network/M.1497001083.A.FD4.html
1F：→ deadwood: 你可以把你的期望效果、設定貼上來，有空再幫忙看看 06/10 00:40
2F：→ deadwood: 不然也可以把官方文件的10.5~10.7讀懂，應該就建得起來 06/10 00:41
Hi deadwood~
首先，非常感謝您的再次協助，
以下將說明您的疑問及我觀看影片後的心得和提問，
再麻煩您撥冗提供建議及討論。
★環境架構:
網際網路-----中華電信7740C-----Site A router-----LAN ClientA(VPN Server)
| |
| |__LAN ClientB
| |....
|
|__中華電信7740C-----Site B router-----LAN ClientA(VPN Bridge)
|
|__LAN ClientB
|....
★期望效果:
依環境架構簡圖，希望讓兩個LAN(Site A及Site B)透過VPN構成虛擬私有網路，
Site A和SiteB下的電腦都只有一張網路卡，
其中Site A和Site B的ClientA分別設定router的DMZ，
以Site A的ClientA做為VPN Server兼DHCP Server
以Site B的ClientA做為VPN Bridge。
★影片心得及想法:
影片中兩個LAN分別是由SoftEther Server及SoftEther Bridge構成，
各有兩張網路卡，一張負責對網際網路通訊，一張負責各自LAN內部聯繫，
由Site A區網下的某個Client負責DHCP功能。
利用Site A及Site B的router令各自的ClientA能夠同時擁有連接外網和
區網的功能，先於Site A ClinetA建立SoftEther Server，
關閉Site A及B router的DHCP功能，手動設定Site A和Site B ClientA網卡的ip位址，
讓Site A和Site B的ClientA都能夠連接網際網路，
於Site B ClientA建立SoftEther Bridge後，
於Site A ClientA設定SofeEther開啟虛擬DHCP(分派IP)，
最後連接Site B至Site A，
因為架構和影片中不太相同(2網卡->1網卡，SoftEther在router內)，
不曉得在思維上這樣的設定是否正確?
有需要於Site A設定虛擬NAT嗎?
★註記:
一開始兩個LAN一個是直接用7740當router，一個是用D-Link，
後來發現用7740的當Server無法被搜尋到虛擬HUB，
而D-Link的當Server就可以，所以全改為用D-Link來建LAN。
接著又發現兩台router中，僅有一台能ping的到對方，
檢查過後有設定Windows輸入的ICMP(router的先前已開啟)，
還是不行後，將其中一台router的SPI功能關閉即ping的到。
以上供您參閱，再麻煩您回覆了，謝謝您。
※ 編輯: BIAO (1.169.199.162), 06/11/2017 06:35:00
※ 編輯: BIAO (1.169.199.162), 06/11/2017 15:41:11
4F：→ deadwood: 請的local bridge有設定嗎?，AB兩邊都要設定 06/11 21:37
5F：→ deadwood: 沒有local bridge就不會L2連通 06/11 21:39
Hi deadwood,
這部份我確定SiteA及SiteB本地橋接都有開啟，
因為網路知識部份過去經驗較少，
我不太確定是不是router還要設定什麼或是有所遺漏。
稍晚我會進行一次實作驗證，雖然我昨夜做過了，
但尚未有系統性的整理所得資訊。
記得我是將...SiteB的router DHCP關閉，
SiteB ClientA的VPN Bridge的網卡手動指定和SiteB router相同區段
(不然不能連到WAN，也就不能建立VPN連線)，
不過這樣子的話，SiteB ClientA網卡的IP不就被限定住了，
沒辦法變成由SiteA router指派?? 謝謝您。
※ 編輯: BIAO (1.169.199.162), 06/11/2017 22:15:32
方才進行試驗後，確認已成功，我用自己的手機連接SiteB router的wifi，
還有用自己的平板連接SiteA router的wifi，
得到的IP皆是SiteA 虛擬DHCP所分派的IP，彼此也ping的到對方了。
不過是不是意謂著SiteA及SiteB的ClientA就不是在vpn內了，
因為我虛擬DHCP列表中查不到這兩台建置電腦的連線資訊，
而且也ping不到虛擬DHCP分派ip的其餘對象。
非常謝謝您的協助^^
※ 編輯: BIAO (61.230.141.230), 06/11/2017 23:17:45
6F：→ deadwood: 兩台建立vpn的裝置必須要有能連到wan 建立vpn用的ip 06/11 23:43
7F：→ deadwood: 兩台機器連vpn都沒建立是要怎麼讓SOFTETHER發IP過去? 06/11 23:44
8F：→ deadwood: 真的想要達到理想狀態就去用兩張網卡吧，單張無解 06/11 23:46
9F：→ deadwood: 另外我猜你DHCP發的IP跟你原本site A或B的內往IP都不同 06/11 23:55
10F：→ deadwood: 網段所以會不通，你的架構想要通，就必須把server跟 06/11 23:57
11F：→ deadwood: bridge 兩台設定裡的securenat-->virtual hostIP改成同 06/11 23:59
12F：→ deadwood: 網段，而這個網段又要跟DHCP發放的IP同網段 06/11 23:59
原來是這樣子，謝謝您的說明及建議，
如果有非常多台的Bridge，
變成要額外記錄目前有哪些Bridge、哪些IP手動設置用掉了，
還得注意虛擬DHCP的派送IP設定值，似乎在應用上較不彈性。
日後也許會參考您說的兩張網卡方式，謝謝您^^
※ 編輯: BIAO (61.230.136.25), 06/12/2017 00:52:11