Полигон-2

Насколько понимаю задачу:
Дано:
1) промкомп является "пойнтом" для некоей глобальной системы управления и соединяется с ней по радиоканалу.
2) промкомп является шлюзом в инет для 2..8 машин в локалке (чат, хромота-срамота и прочее)
Нужно:
1) отделить локалку и инет от сети управления
2) не дать возможности локалке лезть/видеть "радиопровайдера"

Тогда действительно:
1) на "проводном" адресе ставить шлюз, NAT, DHCP, DNS и прочие службы, по-необходимости.
Через него локалка будет чатиться в инет и обратно. При отвале соединения - "капец инету", все жуют капусту.
2) на "радио" адресе убрать шлюз и все службы, оставить только IP и маску. Прописать статический маршрут. Убедиться, что прога управления ИМЕЕТ собственную настройку на определённый IP или определённую подсеть, так она и только она будет "ходить" по статическому маршруту. Иначе - попрётся в инет на общих основаниях.

Недостатки:
1) так и не понимаю, как подключены радиомодем и эвернет-шланг провайдера: гнездо одно, а "torchка" два...
Если они оба тупо воткнуты в свич - то это форменное безобразие, можно гулять по радиоканалу из инета, минуя промкомп...
2) если отвалится сетевушка промкомпа, отвалятся обе сети разом, "удалённого управления" не получится, придётся бежать ногами и ремонтировать на-месте. Собсна, посему и ставят 2 сетевушки, а ещё - дублируют серваки.

Радиоканал - тоже обычный выход в и-нет, причем, внешний IP всегда разный, и какой мы не знаем изнутри, потому и нужно соединяться со внешним сервером, имеющим конкретный адрес и на нём уже регистрироваться - та же ситуация, что и с dyndns.
Проводной канал отключается несколько раз в день, и отключается полностью на ночь, потому его не используешь, и да, на нём тоже внешний IP всегда разный.
На обоих гейтах NAT, с пробросом определённых портов снаружи на определённые порты конкретных машин внутри.

Fe-Restorator не читатель, писатель же. Всё разжёвано выше.


Fe-Restorator написал:

[q]

Anonymous, определись уже: промкомп играет роль сервера по радиоканалу или роль клиента для внешнего сервера?

[/q]

Аппарат - часть корабельной автоматики, и откуда мы соединились заранее неизвестно - потому стучимся в известное место, на сервер, где регаемся, оттуда клиент берёт наши текущие параметры канала и соединяется с нами.


Fe-Restorator написал:

[q]

Anonymous, модем радиоканала подключён напрямую к промкомпу или через некий свич, одновременно с проводом провайдера?

[/q]

Модем обслуживает несколько систем, виден в той же сети.

Anonymous, отлично, почти всё уже понятно!
Давайте уже распишем всё подробно:
1) у вас постоянный локальный адрес 192.168.1.20 и постоянный адрес шлюза 192.168.1.1 (про второй канал пока забываем, он нам не интересен, вообще). Этот шлюз подключен по радиоканалу, и его внешний адрес динамический.
2) некая софтина через этот канал обращается к постоянному адресу (или имени? хотя тоже непринципиально) сервера x.x.x.x
3) сей сервер имеет некую таблицу соответствия между вашим текущим динамическим внешним IP и постоянным именем, по которому к нему обращаются клиенты, так?
Если всё это верно, всё что вам нужно сделать:
1) убрать из настроек интерфейса с адресом 192.168.1.20 шлюз и DNS-сервера
2) прописать статический маршрут на ваш сервер
route add x.x.x.x mask 255.255.255.255 192.168.1.1 -p
повторить для всех IP адресов этого сервера
(3) прописать в файле c:\windows\system32\drivers\etc\hosts соответствие DNS-имени вашего сервера его IP адресам, если оно вообще нужно).
4) у вас 2 независимых канала. Один из которых используется только теми, кому нужно обращаться к серверу x.x.x.x
-----------------------------
Fe-Restorator
а вы, извините, бредите.

[q]

Убедиться, что прога управления ИМЕЕТ собственную настройку на определённый IP или определённую подсеть, так она и только она будет "ходить" по статическому маршруту. Иначе - попрётся в инет на общих основаниях.

[/q]

Глупость. По какому маршруту пойдут данными определяется операционной системой и зависит оно только от того к какому конечному IP идёт обращение. Если для данного адреса есть явно заданный маршрут - будет использоваться он. Если нет - пойдёт на шлюз по умолчанию (что в виндах криво перевели как основной шлюз). Есть ещё один параметр - метрика интерфейса. При выборе нескольких вариантов предпочтителен тот, у кого она ниже (т.е. это приоритет). Но если она явно не изменялась, метрика статического маршрута всегда самая низкая.

[q]

так и не понимаю, как подключены радиомодем и эвернет-шланг провайдера: гнездо одно, а "torchка" два...

[/q]

Элементарно - vlan'ы поднял. Иначе бы разные основные шлюзы и DNS он на одной сетевухе не прописал бы.

[q]

Если они оба тупо воткнуты в свич - то это форменное безобразие, можно гулять по радиоканалу из инета, минуя промкомп...

[/q]

Это каким образом, интересно?

[q]

2) если отвалится сетевушка промкомпа, отвалятся обе сети разом

[/q]

Если физически отвалится - да. Если отключить из ОС - ничего не будет, для неё это два независимых соединения.

[q]

В сервере VPN поднимае(ю)тся канал(ы) до пойнтов/удалённых серверов (если это возможно) и прописываются статические маршруты через VPN канал(ы).

[/q]

VPN по определению объединяет разные машины в общую локальную сеть. Никакой отдельной настройки каналов/маршрутов в этом случае не требуется, если явно не стоит задачи разнести сервер и клиентов по разным подсетям. Вот только в роли VPN сервера у него скорее всего сторонний сервер и выступает (весьма странно было бы оставлять это всё вообще без шифрования).

[q]

2) Сервер управления потребует себе "прямой" IP адрес, иначе пойнты его не найдут, хоть через впн, хоть без него.

[/q]

VPN-сервер и на динамическом IP вполне себе поднимается. Но да, это гораздо менее удобно.