Ограничение доступа по L2TP/IPsec

[Vladislav Kravchenko]

Друзья, подскажите как правильнее сделать.

Есть 3 кинетика:

У каждого своя локальная сеть. На Кинетике А установлен L2TP/IPSec сервер. На Кинетиках B и C, соответственно L2TP/IPSec клиенты. "Локальная сеть" на уровне VPN-туннеля 192.168.200.0/24, соответственно серверный получается адрес 200.1, клиентские 200.2 и 200.3.

Проброс трафика между сетями осуществляется через маршрутизацию:

На стороне Keenetic A это соответственно что-то типа 192.168.101.0/24 -> 192.168.200.2

А на стороне клиентов немного иначе. 192.168.100.0/24 -> L2TP Interface или 192.168.101.0/24 -> L2TP Interface. При этом дополнительно настроен межсетевой интерфейс с разрешением проброса TCP/UDP/ICMP от всех-всем.

На стороне сервера (Keenetic A) нет интерфейса L2TP для настройки межсетевого экрана. В сети 192.168.100.0/24 клиенты с удаленных узлов VPN подключаются с адреса 192.168.100.1 (т.е. сервера Keenetic A).

Задача ограничить доступ из сети за Keenetic C в сеть Keenetic A и Keenetic B только для определенных IP-адресов. Т.е. если ходят с этих адресов, то все проходит, с других не проходит. 

По идее это задача межсетевого экрана на Keenetic A, но VPN-интерфейс L2TP в нем отсутствует. Можно накрутить и на Keenetic C, но это как-то не совсем безопасно. Что делать?

PS. Wireguard, например, присутствует в межсетевом, но он одновременно и сервер и клиент, так что...

 

Edited February 5, 2022 by Vladislav Kravchenko