Проблема с Kerio VPN Client Ошибка (167)

[ivashkasmsk]

Здравствуйте!
Не давно появилась не необходимость в создании VPN сервера. Я решил сделать это на базе Kerio Control 7.1.2 build 2333.
Сделал всё вроде правильно:
1. Отключил брандмауэр на сервере (Windows server 2003 R2)
2. Пробросил на модеме все порты на сервер (Zyxe lP-660RU-T1) UTP и TCP(4090) по отдельности.
3.Создал правило типа Источник:WAN, Назначение: Брандмауэр,Служба:Keri VPN(Пробовал и просто порты писать)
4.В интерфейсах включил VPN Server.
5.Установил клиент и попробовал за конектиться.
Клиент выдал ошибку: Ошибка (167): Невозможно организовать туннелирование данных (возможно, заблокирован трафик UDP)
что я только не делал и отключал защиту от вторжения и модем менял и версию клиента менял и с другой машины подключится пытался даже менял версию Kerio Control 7.0.1, результат всё равно один и тот же...
Постороннего софта на серваке нет. на чистой винде стоит только Kerio и драйвера.
При всём при этом сервер видет клиента даже выдаёт ему IP и показывает его в активных хостах, но обмен данными не идёт, также успешно работает RDP,Radmin,Kerio Web.
Для доступа к серверу использую DDNS прописанный на модеме.
Вот набор правил которые я создавал для наших нужд:

Вот лог из клиента:
[21/01/2014 19:40:05] GUI: connecting to '95.XXX.XXX.94'
[21/01/2014 19:40:05] D[VPN client] VPNClient[4103] - connecting to 95.XXX.XXX.94:4090, username Admin
[21/01/2014 19:40:05] D[VPN client] VPNClient[4103] - server name resolved - 95.XXX.XXX.94
[21/01/2014 19:40:05] D[VPN client] VPNClient[4103] - route to server added, gw = 192.168.1.1 (adapter 0xC)
[21/01/2014 19:40:05] D[VPN client] VPNClient[4103] - local TCP address = 127.0.0.1:56986
[21/01/2014 19:40:06] D[VPN client] VPNClient[4103] - SSL connection successfully established
[21/01/2014 19:40:06] D[VPN SSL] Certificate checked, result = 0x00000005
[21/01/2014 19:40:06] D[VPN client] VPNClient[4103] - sending VERSION message, version = 2
[21/01/2014 19:40:07] D[VPN client] VPNClient[4103] - received VERSION message, version = 2
[21/01/2014 19:40:08] D[Cipher] BLF[3970/1]: generating blowfish parameters
[21/01/2014 19:40:08] D[Cipher] BLF[3970/1]: allocated memory for blowfish cipher configuration.
[21/01/2014 19:40:08] D[Cipher] BLF[3970/1]: blowfish parameters randomized
[21/01/2014 19:40:08] D[Cipher] BLF[3970/1]: blowfish parameters generated
[21/01/2014 19:40:08] D[Cipher] BLF[3970/1]: generating config message
[21/01/2014 19:40:08] D[Cipher] BLF[3970/1]: generating config message
[21/01/2014 19:40:09] D[VPN client] VPNClient[4103] - received R_IPCONFIG message, IP = 192.168.10.15/255.255.255.0, CEP = 3600 s.
[21/01/2014 19:40:09] D[VPN client] VPNClient[4103] - connection added in driver.
[21/01/2014 19:40:09] D[Cipher] BLF[3970/1]: generating config message
[21/01/2014 19:40:09] D[Cipher] BLF[3970/1]: generating config message
[21/01/2014 19:40:09] D[VPN client] VPNClient[4103]: primary cipher added in driver
[21/01/2014 19:40:09] D[VPN client] VPNClient[4103] - driver started sending secret to 95.XXX.XXX.94:4090.
[21/01/2014 19:40:09] D[VPN client] VPNClient[4103] - waiting for SECRET_RECEIVED from 95.XXX.XXX.94:4090
[21/01/2014 19:40:19] D[VPN client] VPNClient[4103] - flushing ARP cache for adapter 0x1D
[21/01/2014 19:40:19] D[VPN client] VPNClient[4103] - connection closed by remote peer
[21/01/2014 19:40:19] D[VPN client] VPNClient[4103] - SECRET_RECEIVED has not been received
[21/01/2014 19:40:26] Ошибка (167): Невозможно организовать туннелирование данных (возможно, заблокирован трафик UDP).

Люди слёзно вас прошу помогите справиться с проблемой...

[IlyaS]

Почему бы не последовать совету (возможно, заблокирован трафик UDP) и не проверить хождение UDP:
1) на клиенте загрузить бинарники nmap, кстати ставить nmap необязательно, достаточно установленного winpcap, который с ним же вместе и идет
2) сканируем UDP 4090 командой отсюда [Для просмотра данной ссылки нужно зарегистрироваться] командой
nmap -P0 -sU -p4090 mykerio.dyndns.org
Вероятнее всего должен быть результат
PORT STATE SERVICE
4090/udp open|filtered unknown
то есть порт открыт. В логах kerio при этом не будет зафиксирована ни попытка VPN-подключения, ни отброшенный пакет. Для сравнения сделайте форвардинг другого UDP-порта, например 4091, и просканируйте порт с клиента. В логе filter должен быть отброшенный пакет:
DROP "Block other traffic" packet from Internet, proto:UDP, len:28, ...:48387 -> ...:4091, udplen:0

[ivashkasmsk]

Цитата

Сообщение от IlyaS

Почему бы не последовать совету (возможно, заблокирован трафик UDP) и не проверить хождение UDP:
1) на клиенте загрузить бинарники nmap, кстати ставить nmap необязательно, достаточно установленного winpcap, который с ним же вместе и идет
2) сканируем UDP 4090 командой отсюда [Для просмотра данной ссылки нужно зарегистрироваться] командой
nmap -P0 -sU -p4090 mykerio.dyndns.org
Вероятнее всего должен быть результат
PORT STATE SERVICE
4090/udp open|filtered unknown
то есть порт открыт. В логах kerio при этом не будет зафиксирована ни попытка VPN-подключения, ни отброшенный пакет. Для сравнения сделайте форвардинг другого UDP-порта, например 4091, и просканируйте порт с клиента. В логе filter должен быть отброшенный пакет:
DROP "Block other traffic" packet from Internet, proto:UDP, len:28, ...:48387 -> ...:4091, udplen:0

Спасибо! результат показал что порт открыт. пришёл к выводу что проблема в клиентских машинах. хотя пробовал на 4 разных машинах в разных местах не учёл одного что везде подключения в режиме роутер, по пробовал на на машине которая подключается по bridge most всё заработало на ура.
Проблема решилась... но почему не работает из под роутеров еще не разбирался.

Извините за беспокойство.

[IlyaS]

Роутер перевели из routing в мост, а за роутером один клиент?
Теперь клиент напрямую в интернет торчит, включать и настраивать фаервол родной/сторонний обязательно.
Хм, как-то дропы то ли пакетов, то ли еще чего были, техпод провайдера советовал сменить режим работы ADSL модема (Zyxel OMNI ADSL LAN EE), кажись на мост. Но с тех пор и модем другой (D-Link 2740) и пров канал отремонтировал. Сейчас настроен как мост, конечно, а на нем керио с белым IP-адресом.

[ivashkasmsk]

Цитата

Сообщение от IlyaS

Роутер перевели из routing в мост, а за роутером один клиент?
Теперь клиент напрямую в интернет торчит, включать и настраивать фаервол родной/сторонний обязательно.
Хм, как-то дропы то ли пакетов, то ли еще чего были, техпод провайдера советовал сменить режим работы ADSL модема (Zyxel OMNI ADSL LAN EE), кажись на мост. Но с тех пор и модем другой (D-Link 2740) и пров канал отремонтировал. Сейчас настроен как мост, конечно, а на нем керио с белым IP-адресом.

в том то и дело что не один, и по этому решение нам это не подходит.

[IlyaS]

Так-так-так, говорите на стороне сервера инет через модем Zyxel приходит? Ну а если его в мост перевести?
Уточним пока схему подключения.
Получается, что у вас на стороне клиента и стороне сервера по ADSL-модему в режиме роутера. Так?
Если на стороне клиента (несколько машин) модем в режиме роутера еще оправдан, то почему на стороне сервера такой же режим работы роутера?
ИМХО, куда логичнее сделать из него простой мост и подавать траффик керио без фильтрации модемом. Керио контроль - это не просто ВПН-сервер это еще и нехилый сертифицированный МСЭ.
Еще вариант: если машин у клиента немало и всем нужен доступ к сети за вашим керио, может быть вообще стоит поставить там свой керио контроль, настроить туннель, а модем также сделать простым мостом? Как минимум будет:
1) меньше возни с клиентами
2) один туннель должен быть шустрее отдельный туннелей клиентов
3) меньше проблем с DNS на клиенте, так как получаемый клиентом при ВПН-подключении DNS-сервер будет предпочитаемый

[ivashkasmsk]

Цитата

Сообщение от IlyaS

Так-так-так, говорите на стороне сервера инет через модем Zyxel приходит? Ну а если его в мост перевести?
Уточним пока схему подключения.
Получается, что у вас на стороне клиента и стороне сервера по ADSL-модему в режиме роутера. Так?
Если на стороне клиента (несколько машин) модем в режиме роутера еще оправдан, то почему на стороне сервера такой же режим работы роутера?
ИМХО, куда логичнее сделать из него простой мост и подавать траффик керио без фильтрации модемом. Керио контроль - это не просто ВПН-сервер это еще и нехилый сертифицированный МСЭ.
Еще вариант: если машин у клиента немало и всем нужен доступ к сети за вашим керио, может быть вообще стоит поставить там свой керио контроль, настроить туннель, а модем также сделать простым мостом? Как минимум будет:
1) меньше возни с клиентами
2) один туннель должен быть шустрее отдельный туннелей клиентов
3) меньше проблем с DNS на клиенте, так как получаемый клиентом при ВПН-подключении DNS-сервер будет предпочитаемый

Проблема была в клиентских модемах. как не странно везде где пробовал ставить клиента стоял либо Huawei либо тенда, короче после того как поставил d-link всё заработало. кстати пробовал на клиенте настраивать старый модем мостом и с ним тоже всё работало, но это вариант не подходит.
Всё решилось покупкой нормальных модемов.
Вывод Huawei и Tenda в топку...

Добавлено через 47 секунд
Всем спасибо за помощь. Тема закрыта.