안녕하세요
회사 부서 하나만 타건물에서 근무해야해서 터널링?을 해야하는데
메인사무실 내부망 접속때문에 기존에는 vpn구성시 openvpn 이용해서 진행중인데
속도가 좀 잘 안나오는 문제가 있어(기존 WAN/LAN 10G망) wireguard 를 시도해보고 있습니다.(그래도 속도가 좀 빠르다 하여 시도중)
아직 라우터구매를 하지 않아 급한대로 iptime 공유기에 wireguard client 기능 이용해서
메인사무실 라우터(미크로틱) 에 peer 등록하여 접속은 확인했습니다만
pptp나 openvpn같은것은 접속후 공인ip로 맞춰지는데
공유기에 붙은 iptime공유기 클라리언트의 경우는 공인ip주소가 바뀌진 않네요.
아직 개별PC까진 해보진 않고 글쓰는중이긴 합니다만 원래 공유기끼리는 안되는게 맞는걸까요?
미크로틱 같은 고급기종과 달리 iptime에서는 클라리언트 쪽에 목적지 gateway같은 설정하는게 없네요.
목적은 공인ip망과 사설ip망 모두 메인사무실에 맞추려고 합니다.
이대로면 ip 문제 해결하셔도 성능 문제땜에 장비 바꾸고, 그런 경우 현제 해결된 설정으로 동일하게 잘 되란 보장이 없어서 또 삽질해야 할껍니다
클라쪽에서 트래핑을 어떻게 처리하느냐에 따라서 외부망 접속시 뜨는 wan ip가 달라집니다
그리고 클라이언트가 WAN 트래픽 경유해서 사용하면 감당 되겠나요 난리 납니다.
vpn은 대용량 파일(파일당 1GB수준) 처리를 해야하는 경우엔 10G까진 바랄수 없는것일까요?
(아 이해를 위해 첨언하자면.. iptime이 10G 되야한단 얘긴 아닙니다. 그냥 공유기 일반적으로 이용하듯 제속도 나오게 라는 얘기입니다)
고성능 장비와 튜닝을 통하면 https://restoreprivacy.com/optimizations-in-wireguard-achieve-record-10gbit-sec-throughput/ 보면 wireguard로 10G가 불가하진 않습니다.
그리고 클라이언트가 공인IP를 붙는다는건 애초에 NAT없이 바로 WAN에 붙었던건가요? 그럼 VPN을 사용하는 의미가 있는지요?
쓰고보니 사설뿐 아니라 공인IP도 vpn을 통해 대역을 맞추신다는 거였네요..
그럼 L2를 사용해야 하는데 wireguard는 L3라서 못하고 openvpn tap모드나 l2tp등 사용할 수 있는VPN에 한계가 있습니다.
A.라우터(wireguard서버) < - > B.iptime 공유기(wireguard client)
(이걸 site to site 라고 부르나요?)
위처럼 구축을 하면 공유기가 라우터의 IP를 받아올줄 기대했었습니다.
위성사무실은 라우터 같은걸 두기가 좀 애매하고 그래서 iptime 같은 저가형을 둘수밖에 없는 환경 이긴한데
A라우터 에서는 NAT 으로 사설IP를 각디바이스(PC,서버 등등) 뿌려주고 있었고
B.공유기가 VPN에 붙으면 .. 디바이스들은 기존 VPN에서는 사설IP할당 되어도 실제 IP는 WAN으로 보였기에 당연 그러리라 생각했습니다.
공유기가 붙었을때는 좀 다른것 같아서
괜히 잘못만졌다가 망죽어서 업무 마비될까봐 더 건드리진 못하고 질의드려봤습니다. ㅎㅎ
B공유기가 A라우터의 사설 IP를 받는건 맞습니다.
아래와 같이 IP는 할당될 겁니다.
A라우터(wg 10.0.0.1/24) ---- B공유기(wg 10.0.0.2, lan 192.168.0.1/24) --- PC(192.168.0.100)
iptime이 nat없이 포워딩 기능이 있을련진 모르겠는데.. nat만 된다면 SMB연결은 B에서 A로만 되고 역으로는 안됩니다.
구리고 아래 moonl님 말씀처럼 굳이 공인IP를 바꿀 필요가 없다면 기본적인 통신은 기존 공인IP를 통하고, 사설망만 라우팅 테이블을 수정해서 vpn을 타게 하는게 효율적입니다.
플랫폼들이 IP체크하는게 있어서 그걸 다 등록해주지 않는이상 전부다 트래픽을 거치는게 현재로써는 필요한 상황입니다.
그런데 굳이 그래야 하나요??
사설망 ip만 wireguard 타면 될텐데, 굳이 웹사이트 접속같은 일반적인 트래픽도 메인 사무실 거치면 응답 속도만 늦어집니다.
구성의 목적이 명확하지 않아 뭐라 말씀드리기 애매하네요.
제외IP를 적어줘야한다던데 이걸 다 적어주려면 양이 엄청 많아서.. 이게 맞는지..
정확히는 사무실 SMB 사용이 주목적입니다~
제외 ip는 굳이 안적어도 되는 거로 알고 있는데요..
허용 ip는 vpn 타는 도착지ip(목적지) 입니다.
smb가 목적이면 메인 사무실 ip 대역만 허용 ip로 해도 될거 같은데요..