[問答] 請問關於架設VPN Server 的IP

[jayzhuang (Jay)]

各位大大好，是這樣的~最近公司要導入VPN的技術到系統上，要我先研究其資訊與設備

但我從來沒碰過VPN的東西，

昨天看了書寫下資料~大致上了解一些。

實作狀況：

我自己先再裝一台Windows 10的虛擬機，以此為Client端。

虛擬機的Windoes 10 網路是設定橋接模式，可以上網，顯示的區網設定：
虛擬機IP為192.168.1.157

https://imgur.com/p0vBJ9e

實體主機，在公司環境，公司給我一組區網IP為：192.168.1.112。


預想環境為：
遠端存取VPN：也可以稱作主機對網路(Host-to-Net)
(就是假設外地出差，需要連回公司的電腦，就是透過VPN伺服器連到公司內部。)


先架設好 VPN Server

設定如下：

https://imgur.com/a/3kvGMV9

建立好的使用者

https://imgur.com/wRvlLT9

VPN Server 的IP範圍
https://imgur.com/dr6uFdf

Client端的VPN連線設定
https://imgur.com/GRRcROP
https://imgur.com/TysibBA
https://imgur.com/VslHp07

之後連線狀況是可行的
https://imgur.com/CStGdw4
https://imgur.com/c5ifvWA
https://imgur.com/PWUTe7t


但我想到VPN Server的IP設定條件是應該是能公開且對外。
我好奇去查了我的真實IP：
https://imgur.com/KX7sW8p

然後我以此IP來重新設定我Client端的VPN連線IP卻沒有辦法連上去。

主機(VPN Server)的IP用DHCP自動分配(192.168.1.138)或是
區網固定IP：192.168.1.112 ，Client端都可以連上線，

為什麼用這個IP不行?  是因為我這IP並沒有對外?

或是我本身並沒有固定實體對外IP的關係?

有人能為我解答嗎?

--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 114.40.25.106
※ 文章網址: https://www.ptt.cc/bbs/Network/M.1526526957.A.6BE.html
推 Wishmaster: 外面的網路設備e.g防火牆要有一個外對內mapping你的
→ Wishmaster: VPN主機,你client拿到後,內網就是往VPN走
→ Wishmaster: 外網會有兩種,full or split tunnel
→ Wishmaster: 如果是full tunnel的話,理論上應該就是你們用戶端上
→ Wishmaster: 網的IP,除非又有另外設定,但那也是FW的問題
→ fonzae: 幹麼不從路由器設定VPN?
→ fonzae: 你給的都是內網IP,這代表真實IP沒有的情況下
→ fonzae: 要如何透過真實IP去跟你要VPN SVR的連結通道
→ fonzae: 而且這也會關係到路由問題,若是在同一網段也許沒有
→ fonzae: 建議公司若是有VPN,請直接從網通設備下手
Wish大大，您的意思是本身都是再同一個區段一定連上的關係?
我剛剛在測試把兩邊防火牆都關閉，然後以114.40.25.XXX(我主機的真實IP)
去連線~還是連不上....
是這種方是不對~還是不要用虛擬機與主機搭配~要用路由器與主機搭配測試比較準?

M大大~我也希望~不過公司還沒有路由器給我><  我自己買的AP沒有支援VPN功能
(後悔買便宜的....)
所以您是建議最好還是直接拿路由器當VPN Server會比較好?
不要再用一般電腦當VPN Server?
(我是自己要釐清觀念~才想說做實驗~無奈配備不夠好><)

※ 編輯: jayzhuang (114.40.25.106), 05/17/2018 14:09:03
→ a73126: 你現在的問題不是VPN Server觀念，而是你的實體主機在NAT
→ a73126: 之下，你的連外透過某個Router轉成了你偵測到的public ip
→ a73126: 你需要去那台裝置上把VPN需要使用的Port對應到你被分配到
→ a73126: 192.168.1.112上
→ deadwood: 你的網路觀念要先建立啊.....要有publip IP才能提供外面
→ deadwood: 連入VPN，有兩個比較常見做法:1.用防火牆設定VPN(很多都
→ deadwood: 有這個功能，直接用防火牆的對外IP
→ deadwood: 2.內網用一台VPN server，防火牆上面設定port forarding
→ deadwood: 或是撥一組對外IP做1對1-NAT