Чтобы преодолеть эти ограничения, мы настраиваем оба VPN-шлюза за NAT с регистрацией на сервере VPN Matcher. Сервер VPN Matcher способен обмениваться информацией о соединении, такой как IP-адреса и номера портов для VPN-шлюзов.
После того как VPN-шлюзы получат информацию о соединении с сервером, между ними может быть запущен VPN-туннель.
Изображение, показанное ниже, является топологией для этого случая.
Ниже перечислены шаги по созданию VPN-туннеля между двумя маршрутизаторами Vigor, чьи WAN-интерфейсы находятся за NAT.
Шаг 1. оба маршрутизатора должны быть зарегистрированы на сервере VPN Matcher
Шаг 2 сервер VPN Matcher помогает обмениваться внешними IP-адресами и номерами портов с обоими VPN-шлюзами.
Шаг 3, RouterA выполняет исходящее соединение с RouterB, чтобы открыть порт для RouterA для обратного подключения. В то же время RouterA получает информацию о соединении RouterB с сервером и начинает устанавливать VPN для RouterB. После этого можно будет установить VPN.
Обратите внимание, что VPN Matcher получает только информацию об IP-адресах и портах, он не будет записывать/получать доступ к VPN-трафику.
Ниже приведены шаги настройки приложения VPN matcher, эта функция доступна начиная с версии прошивки v3.9.2.
VPN Matcher:
1. Перейдите к https://vpn-matcher.draytek.com, и создать учетную запись.
2. Войдите в VPN Matcher Server и добавьте свои маршрутизаторы Vigor, включая MAC-адрес локальной сети, модели маршрутизаторов, роль VPN и локальную сеть для VPN-туннеля.
3. Скопируйте список ключей маршрутизатора.
Маршрутизатор Vigor в качестве VPN-сервера:
1. Перейдите в раздел VPN и удаленный доступ> > настройка VPN Matcher и введите адрес сервера VPN matcher, порт 31503, учетную запись и спискок ключей маршрутизаторов.
2. Нажмите кнопку Получить список, затем мы можем найти устройства, добавленные на сервере VPN matcher, выбрать устройство для установки VPN, нажать кнопку создать профиль.
3. Настроить VPN профиль маршрутизатора как VPN-сервера.
- Выберите индекс профиля в VPN и удаленном доступе>LAN to LAN
- Задайте имя профиля
- Установите направление как Dial-in
- Тип VPN по умолчанию-IPsec, его можно изменить вручную после настройки профиля VPN
- Введите предварительный ключ IPSec
- Введите Peer ID для идентификации IPsec
Маршрутизатор Vigor в качестве VPN-клиента:
Настроите маршрутизатор как VPN-клиент, аналогично VPN-серверу, но измените направление подключения на Dial-out.
После завершения настройки мы можем проверить состояние VPN в разделе VPN and Remote Access>Connection Management.
Примечание: в случае, если требуется чтобы тип NAT должен быть конусного типа, такие как полный конусный NAT(один-к-одному), адрес-ограниченный конусный NAT или Port-ограниченный конусный NAT. Симметричный NAT не поддерживается, Vigor Router также предоставляет функцию обнаружения в настройке VPN Matcher.
