Подключение по VPN к внешнему серверу через KWF

[Chimney_In_Hell]

Есть небольшая проблемма : KWF не пропускает подключение через VPN к серверу, находящемуся в другом городе с "белым" IP. При выходе в интернет минуя KWF подключение проходит нормально, что дает основания предположить WinRoute работает нормально.

Исходные данные :
KWF v. 6.2.0 build 1323 (не ругайте за то, что старый. Работает ) на Windows 2003 Server.
Подключение в Интернет через TP с белым IP.
Удаленная машина Windows 2003 Server с включенным и настроенным WinRoute с "белым" IP.

Создал правило для пропуска Win VPN во внешнюю сеть - все равно не работает. Отбивает с ошибкой 619 (порт закрыт).
Возможно даже обратное правило и не нужно, но сделано на всякий случай, потому как прямое работать не хочет.

Подскажите хоть направление куда рыть (кроме обновления KWF).

Спасибо.

[Для просмотра данной ссылки нужно зарегистрироваться]

[rion_nagel]

Нахрена там нат включён?

Мало информации, нарисуй всё и распиши и прочее и прочее.

[HOG]

Цитата:

Сообщение от Chimney_In_Hell

Отбивает с ошибкой 619 (порт закрыт).

Естественно. Ты натишь - то входящие куда??

[Chimney_In_Hell]

Расписать больше ? Что именно ?
Попробую :
1. Есть W2k с RRAS на IP 55.55.55.55. К нему подключаемся через VPN.
2. Есть сеть с KWF из которой надо подключаться к серверу 1.
3. На KFW создано правило (см. 1-ый пост), которое , по идее, должно пропускать подключение по VPN, но подключение проходит только до определения имени пользователя и пароля и отваливается с ошибкой 619 (порт подключения закрыт).
4. Ставлю на машине, с которой должно проходить подключение (из правила машина 172.20.20.30), прямое соединение с интернетом (3G модем) - подключаюсь без проблемм.
5. Правило ставил и с НАТом и без него, протокол инспектор включал и выключал - ошибка одна и та-же.

Распиши и нарисуй. Чесно я не понимаю, что рисовать )
Путь соединения примерно такой 172.20.20.30 (клиент) -> 172.20.20.10 (KWF) -> 55.55.51.53 (KWF сторона интернета) -> 55.55.55.55 (w2ks + RRAS)

Перечитал КУЧУ инфы на форуме. Везде все проблеммы решались разрешением протокола GRE, но у меня с его разрешения все начиналось.

[HOG]

Chimney_In_Hell, GRE разрешить на выход на Керио, и не натить, а:

Source - Inet, Dest - 172.20.20.10, Service - GRE, Action - Permit, NAT - MAP TO 55.55.55.55
Source - Inet, Dest - 172.20.20.10, Service - PPTP, L2TP, Action - Permit, NAT - MAP TO 55.55.55.55

Эти ПРАВИЛА НА ВХОДЯЩИЕ ВПН НА MS RRAS

[Chimney_In_Hell]

Да. Это правило входящего соединения, а у меня проблемма с ИСХОДЯЩИМ соединением через KWF.

Цитата:

Сообщение от Chimney_In_Hell

2. Есть сеть с KWF из которой надо подключаться к серверу 1.
Путь соединения примерно такой 172.20.20.30 (клиент) -> 172.20.20.10 (KWF) -> 55.55.51.53 (KWF сторона интернета) -> 55.55.55.55 (w2ks + RRAS)

Только что попробовал напрямую на машине с установленным KWF создать VPN подключение с удаленным сервом. Все нормально подключилось. Даже Керио глушить не пришлось =\ что говорит о непричастности к данному ограничению провайдера.

На машине с RRAS'ом стоит другая защита, которая пропускает только VPN подключение.

[Chimney_In_Hell]

Ответов нет. Видимо мало данных для размышлений. Попытка поправить отсутствие.

Имеется 2 локальных сети, которые необходимо объеденить через Интернет посредством VPN-тоннеля.
[Для просмотра данной ссылки нужно зарегистрироваться]
1-ая сеть : 1 - рабочая станция (Windows 7), 2 - сервер Windows 2003 с установленным Kerio FireWall (далее KWF).
2-ая сеть :
3 - Windows 2003 Server с поднятым RRAS, 4 - Windows 2003 Server (к которому в итоге надо получить доступ).

Надо получить доступ с машины 1 к машине 3,4 и т.д. в той-же сети.

На РС 1 создается VPN подключение и настраивается полностью на подключение к RRAS с 3-ей машины.
На KWF создается правило :
My Ports 30 -> 172.20.20.30 -> Firewall, Internet -> PPTP, GRE -> Permit -> NAT -> Default PI
(на картинке правило немного изменено. Сервисы Any * разрешают работу всего)

При попытке подключения получаем ошибку 619 (Соединение не может быть установлено и потому порт закрыт).

Проверяем правильность настройки VPN подключение и способность RRAS принять соединение и пустить в сеть. На РС1 устанавливаем 3G-модем с прямым выходом в Интернет и пытаемся подключиться.
Все проходит нормально.
Вывод : VPN подключение настроено нормально и RRAS тоже.

Проверяем Интернет провайдера на предмет пропускания всех необходимых портов и протоколов :
1. Создаем на Сервере KWF подключение к VPN, аналогичное тому, что мы созавали на PC1.
2. Подключаемся к RRAS.
3. Подключение проходит нормально. Доступ к сети есть.

ГДЕ зарыта собака и что не так с настройками KWF. Который день голову ломаю и никак не могу решить проблему.

Правила KWF
[Для просмотра данной ссылки нужно зарегистрироваться]

Выдержка из логов в момент попытки подключения :
Connection

[30/Jan/2014 19:01:37] [ID] 49964 [Rule] My Ports 30 [Service] RDP [Connection] TCP 172.20.20.30:52042 -> FIREWALL:3389 [Duration] 312 sec [Bytes] 131275/2089126/2220401 [Packets] 2133/3344/5477
[30/Jan/2014 19:01:56] [ID] 50272 [Rule] My Ports 30 [Service] PPTP [Connection] GRE 172.20.20.30 -> 77-**-**-**.*.*.ua [Duration] 2 sec [Bytes] 419/284/703 [Packets] 7/4/11

filter

[30/Jan/2014 19:01:55] PERMIT "My Ports 30" packet from Internal Network, proto:TCP, len:52, ip/port:172.20.20.30:52056 -> 77.**.**.**7:1723, flags: SYN , seq:3539333611 ack:0, win:8192, tcplen:0
[30/Jan/2014 19:01:55] PERMIT "My Ports 30" packet to Internal Network, proto:TCP, len:52, ip/port:77.**.**.**7:1723 -> 172.20.20.30:52056, flags: SYN ACK , seq:2513078245 ack:3539333612, win:16384, tcplen:0
[30/Jan/2014 19:01:55] PERMIT "My Ports 30" packet from Internal Network, proto:TCP, len:40, ip/port:172.20.20.30:52056 -> 77.**.**.**7:1723, flags: ACK , seq:3539333612 ack:2513078246, win:16425, tcplen:0
[30/Jan/2014 19:01:55] PERMIT "My Ports 30" packet from Internal Network, proto:TCP, len:196, ip/port:172.20.20.30:52056 -> 77.**.**.**7:1723, flags: ACK PSH , seq:3539333612 ack:2513078246, win:16425, tcplen:156
[30/Jan/2014 19:01:55] PERMIT "My Ports 30" packet to External Network, proto:TCP, len:48, ip/port:172.20.20.30:52056 -> 77.**.**.**7:1723, flags: SYN , seq:1926278828 ack:0, win:65535, tcplen:0
[30/Jan/2014 19:01:55] PERMIT "My Ports 30" packet from External Network, proto:TCP, len:48, ip/port:77.**.**.**7:1723 -> 89.**.**.**:64492, flags: SYN ACK , seq:402612010 ack:1926278829, win:16384, tcplen:0
[30/Jan/2014 19:01:55] PERMIT "My Ports 30" packet to External Network, proto:TCP, len:40, ip/port:172.20.20.30:52056 -> 77.**.**.**7:1723, flags: ACK , seq:1926278829 ack:402612011, win:65535, tcplen:0
[30/Jan/2014 19:01:55] PERMIT "My Ports 30" packet to External Network, proto:TCP, len:196, ip/port:172.20.20.30:52056 -> 77.**.**.**7:1723, flags: ACK PSH , seq:1926278829 ack:402612011, win:65535, tcplen:156
[30/Jan/2014 19:01:55] PERMIT "My Ports 30" packet to Internal Network, proto:TCP, len:40, ip/port:77.**.**.**7:1723 -> 172.20.20.30:52056, flags: ACK , seq:2513078246 ack:3539333768, win:65379, tcplen:0
[30/Jan/2014 19:01:55] PERMIT "My Ports 30" packet from External Network, proto:TCP, len:196, ip/port:77.**.**.**7:1723 -> 89.**.**.**:64492, flags: ACK PSH , seq:402612011 ack:1926278985, win:65379, tcplen:156
[30/Jan/2014 19:01:55] PERMIT "My Ports 30" packet to Internal Network, proto:TCP, len:196, ip/port:77.**.**.**7:1723 -> 172.20.20.30:52056, flags: ACK PSH , seq:2513078246 ack:3539333768, win:65379, tcplen:156
[30/Jan/2014 19:01:55] PERMIT "My Ports 30" packet from Internal Network, proto:TCP, len:208, ip/port:172.20.20.30:52056 -> 77.**.**.**7:1723, flags: ACK PSH , seq:3539333768 ack:2513078402, win:16386, tcplen:168
[30/Jan/2014 19:01:55] PERMIT "My Ports 30" packet to External Network, proto:TCP, len:208, ip/port:172.20.20.30:52056 -> 77.**.**.**7:1723, flags: ACK PSH , seq:1926278985 ack:402612167, win:65379, tcplen:168
[30/Jan/2014 19:01:55] PERMIT "My Ports 30" packet from External Network, proto:TCP, len:72, ip/port:77.**.**.**7:1723 -> 89.**.**.**:64492, flags: ACK PSH , seq:402612167 ack:1926279153, win:65211, tcplen:32
[30/Jan/2014 19:01:55] PERMIT "My Ports 30" packet to Internal Network, proto:TCP, len:72, ip/port:77.**.**.**7:1723 -> 172.20.20.30:52056, flags: ACK PSH , seq:2513078402 ack:3539333936, win:65211, tcplen:32
[30/Jan/2014 19:01:55] PERMIT "My Ports 30" packet from Internal Network, proto:TCP, len:64, ip/port:172.20.20.30:52056 -> 77.**.**.**7:1723, flags: ACK PSH , seq:3539333936 ack:2513078434, win:16378, tcplen:24
[30/Jan/2014 19:01:55] PERMIT "My Ports 30" packet to External Network, proto:TCP, len:64, ip/port:172.20.20.30:52056 -> 77.**.**.**7:1723, flags: ACK PSH , seq:1926279153 ack:402612199, win:65347, tcplen:24
[30/Jan/2014 19:01:55] PERMIT "My Ports 30" packet from Internal Network, proto:47, len:57, ip:172.20.20.30 -> 77.**.**.**7, plen:37
[30/Jan/2014 19:01:55] PERMIT "My Ports 30" packet to External Network, proto:47, len:57, ip:172.20.20.30 -> 77.**.**.**7, plen:37
[30/Jan/2014 19:01:55] PERMIT "My Ports 30" packet from External Network, proto:47, len:96, ip:77.**.**.**7 -> 89.**.**.**, plen:76
[30/Jan/2014 19:01:55] PERMIT "My Ports 30" packet to Internal Network, proto:47, len:96, ip:77.**.**.**7 -> 172.20.20.30, plen:76
[30/Jan/2014 19:01:55] PERMIT "My Ports 30" packet from Internal Network, proto:47, len:75, ip:172.20.20.30 -> 77.**.**.**7, plen:55
[30/Jan/2014 19:01:55] PERMIT "My Ports 30" packet to External Network, proto:47, len:75, ip:172.20.20.30 -> 77.**.**.**7, plen:55
[30/Jan/2014 19:01:55] PERMIT "My Ports 30" packet from External Network, proto:47, len:57, ip:77.**.**.**7 -> 89.**.**.**, plen:37
[30/Jan/2014 19:01:55] PERMIT "My Ports 30" packet to Internal Network, proto:47, len:57, ip:77.**.**.**7 -> 172.20.20.30, plen:37
[30/Jan/2014 19:01:55] PERMIT "My Ports 30" packet to Internal Network, proto:TCP, len:40, ip/port:77.**.**.**7:1723 -> 172.20.20.30:52056, flags: ACK , seq:2513078434 ack:3539333960, win:65187, tcplen:0
[30/Jan/2014 19:01:55] PERMIT "My Ports 30" packet from External Network, proto:47, len:65, ip:77.**.**.**7 -> 89.**.**.**, plen:45
[30/Jan/2014 19:01:55] PERMIT "My Ports 30" packet to Internal Network, proto:47, len:65, ip:77.**.**.**7 -> 172.20.20.30, plen:45
[30/Jan/2014 19:01:55] PERMIT "My Ports 30" packet from Internal Network, proto:47, len:49, ip:172.20.20.30 -> 77.**.**.**7, plen:29
[30/Jan/2014 19:01:55] PERMIT "My Ports 30" packet to External Network, proto:47, len:49, ip:172.20.20.30 -> 77.**.**.**7, plen:29
[30/Jan/2014 19:01:55] PERMIT "My Ports 30" packet from External Network, proto:47, len:66, ip:77.**.**.**7 -> 89.**.**.**, plen:46
[30/Jan/2014 19:01:55] PERMIT "My Ports 30" packet to Internal Network, proto:47, len:66, ip:77.**.**.**7 -> 172.20.20.30, plen:46
[30/Jan/2014 19:01:55] PERMIT "My Ports 30" packet from Internal Network, proto:47, len:66, ip:172.20.20.30 -> 77.**.**.**7, plen:46
[30/Jan/2014 19:01:55] PERMIT "My Ports 30" packet from Internal Network, proto:TCP, len:64, ip/port:172.20.20.30:52056 -> 77.**.**.**7:1723, flags: ACK PSH , seq:3539333960 ack:2513078434, win:16378, tcplen:24
[30/Jan/2014 19:01:55] PERMIT "My Ports 30" packet from Internal Network, proto:47, len:52, ip:172.20.20.30 -> 77.**.**.**7, plen:32
[30/Jan/2014 19:01:55] PERMIT "My Ports 30" packet to External Network, proto:47, len:66, ip:172.20.20.30 -> 77.**.**.**7, plen:46
[30/Jan/2014 19:01:55] PERMIT "My Ports 30" packet from Internal Network, proto:47, len:62, ip:172.20.20.30 -> 77.**.**.**7, plen:42
[30/Jan/2014 19:01:55] PERMIT "My Ports 30" packet from Internal Network, proto:47, len:58, ip:172.20.20.30 -> 77.**.**.**7, plen:38
[30/Jan/2014 19:01:55] PERMIT "My Ports 30" packet to External Network, proto:47, len:52, ip:172.20.20.30 -> 77.**.**.**7, plen:32
[30/Jan/2014 19:01:55] PERMIT "My Ports 30" packet to External Network, proto:47, len:62, ip:172.20.20.30 -> 77.**.**.**7, plen:42
[30/Jan/2014 19:01:55] PERMIT "My Ports 30" packet to External Network, proto:47, len:58, ip:172.20.20.30 -> 77.**.**.**7, plen:38
[30/Jan/2014 19:01:55] PERMIT "My Ports 30" packet from External Network, proto:TCP, len:40, ip/port:77.**.**.**7:1723 -> 89.**.**.**:64492, flags: ACK , seq:402612199 ack:1926279177, win:65187, tcplen:0
[30/Jan/2014 19:01:55] PERMIT "My Ports 30" packet to External Network, proto:TCP, len:64, ip/port:172.20.20.30:52056 -> 77.**.**.**7:1723, flags: ACK PSH , seq:1926279177 ack:402612199, win:65347, tcplen:24
[30/Jan/2014 19:01:56] PERMIT "My Ports 30" packet from External Network, proto:TCP, len:64, ip/port:77.**.**.**7:1723 -> 89.**.**.**:64492, flags: ACK PSH , seq:402612199 ack:1926279177, win:65187, tcplen:24
[30/Jan/2014 19:01:56] PERMIT "My Ports 30" packet to Internal Network, proto:TCP, len:40, ip/port:77.**.**.**7:1723 -> 172.20.20.30:52056, flags: ACK , seq:2513078434 ack:3539333984, win:65163, tcplen:0
[30/Jan/2014 19:01:56] PERMIT "My Ports 30" packet to External Network, proto:TCP, len:40, ip/port:172.20.20.30:52056 -> 77.**.**.**7:1723, flags: ACK , seq:1926279201 ack:402612223, win:65323, tcplen:0
[30/Jan/2014 19:01:56] PERMIT "My Ports 30" packet from External Network, proto:TCP, len:40, ip/port:77.**.**.**7:1723 -> 89.**.**.**:64492, flags: ACK , seq:402612223 ack:1926279201, win:65163, tcplen:0
[30/Jan/2014 19:01:56] PERMIT "My Ports 30" packet to Internal Network, proto:TCP, len:40, ip/port:77.**.**.**7:1723 -> 172.20.20.30:52056, flags: FIN ACK , seq:2513078434 ack:3539333984, win:65163, tcplen:0
[30/Jan/2014 19:01:56] PERMIT "My Ports 30" packet to External Network, proto:TCP, len:40, ip/port:172.20.20.30:52056 -> 77.**.**.**7:1723, flags: FIN ACK , seq:1926279201 ack:402612223, win:65323, tcplen:0
[30/Jan/2014 19:01:56] PERMIT "My Ports 30" packet from Internal Network, proto:TCP, len:40, ip/port:172.20.20.30:52056 -> 77.**.**.**7:1723, flags: ACK , seq:3539333984 ack:2513078435, win:16378, tcplen:0
[30/Jan/2014 19:01:56] PERMIT "My Ports 30" packet from External Network, proto:TCP, len:40, ip/port:77.**.**.**7:1723 -> 89.**.**.**:64492, flags: FIN ACK , seq:402612223 ack:1926279202, win:65163, tcplen:0
[30/Jan/2014 19:01:56] PERMIT "My Ports 30" packet to External Network, proto:TCP, len:40, ip/port:172.20.20.30:52056 -> 77.**.**.**7:1723, flags: ACK , seq:1926279202 ack:402612224, win:65323, tcplen:0
[30/Jan/2014 19:01:56] PERMIT "My Ports 30" packet from Internal Network, proto:TCP, len:40, ip/port:172.20.20.30:52056 -> 77.**.**.**7:1723, flags: FIN ACK , seq:3539333984 ack:2513078435, win:16378, tcplen:0
[30/Jan/2014 19:01:56] PERMIT "My Ports 30" packet to Internal Network, proto:TCP, len:40, ip/port:77.**.**.**7:1723 -> 172.20.20.30:52056, flags: ACK , seq:2513078435 ack:3539333985, win:65163, tcplen:0
[30/Jan/2014 19:01:57] PERMIT "My Ports 30" packet from External Network, proto:UDP, len:129, ip/port:37.212.8.74:13591 -> 89.**.**.**:62552, udplen:101
[30/Jan/2014 19:01:57] PERMIT "My Ports 30" packet to Internal Network, proto:UDP, len:129, ip/port:37.212.8.74:13591 -> 172.20.20.30:18544, udplen:101

PS Не нашел тега spoiler. Было-бы удобно.