Соединение двух офисов -VPN тоннель.

Соединение двух офисов -VPN тоннель.

Господа сразу не пинайте.

Итак вводные.

KWF 6.5.2 build 5172

(Server01)(шлюз01)(Internet)(шлюз02)(Server02)

Server01 на модеме стоит в DMZ - проблем с видимостью и доступом извне нет. (ненужно говорить мне о опасности - я создаю просто идеальные условия для настройки - гайки закручивать после буду)
Server02 имеет ПОЛНЫЙ ДОСТУП НА ВЫХОД на айпи шлюза01. Входящий трафик запрет.
Соответственно я выбрал тоннель где server02 - активный тоннель подключается на server01. В свою очередь Server01 пассивно слушает.

Отпечатками обменялся. Активный server02 сам его нашел. Ну а на пассивный тоннель server01 я просто скопировал с Server02.

Правила трафика. Опять исходим из ИДЕАЛЬНЫХ УСЛОВИЙ
На обоих керио стоит в самом верху разрешение ОТ ЛЮБОГО ИСТОЧНИКА К ЛЮБОМУ НА ЛЮБУЮ СЛУЖБУ РАЗРЕШИТЬ .
[Для просмотра данной ссылки нужно зарегистрироваться]

Итак тоннель на server02 пытается соединиться
[Для просмотра данной ссылки нужно зарегистрироваться]
Ошибка "Не удается создать udp-туннель"

Вот логи

Активная сторона SERVER02

[26/Mar/2015 13:29:48] {vpntunnel} Tunnel[0002]('DK') - connecting to (ВНЕШНИЙ АДРЕС SERVER01):4090
[26/Mar/2015 13:29:48] {vpntunnel} TUNNEL_STATUS_CHANGE 'DK' - 1:0
[26/Mar/2015 13:29:48] {vpntunnel} Tunnel[0002]('DK') - remote endpoint name resolved - (ВНЕШНИЙ АДРЕС SERVER01)
[26/Mar/2015 13:29:48] {vpntunnel} Tunnel[0002]('DK') - local TCP address = (ВНУТРЕННИЙ АДРЕС SERVER02):62778
[26/Mar/2015 13:29:48] {vpntunnel} Tunnel[0002]('DK') - SSL connection successfully established
[26/Mar/2015 13:29:48] {vpntunnel} TUNNEL_STATUS_CHANGE 'DK' - 3:0
[26/Mar/2015 13:29:48] {vpntunnel} Tunnel[0002]('DK') - received VERSION message, version = 2
[26/Mar/2015 13:29:48] {vpntunnel} Tunnel[0002]('DK') - sending VERSION message, version = 2
[26/Mar/2015 13:29:48] {vpntunnel} TUNNEL_STATUS_CHANGE 'DK' - 5:0
[26/Mar/2015 13:29:48] {vpntunnel} Tunnel[0002]('DK') - received IPCONFIG_1 message, offered ip = 172.26.223.2/255.255.255.0 //Законнектился и получил адрес от VPN-сервера на SERVER01
[26/Mar/2015 13:29:48] {vpntunnel} Tunnel[0002]('DK') - tunnel registered
[26/Mar/2015 13:29:48] {vpntunnel} TUNNEL_STATUS_CHANGE 'DK' - 6:0
[26/Mar/2015 13:29:48] {vpntunnel} Tunnel[0002]('DK') - sending IPCONFIG_2 message, ip = 172.27.10.9/255.255.255.0, err = 0, CEP = 3600 s // ???? Кто пояснит ? Пассивный тоннель от SERVER02 ?
[26/Mar/2015 13:29:48] {vpntunnel} TUNNEL_STATUS_CHANGE 'DK' - 9:0
[26/Mar/2015 13:29:48] {vpntunnel} Tunnel[0002]('DK') - received IPCONFIG_3 message
[26/Mar/2015 13:29:48] {vpntunnel} Tunnel[0002]('DK') - connection added in driver
[26/Mar/2015 13:29:48] {vpntunnel} Tunnel[0002]('DK') - primary cipher added in driver
[26/Mar/2015 13:29:48] {vpntunnel} TUNNEL_STATUS_CHANGE 'DK' - 10:0
[26/Mar/2015 13:29:48] {vpntunnel} Tunnel[0002]('DK') - driver started sending secret to (ВНЕШНИЙ АДРЕС SERVER01):4090
[26/Mar/2015 13:29:48] {vpntunnel} Tunnel[0002]('DK') - waiting for SECRET_RECEIVED from (ВНЕШНИЙ АДРЕС SERVER01):4090
[26/Mar/2015 13:29:58] {vpntunnel} Tunnel[0002]('DK') - connection closed by peer // И вот тут беда начинается
[26/Mar/2015 13:29:58] {vpntunnel} Tunnel[0002]('DK') - SSL_free 0x000011D8
[26/Mar/2015 13:29:58] {vpntunnel} Tunnel[0002]('DK') - SECRET_RECEIVED has not been received
[26/Mar/2015 13:29:58] {vpntunnel} TUNNEL_STATUS_CHANGE 'DK' - 0:167
[26/Mar/2015 13:29:58] {vpntunnel} Tunnel[0002]('DK') - connection deleted in driver
[26/Mar/2015 13:29:58] {vpntunnel} Tunnel[0002]('DK') - tunnel deregistered
[26/Mar/2015 13:29:58] {vpntunnel} Tunnel[0002]('DK') - flushing ARP cache for adapter 0xD
[26/Mar/2015 13:29:58] {vpntunnel} Tunnel[0002]('DK') - tunnel closed


Пассивная сторона SERVER01

[26/Mar/2015 13:39:59] {vpntunnel} Tunnel[0004]('SAM'): service thread registered, TID = 8020, TH = 0x00002DBC
[26/Mar/2015 13:39:59] {vpntunnel} Tunnel[0004]('SAM') - tunnel registered
[26/Mar/2015 13:39:59] {vpntunnel} TUNNEL_STATUS_CHANGE 'SAM' - 2:0
[26/Mar/2015 13:39:59] {vpntunnel} Tunnel[0004]('SAM') - local TCP address = (ВНУТРЕННИЙ АДРЕС SERVER01):4090
[26/Mar/2015 13:39:59] {vpntunnel} Tunnel[0004]('SAM') - sending VERSION message, version = 2
[26/Mar/2015 13:39:59] {vpntunnel} Tunnel[0004]('SAM') - received VERSION message, version = 2
[26/Mar/2015 13:39:59] {vpntunnel} Tunnel[0004]('SAM') - sending IPCONFIG_1 message, offered ip = 172.26.223.2/255.255.255.0
[26/Mar/2015 13:39:59] {vpntunnel} TUNNEL_STATUS_CHANGE 'SAM' - 4:0
[26/Mar/2015 13:39:59] {vpntunnel} TUNNEL_STATUS_CHANGE 'SAM' - 7:0
[26/Mar/2015 13:39:59] {vpntunnel} Tunnel[0004]('SAM') - received IPCONFIG_2 message, ip = 172.27.10.9/255.255.255.0, err = 0
[26/Mar/2015 13:39:59] {vpntunnel} Tunnel[0004]('SAM') - cipher exchange period 3600 s
[26/Mar/2015 13:39:59] {vpntunnel} Tunnel[0004]('SAM') - connection added in driver
[26/Mar/2015 13:39:59] {vpntunnel} Tunnel[0004]('SAM') - primary cipher added in driver
[26/Mar/2015 13:39:59] {vpntunnel} Tunnel[0004]('SAM') - sending IPCONFIG_3 message, CEP = 3600 s
[26/Mar/2015 13:39:59] {vpntunnel} TUNNEL_STATUS_CHANGE 'SAM' - 8:0
[26/Mar/2015 13:39:59] {vpntunnel} TUNNEL_STATUS_CHANGE 'SAM' - 11:0
[26/Mar/2015 13:40:02] Service "DNS" started, bound to address 172.27.10.9
[26/Mar/2015 13:40:02] Service "HTTPProxy" started, bound to address 172.27.10.9
[26/Mar/2015 13:40:02] Service "VPN" started, bound to address 172.27.10.9
[26/Mar/2015 13:40:09] {vpntunnel} Tunnel[0004]('SAM') - UDP CONNECT not received - timeout
[26/Mar/2015 13:40:09] {vpntunnel} Tunnel[0004]('SAM') - SSL_free 0x00002DBC
[26/Mar/2015 13:40:09] {vpntunnel} Tunnel[0004]('SAM') - connection deleted in driver
[26/Mar/2015 13:40:09] {vpntunnel} Tunnel[0004]('SAM') - tunnel deregistered
[26/Mar/2015 13:40:09] {vpntunnel} TUNNEL_STATUS_CHANGE 'SAM' - 0:0
[26/Mar/2015 13:40:09] {vpntunnel} Tunnel[0004]('SAM') - flushing ARP cache for adapter 0xD
[26/Mar/2015 13:40:09] {vpntunnel} Tunnel[0004]('SAM') - tunnel closed
[26/Mar/2015 13:40:09] Service "DNS" bound to address 172.27.10.9 stopped
[26/Mar/2015 13:40:09] Service "HTTPProxy" bound to address 172.27.10.9 stopped
[26/Mar/2015 13:40:09] Service "VPN" bound to address 172.27.10.9 stopped


Куда рыть дальше ?

[exchar]

6.5.2 в 2015 году? Пришла весна, и некрофилы достали заступы и вилы... (с)

логи от разных попыток, или на одном из шлюзов время убежало?

UPD
еще можно пересобрать сертификат на сервере и/или клиенте
помониторить хождение udp (и возможно gre) в канале между подопытными шлюзами

Зачетно по поводу некрофилов

Ладно . ну если по делу . Стоял и стоял там Керио - работал и все устраивало . Если система работает - чего лезть то


Логи от разных попыток - там все одинаково и по циклу - смысл выискивать одинаковое время ?

Пересобираем штатными средствами я так понял.

"помониторить хождение udp (и возможно gre) в канале между подопытными шлюзами" это какими средствами ?


Миграция с 6,5,2 на какую нибудь 7,х,х как проходит ? Тупо перенос файлов конфига (как раньше) ?

[exchar]

Цитата

Сообщение от boken

смысл выискивать одинаковое время ?

есть смысл синхронизировать время на шлюзах, если еще не.

Цитата

Сообщение от boken

Пересобираем штатными средствами я так понял.

да. желательно с измененными данными. это 6.Х, там были и с этим проблемы

Цитата

Сообщение от boken

"помониторить хождение udp (и возможно gre) в канале между подопытными шлюзами" это какими средствами ?

Взять философский камень управляемый свитч, нарезать там дополнительно один влан на 2 порта и второй влан на 1 порт. с одного из этих двух портов сделать зеркалирование всего трафика на второй влан в единственный порт.
ну а дальше от провайдера патч кидаем в первый влан первый порт, из второго порта первого влана кидаем патч до шлюза. со второго влана единственного порта кидаем патч на комп с выделенной сетевухой, где и ловим всё через wireshark.

Цитата

Сообщение от boken

Миграция с 6,5,2 на какую нибудь 7,х,х как проходит ? Тупо перенос файлов конфига (как раньше) ?

Вообще для лиц. версии - установкой поверх. Глянь [Для просмотра данной ссылки нужно зарегистрироваться], стр. 20 и 21.

Цитата

Сообщение от boken

Server02 имеет ПОЛНЫЙ ДОСТУП НА ВЫХОД на айпи шлюза01. Входящий трафик запрет.
...
Стоял и стоял там Керио - работал и все устраивало.

Как я понимаю, до текущего времени на Server02 vpn-туннелей не было?

Время синхронизированно

Пересборка не помогла

Да тоннелей на Server02 не было
Шлюзом на той стороне стоит CheckPoint FW1 ... но трафик на выход разрешен без ограничений

Собрал тестовый второй сервак на стороне server02. Все ходит. Затык происходит именно при попытке подключения UDP.

Значит будем ловить и снифирить пакеты .... Ну управляемый свич и влан в принципе не к чему - хаб - лучшая зеркалка по отношения цена/качество

[exchar]

Цитата

Сообщение от boken

Затык происходит именно при попытке подключения UDP.

думаю, на server02 таки нужно будет разрешить входящий трафик udp на порт службы "kerio vpn".

Цитата

Сообщение от exchar

думаю, на server02 таки нужно будет разрешить входящий трафик udp на порт службы "kerio vpn".

А как же "пассивный" режим ? Там сказано недвухсмысленно - что если нет входящих соединений ! (я UDP пакет меня не пускают )

[exchar]

Цитата

Сообщение от boken

А как же "пассивный" режим ? Там сказано недвухсмысленно - что если нет входящих соединений !

дык еще менее двусмысленно сказано в мануале: служба "Kerio VPN" должна быть открыта на прием и передачу с обоих сторон тоннеля.
Лезем в свойства службы - используется порт как TCP, так и UDP.

Собственно, что такое канал - соединение проходит по tcp, а дальше передаваемый в канал трафик сжимается, заворачивается в udp-пакеты, шифруется и летит на ip-адрес другого сервера. И так в обе стороны. В твоем случае на одной из сторон udp-пакеты дропают.

UDP, есичо, это протокол без установления соединения. И маршрутизатор с server02 разрешает устанавливать соединения по tcp, отправлять пакеты udp, но не принимает пакеты udp (на заранее установленное соединение по tcp ему по сараю).

Это можно пронаблюдать, если воткнуть wireshark на server01 и глянуть им с wan-интерфейса во время установки канала - корректного ответа в udp от server02 не будет, хотя перед этим tcp-соединение оттуда отработает. Будет разве что повторная отсылка ранее отправленных udp-пакетов.

как-то так.

Так ты же сам сказал что UDP ходит уже внутри TCP канала - соответственно Маршрутизатор их не видит. Да и устанавливается соединение от актива к пассиву ! Все - фаервол уже не трогает пакеты внутри соединения в обе стороны.

А по службе Керио Должна быть открыта - это же сказано для политики внутренней - не откроешь не будет

Нашел старый хаб - буду маниторить трафик .... уже и не помню как

[exchar]

Цитата

Сообщение от boken

Так ты же сам сказал что UDP ходит уже внутри TCP канала - соответственно Маршрутизатор их не видит.

нифига, udp там не поверх, а отдельно.
должно быть.

Цитата

Сообщение от boken

Да и устанавливается соединение от актива к пассиву ! Все - фаервол уже не трогает пакеты внутри соединения в обе стороны.

блин, rtfm udp сегодня сделаю стенд из двух виртуалок, там тестовый тоннель на 6.Х и покажу, что и как бегает.

[exchar]

забавно. сделал стенд в двумя 6.5.2, проверил... брарабанная дробь... туннель создается!
то ли kwf не все порты блочит, то ли я не знаю чего-то.

Цитата

Сообщение от boken

Шлюзом на той стороне стоит CheckPoint FW1 ... но трафик на выход разрешен без ограничений

глубоко и искренне ненавижу эту фирму.

Цитата

Сообщение от exchar

забавно. сделал стенд в двумя 6.5.2, проверил... брарабанная дробь... туннель создается!
то ли kwf не все порты блочит, то ли я не знаю чего-то.



глубоко и искренне ненавижу эту фирму.

Гм ... совпадают чувства ...тем не менее

Долго не писал - переключился на другую задачу. И тем не менее победил свой глюк.
Соединил - НО только после замены активного оборудования. Само и соединилось. Модем с оптикой приказал долго жить - принесли замену. И о чудо ! Актив- пассив - подключился .... только проблема с маршрутизацией ...


Вопрос - два впн-сервера имеют две разные подсетки 172.26.10.0 и 172.27.10.0. Соединяясь они присваивают друг другу 2 IP адреса 172.26.10.2 и 172.27.10.5 (нижние там заняты)
Серваки друг друга не видят ....
Где дольше с маршрутизацией копать ?
Правила пока трассирую - все на всех разрешено.

[exchar]

Цитата

Сообщение от boken

Вопрос - два впн-сервера имеют две разные подсетки 172.26.10.0 и 172.27.10.0. Соединяясь они присваивают друг другу 2 IP адреса 172.26.10.2 и 172.27.10.5 (нижние там заняты)

чем, и главное - зачем там нижние заняты?

Цитата

Сообщение от boken

Серваки друг друга не видят ....

впн-сервера не пингуются, или трафик между подсетями через канал не ходит?

Цитата

Сообщение от boken

Где дальше с маршрутизацией копать ?
Правила пока трассирую - все на всех разрешено.

при соединении канала они обмениваются маршрутами.

Итак по порядку.Соединение двух офисов -VPN тоннель.
Поскольку серваки слабые и на них еще что то крутится - поднять виртуалку и ставить керио 8-х версий не представляется возможным.
Остановились на последнем 7,4,2

Интерфейсы сети
(А)(шлюз01)(Internet)(шлюз02)(В)
192.168.6.0 _______________________________________________ 172.16.0.0
255.255.255.0_____________________________________ _________ 255.255.0.0

Интерфейсы VPN
(А)(шлюз01)(Internet)(шлюз02)(В)
172.26.10.1_______________________________________ _______172.27.10.1
255.255.255.0_____________________________________ _________255.255.255.0

При установке тоннеля
Интерфейсы VPN
(А)(шлюз01)(Internet)(шлюз02)(В)
172.26.10.1_______________________________________ _______ 172.27.10.1
255.255.255.0_____________________________________ _________255.255.255.0
172.27.10.7_______________________________________ _______ ???????

(А) работает в пассивном режиме так как в сеть (В) не проброршены порты через фаервол

В логах (А) видно что они соединяются и ему присваивается адрес 172.27.10.7

[03/Mar/2016 15:18:01] Service "DNS" started, bound to address 172.27.10.7
[03/Mar/2016 15:18:01] Service "WebInterface" started, bound to address 172.27.10.7
[03/Mar/2016 15:18:01] Service "WebInterfaceSSL" started, bound to address 172.27.10.7
[03/Mar/2016 15:18:01] Service "VPN" started, bound to address 172.27.10.7

в логах (В) ничего нет (может в режиме пассив актив так и должно быть?)

тем не менее эти айпи 172.27.10.1,172.26.10.1,172.27.10.7 друг другу видны и можно заходить к друг другу на веб-морды управления.
пингуются без проблем
а вот сетки не видят друг друга

Добавлено через 2 часа 42 минуты

Цитата

Сообщение от exchar

чем, и главное - зачем там нижние заняты?



.

Заняты ВПН-клиентами. с ними все нормально

[exchar]

сделай с хоста одной сети tracert до хоста в сети за каналом и выложи.

Добавлено через 3 минуты
и еще route print с обоих виндовых серверов с керио

Цитата

Сообщение от exchar

сделай с хоста одной сети tracert до хоста в сети за каналом и выложи.

Добавлено через 3 минуты
и еще route print с обоих виндовых серверов с керио

таблицы

машина (А)

IPv4 таблица маршрута
================================================== =========================
Активные маршруты:
Сетевой адрес Маска сети Адрес шлюза Интерфейс Метрика
0.0.0.0 0.0.0.0 192.168.6.240 192.168.6.77 266
127.0.0.0 255.0.0.0 On-link 127.0.0.1 306
127.0.0.1 255.255.255.255 On-link 127.0.0.1 306
127.255.255.255 255.255.255.255 On-link 127.0.0.1 306
172.26.10.0 255.255.255.0 On-link 172.26.10.1 276
172.26.10.1 255.255.255.255 On-link 172.26.10.1 276
172.26.10.255 255.255.255.255 On-link 172.26.10.1 276
172.27.10.0 255.255.255.0 On-link 172.26.10.1 276
172.27.10.7 255.255.255.255 On-link 172.26.10.1 276
172.27.10.255 255.255.255.255 On-link 172.26.10.1 276
192.168.6.0 255.255.255.0 On-link 192.168.6.77 266
192.168.6.77 255.255.255.255 On-link 192.168.6.77 266
192.168.6.255 255.255.255.255 On-link 192.168.6.77 266
224.0.0.0 240.0.0.0 On-link 127.0.0.1 306
224.0.0.0 240.0.0.0 On-link 172.26.10.1 276
224.0.0.0 240.0.0.0 On-link 192.168.6.77 266
255.255.255.255 255.255.255.255 On-link 127.0.0.1 306
255.255.255.255 255.255.255.255 On-link 172.26.10.1 276
255.255.255.255 255.255.255.255 On-link 192.168.6.77 266
================================================== =========================
Постоянные маршруты:
Сетевой адрес Маска Адрес шлюза Метрика
0.0.0.0 0.0.0.0 192.168.6.240 По умолчанию
0.0.0.0 0.0.0.0 192.168.6.241 По умолчанию
================================================== =========================

Машина (В)

IPv4 таблица маршрута
================================================== =========================
Активные маршруты:
Сетевой адрес Маска сети Адрес шлюза Интерфейс Метрика
0.0.0.0 0.0.0.0 172.16.1.20 172.16.3.130 266
127.0.0.0 255.0.0.0 On-link 127.0.0.1 306
127.0.0.1 255.255.255.255 On-link 127.0.0.1 306
127.255.255.255 255.255.255.255 On-link 127.0.0.1 306
172.16.0.0 255.255.0.0 On-link 172.16.3.130 266
172.16.3.130 255.255.255.255 On-link 172.16.3.130 266
172.16.255.255 255.255.255.255 On-link 172.16.3.130 266
172.26.10.0 255.255.255.0 172.27.10.7 172.27.10.1 20
172.27.10.0 255.255.255.0 On-link 172.27.10.1 276
172.27.10.1 255.255.255.255 On-link 172.27.10.1 276
172.27.10.255 255.255.255.255 On-link 172.27.10.1 276
224.0.0.0 240.0.0.0 On-link 127.0.0.1 306
224.0.0.0 240.0.0.0 On-link 172.27.10.1 276
224.0.0.0 240.0.0.0 On-link 172.16.3.130 266
255.255.255.255 255.255.255.255 On-link 127.0.0.1 306
255.255.255.255 255.255.255.255 On-link 172.27.10.1 276
255.255.255.255 255.255.255.255 On-link 172.16.3.130 266
================================================== =========================
Постоянные маршруты:
Сетевой адрес Маска Адрес шлюза Метрика
0.0.0.0 0.0.0.0 172.16.1.20 По умолчанию
0.0.0.0 0.0.0.0 172.16.1.20 256
================================================== =========================

трассировка из (В) подсетки в (А) - непосредственно на сервер (А)

C:\BIN>tracert 192.168.6.77

Трассировка маршрута к 192.168.6.77 с максимальным числом прыжков 30

1 * * * Превышен интервал ожидания для запроса.
2 * * * Превышен интервал ожидания для запроса.
3 * * * Превышен интервал ожидания для запроса.