Настройка маршрутизатора на основе Windows Server 2012R2
Настройка маршрутизатора на основе Windows Server 2012R2
В статье показано как настроить ОС Windows Server 2012 R2 в качестве маршрутизатора. Настраиваемый сервер имеет 2 физических сетевых интерфейса. Каждому сетевому интерфейсу будет назначен статический IP адрес из разных подсетей. Для удобства, сетевые интерфейсы можно переименовать.
Сетевая карта 1 (сетевая карта подключена во внутреннюю сеть):
Имя: in
IP: 10.0.100.1
Сетевая карта 2 (сетевая карта во внешней сети):
Имя: out
IP: 172.16.0.1
Цель: организовать маршрутизацию пакетов из локальной сети 10.0.100.1 во внешнюю сеть 172.16.0.1.
Для начала необходимо добавить новую роль «Удаленный доступ» (Remote Access) на сервере, для этого откроем консоль «Диспетчер серверов» (Server Manager):
Выбираем Manage -> «Добавить роли и компоненты»(Add Roles and Features), выбираем галкой роль «Удаленный доступ» (Remote Access):
В составе роли выбираем службу «Маршрутизация» (Routing), по умолчанию должны установиться дополнительные компоненты, соглашаемся, и запускаем ее установку (Install):
После окончания установки роли открываем консоль «Маршрутизация и удаленный доступ»(Routing and Remote Access) (Ctr + R, rrasmgmt.msc), щелкаем по имени сервера (с красной стрелкой) и выбираем «Настроить и включить маршрутизацию и удаленный доступ» (Configure and Enable Routing and Remote Access).
В окне мастера выбираем пункт «Подключение на основе NAT» (Network Address Translation, NAT)
Далее выбираем сетевой интерфейс, подключённый ко внешней сети (или Интернету) (в примере это сетевой интерфейс out с ip 172.16.0.1). Данный сетевой интерфейс будет «публичным интерфейсом» нашего NAT.
Далее будет предложено указать должен ли NAT, обеспечить клиентов внутренней сети службами DHCP\DNS. Обычно, данный функционал во внутренней сети уже присутствует, поэтому выбираем пункт «Установить службы сопоставления имен и адресов позднее».
Завершение мастера сервера маршрутизации и удаленного означает, что базовые настройки маршрутизации на Windows Server 2012 R2 завершены. В данной конфигурации сервер должен выполнять маршрутизацию пакетов между двух подсетей, при этом выполнять трансляцию сетевых адресов (NAT).
Чтобы убедиться что функционал работает:
- В консоли «RRAS» откройте свойства сервера, вкладку «Общие» (General) и убедитесь, что IPv4 маршрутизация включена и счетчики входящих и выходящих байтов увеличиваются.
- Проверить работу маршрутизации можно, указав на клиентском ПК во внутренней сети (к которой подключен сетевой интерфейс «in») в качестве шлюза IP-адрес сервера (10.0.100.1), и выполнить ping или трассировку маршрута к ресурсу, расположенному во внешней сети или в интернете. Команда ping должна быть успешна.
Windows server роль маршрутизатора
Статья описывает настройку маршрутизатора в операционной системе Windows Server 2012 R2 встроенными средствами — ролью «Удалённый Доступ» (Remote Access). Данная конфигурация будет использована в других статьях для предоставления интернета виртуальным машинам. Исходная конфигурация сетевых интерфейсов: один внешний WAN и два внутренних LAN-1 и LAN-2.
Установка ролей начинается в Server Manager.
Выбираем роль Remote Access и все предложенные компонеты по умолчанию.
Установку ролей и компонентов можно проводить и через PowerShell указав файл кофигурации. В нём обходимо заменить имя сервера RRAS12R2 на имя вашего сервера.
После установки в Server Manager в задачах выбираем настройку Remote Access. Выбираем Deploy VPN only.
В открывшейся оснастке Routing and Remote Access настраиваем службу RRAS.
Выбираем конфигурацию «на заказ» (не люблю слово «кастомизация»), далее NAT для предоставления интернета внутренним интерфейсам и LAN routing для маршрутизации между интерфейсами.
Определяем публичный NAT-интерфейс и частные интерфейсы.
На этом настройка маршрутизатора на операционной системе Windows Server 2012 R2 завершена.
Использование сервера Windows в качестве NAT роутера
Недавно мне потребовалось установить тестовую сеть в своем офисе, которая использует DSL роутер для подключения к интернету. Тестовую сеть нужно было расположить в подсети, отдельной от моей офисной LAN, но при этом нужно было обеспечить подключение к интернету. Я решил установить Windows Server 2008 на отдельном модуле с двумя сетевыми картами (NIC), установить Routing и Remote Access Service (RRAS) на этом модуле, и использовать его в качестве роутера между своим рабочим местом и тестовой сетью (Рисунок 1).
Открыть в полный размер’ href=»http://www.oszone.net/user_img/100117105519/0.jpg» target=_blank $included=»null»>
Рисунок 1: Использование RRAS в качестве роутера для подключения между двумя подсетями
У меня было два варианта настройки. Во-первых, я мог настроить RRAS модуль в качестве IP роутера для пересылки трафика между двумя подсетями. Это бы позволило клиентам тестовой сети отправлять пакеты на серверы в интернете, но это не обеспечило бы возвращения трафика к клиентам. Причина заключается в том, что пакеты, входящие на DSL роутер из интернета, направлялись бы в сеть 172.16.11.0, а, следовательно, не имели бы возможности достигать клиентов в сети 10.0.0.0. Решением этой проблемы могло стать добавление статического маршрута в DSL роутер, который напрямую направлял бы все пакеты с целевым адресом 10.0.0.x на рабочий интерфейс модуля RRAS (172.16.11.220). В этом случае, когда пакет, предназначенный для 10.0.0.x, достигает этого интерфейса, модуль RRAS пересылает его на свой другой интерфейс (10.0.0.1), а оттуда пакет уже входит в тестовую сеть и, в конечном счете, доходит до клиента. К сожалению, у меня не было доступа с правами администратора к DSL роутеру, поскольку он управляется моим поставщиком интернет услуг (ISP), поэтому я выбрал другой подход.
Я решил настроить RRAS модуль в качестве роутера с трансляцией сетевых адресов (Network Address Translation — NAT). NAT является IETF стандартом, обеспечивающим способ трансляции IPv4 адресов компьютеров в одной сети в IPv4 адреса компьютеров в другой сети. Конечно, DLS роутер в моей рабочей сети тоже настроен в качестве NAT роутера, поэтому в результате настройки выбранной мной конфигурации получилось то, что известно под термином каскадная NAT или двойная NAT. Интернет подключение работает отлично через 2-ух или 3-ех каскадную NAT, хотя в некоторых случаях такая топология может вызывать проблемы. Например, Windows Home Server не очень ладит с каскадными NAT.
Так или иначе, после просмотра информации в интернете я обнаружил, что есть большая путаница в том, как устанавливать сеть с двумя подсетями и подключением к интернету, как показано на рисунке 1, поэтому я решил написать данную статью, которая является руководством к процессу установки такого типа сценария.
Установка серверного компьютера
Сначала Windows Server 2008 был установлена на машину с двумя сетевыми картами, а IPv4 параметры этих карт были настроены следующим образом:
NIC подключенная к тестовой LAN:
- IP адрес = 10.0.0.1
- Маска подсети = 255.0.0.0
- Основной шлюз = нет
- DNS серверы = нет
NIC подключенная к рабочей LAN:
- IP адрес = 172.16.11.220
- Маска подсети = 255.255.255.0
- Основной шлюз = 172.16.11.1
- DNS серверы = публичные IP адреса DNS серверов моего интернет-провайдера
Обратите внимание, что NIC, подключенная к тестовой LAN (10.0.0.0) не должна иметь основного шлюза ‘ смотрите KB 157025 здесь объяснение того, почему компьютеры, подключенные к нескольким сетям, должны иметь только один адрес шлюза.
Также обратите внимание, что на сетевой карте, подключенной к тестовой LAN, были настроены IP адреса публичных DNS серверов. Это нужно не для того, чтобы клиенты в тестовой сети имели доступ к интернету, это нужно, если вы хотите иметь доступ к интернету с самого сервера RRAS.
Установка клиентских компьютеров в тестовой LAN
Далее Windows 7 была установлена на клиентские машины, а их IPv4 параметры были настроены следующим образом:
- IP адрес = 10.0.0.101 (.102, .103, ‘)
- Маска подсети = 255.0.0.0
- Основной шлюз = 10.0.0.1 (ближайший интерфейс сервера RRAS)
- DNS серверы = публичные IP адреса DNS серверов моего интернет-провайдера
На данном этапе все «провода» присоединены, но если мы попытаемся опросить (ping) DSL роутер с клиентского компьютера в тестовой сети, или попытаемся выполнить трассировку маршрута для публичного адреса в интернете с этой клиентской машины, все попытки будут безуспешными, что указывает на отсутствие подключения к интернету нашей тестовой сети (рисунок 2):
Рисунок 2: Невозможно выполнить команду ping публичного адреса IP с клиентской машины в тестовой сети
И естественно, если мы попытаемся открыть какую-нибудь веб страницу с этой машины, у нас ничего не выйдет (рисунок 3):
Рисунок 3: Невозможно открыть Web страницу
Установка и настройка RRAS
Чтобы обеспечить клиентским машинам в тестовой сети доступ к интернету, нам нужно установить роль RRAS на сервере и затем настроить сервер в качестве NAT роутера. Для установки RRAS роли запускаем мастера добавления новых ролей из диспетчера сервера или в OOBE.exe и добавляем роль Network Policy and Access Services (рисунок 4):
Рисунок 4: Установка RRAS — шаг 1
На следующей странице мастера выбираем Службы маршрутизации и удаленного доступа (Routing and Remote Access Services) для установки служб роли, Remote Access Service and Routing (рисунок 5):
Рисунок 5: Установка RRAS — шаг 2
После завершения работы мастера открываем консоль маршрутизации и удаленного доступа в меню администрирования (Administrative Tools), нажимаем правой клавишей на локальном сервере и выбираем опции «Настроить и включить маршрутизацию и удаленный доступ» (Configure and Enable Routing and Remote Access). В результате у нас запустится мастер установки и настройки сервера маршрутизации и удаленного доступа (Routing and Remote Access Server Setup Wizard); выбираем опцию «трансляция сетевых адресов» (Network Address Translation (NAT)) на странице Конфигурация (Configuration) в мастере, как показано на рисунке 6:
Рисунок 6: Настройка RRAS для NAT — шаг 1
Затем на странице NAT Internet Connection выбираем сетевой интерфейс, расположенный в рабочей LAN, который является «публичным интерфейсом» NAT роутера (рисунок 7)
Рисунок 7: Настройка RRAS для NAT — шаг 2
На следующей странице мастер спрашивает нас, должен ли NAT роутер обеспечивать DHCP и DNSслужбы для компьютеров в тестовой сети, которая подключена к «частному интерфейсу» («private interface») NAT роутера. Поскольку нашим клиентским машинам назначены статические IP адреса, мы не нуждаемся в этих службах (рисунок 8):
Рисунок 8: Настройка RRAS для NAT — шаг 3
После завершения работы мастера служба RRAS запустится и будет настроена для маршрутизации IPv4 и для NAT. Чтобы убедиться в этом, нажмите правой клавишей на локальном сервере в консоли RRAS и выберите Свойства (Properties). В закладке Общие (General) показано, что IPv4 маршрутизация включена, что означает, что IPv4 пакеты могут пересылаться с одной NIC на другую (рисунок 9):
Открыть в полный размер’ href=»http://www.oszone.net/user_img/100117105519/9.jpg» target=_blank $included=»null»>
Рисунок 9: Проверка конфигурации RRAS — шаг 1
Выбрав узел NAT в консоли RRAS, мы можем увидеть, что три сетевых интерфейса были созданы, когда NAT была настроена на сервере с помощью мастера Routing and Remote Access Server Setup Wizard. На рисунке 10 показаны свойства сети Local Area Connection, которая в данном сценарии является сетевым подключением к тестовой сети (10.0.0.0). Обратите внимание, что NAT считает эту сеть «частной» сетью, то есть сетью, расположенной «за» NAT роутером:
Рисунок 10: Проверка конфигурации RRAS — шаг 2
На рисунке 11 показаны свойства сети Local Area Connection 2, которая в данном случае является сетевым подключением к рабочей сети (172.16.11.0). Обратите внимание, что NAT считает эту сеть «публичной», то есть сетью, расположенной «перед» (в интернете) NAT роутером:
Рисунок 11: Проверка конфигурации RRAS — шаг 3
Интерфейс внутренней сети также добавлен в конфигурацию NAT в качестве частного интерфейса.
Тестирование NAT
На данном этапе NAT была настроена с IP маршрутизацией, и если я попробую выполнить команду ping для DSL роутера с клиентского компьютера в тестовой сети, или если я попытаюсь выполнить трассировку маршрута с этой же машины к публичному серверу в интернете, эти попытки теперь должны быть успешными (рисунок 12):
Открыть в полный размер’ href=»http://www.oszone.net/user_img/100117105519/12.jpg» target=_blank $included=»null»>
Рисунок 12: Проверка сетевого подключения между тестовой сетью и интернетом
Таким же образом, если я попробую открыть Web с клиентского компьютера в тестовой сети, это должно получиться (рисунок 13):
Открыть в полный размер’ href=»http://www.oszone.net/user_img/100117105519/13.jpg» target=_blank $included=»null»>
Рисунок 13: Компьютеры за NAT могут открывать Web
Я также могу осуществлять мониторинг активности NAT с помощью консоли RRAS. Для этого открываем консоль, выбираем узел NAT и просматриваем сетевую статистику для Local Area Connection 2 («публичный» или интрнет-интерфейс), как показано на рисунке 14:
Открыть в полный размер’ href=»http://www.oszone.net/user_img/100117105519/14.jpg» target=_blank $included=»null»>
Рисунок 14: Просмотр активности NAT
Наконец, правым нажатием на этом интерфейсе и выбором опции Show Mappings вы можете открыть отдельное окно, в котором сможете увидеть подробности о том, что ваш NAT роутер делает (рисунок 15):
Открыть в полный размер’ href=»http://www.oszone.net/user_img/100117105519/15.jpg» target=_blank $included=»null»>
Рисунок 15: Подробная информация об активности NAT
Заключение
Используя возможности NAT и IP маршрутизации роли RRAS сервера Windows Server 2008, вы с легкостью сможете установить отдельную тестовую подсеть в своей сети и убедиться в том, что компьютеры в этой подсети имеют доступ к интернету. В этой статье я предоставил вам пошаговое руководство по этому процессу.
