L2TP VPN между сетями на базе Windows Server 2016 и PSK.

 Имеется сеть из семи узлов. По три узла в каждой сети и маршрутизатора между ними. Примерная схема изображена ниже. На всех хостах установлен Windows Server 2016. Для VPN будет использоваться по одному хосту с одним сетевым интерфейсом. Данная схема имитирует ситуацию, когда нет возможности настроить VPN на шлюзе.

 

 Настройка NAT и проброс портов в RRAS. Для работы L2TP VPN необходимо пробросить три UDP порта: 1701, 500, 4500. Для каждого порта так же должно быть разрешающее правило на фаейрволе. Для IKE (500, 4500) правила создаются вручную.

PS C:\> Get-NetFirewallRule -DisplayName "IKE NAT","*L2TP*" | Get-NetFirewallPortFilter | ft

Protocol LocalPort RemotePort IcmpType DynamicTarget
-------- --------- ---------- -------- -------------
UDP 1701 Any Any Any
UDP {500, 4500} Any Any Any
UDP Any 1701 Any Any

 Также не забываем правку реестра:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PolicyAgent]
"AssumeUDPEncapsulationContextOnSendRule"=dword:00000002

 Настраиваем RAS на работу с соединениями по вызову.

 Даная сеть будет использовать общий ключ PSK (может позже напишу про сетификаты, но в принципе, оно не отличается от уже имеющейся статьи).

 Создаём соединение по требованию (на каждом VPN сервере). Я даю название на основании того, куда сервер будет подключаться. В данном случае сервер RAS1 будет подключаться к серверу RAS2 (192.168.100.254):

 Далее задаётся удалённая локальная сеть, а также сеть, которая будет использоваться для создания туннеля. При отсутствии DHCP это - 169.254.0.0/16.

 Задаём учётные данные для входящего (будет создана локальная учётная запись) и исходящего подключения:

 Вот тут я добавил сеть, использующуюся для постороения туннеля. Если в филиалах есть и другие сети, к которым необходим доступ, то все эти сети должны быть перечислены в "статические маршруты":

 В свойствах подключения вводим PSK:

 Готово. Данное подключение будет включаться при обращении в удалённую сеть. Можно настроить, чтобы подколючение было постоянным.

19.10.2017