Настройка основных параметров

Соединение хост - сеть (Удаленный доступ, End-to-Site) 
В случаях, когда удаленному сотруднику требуется полный доступ к сети 
предприятия используют несколько иную схему. В этом случае VPN-сервер 
должен являться маршрутизатором, а адресное пространство клиента и локальной 
сети не должно пересекаться. Именно поэтому мы категорически не рекомендуем 
использовать в локальных сетях подсети 192.168.0.0 и 192.168.1.0, которые 
широко используются в сетевом оборудовании уровня SOHO (для дома и малого 
офиса), так как в этом случае вы с очень большой долей вероятности столкнетесь 
с пересечением адресного пространства. 
Для 
того, чтобы удаленный компьютер имел доступ к локальной сети нам потребуется 
использовать маршрутизацию. Для этого на клиенте потребуется создать 
маршрут, который укажет, что все пакеты для сети 192.168.51.0 следует 
направлять через туннель на адрес VPN-сервера 10.10.0.1. Никаких обратных 
маршрутов со стороны локальной сети указывать не нужно. 
Как и в предыдущем сценарии следует понимать, что подобное соединение дает 
доступ внутрь периметра и требует доверия к удаленному пользователю. В ряде 
случаев, когда уровень доверия низок, имеет смысл изолировать удаленных 
пользователей в DMZ-зоне и контролируя с помощью брандмауэра их доступ к 
остальной части сети. 

---

Еще один сценарий использования подобного соединения - административный, 
используемый системным администратором для доступа к собственной сети из 
любой точки земного шара. 
Соединение сеть-сеть (Site-to-Site) 
Наиболее популярная в корпоративной среде схема, позволяющая соединить сети 
офисов между собой. В этом случае туннель обычно поднимается между 
маршрутизаторами сетей, хотя это не обязательно, но при расположении VPN-
сервера и клиента на отдельных узлах сети потребуется дополнительная 
маршрутизация. 
В 
нашем примере узлы VPN-сети совпадают с основными шлюзами и на каждом их 
них потребуется добавить дополнительный маршрут, который будет направлять 
пакеты к удаленной сети на другую сторону туннеля. 
При наличии нескольких филиалов схема немного усложнится. Так как VPN - это 
всегда соединения точка-точка, то следует понимать, что даже если различные 
узлы VPN-сети находятся в едином адресном пространстве обмен трафиком 
возможен только между двумя концами туннеля. Все прочие взаимодействия 
решаются исключительно с помощью маршрутизации. 

---

Как 
видно из следующей схемы, два филиала с сетями 192.168.41.0/24 и 
192.168.31.0/24 могут общаться между собой исключительно через сервер 
центрального офиса. Все пакеты для иных сетей филиалы направляют на VPN-
адрес офиса - 10.10.0.1, потому как если указать для 41-й сети путь к 31-й через 
10.10.0.2, то такой маршрут работать не будет. 
Почему? Потому что туннель - это точка-точка, в данном случае у нас есть 
соединения 10.10.0.2-10.10.0.1 и 10.10.0.3-10.10.0.1, но соединения 10.10.0.2 - 
10.10.0.3 нет и быть не может. Понимание данного факта заставляет по-новому 
взглянуть на потоки трафика между удаленными сетями и предполагает 
построение оптимальной топологии с учетом этого факта. 
Допустим сети 31 и 41 территориально расположены в одном городе и 
предполагают большой объем трафика между ними (скажем филиал и 
производственная площадка). В этом случае нет никакой необходимости гонять 
трафик через центральный офис и более правильно будет настроить два VPN-
канала: между 31-й и 51-й сетями (филиал - офис) и 31-й и 41-й (филиал - 
производство), а благодаря маршрутизации мы можем также без проблем 
настроить соединение офис - производство через филиал.