VPN и маршрутизация

[Viktan]

Здрасте.

Ай хэв а проблем:
1) есть сеть с Керио и прямым выходом в инет (статический IP).
2) Есть комп вне сети с выходом в инет через PPPоE подключение (ADSL + router DLINK 2540U). От компа до керио создается VPN-подключение с помощью керио впнклиент.
3) Есть некий хост в инете (IP к примеру 66.66.66.66).

Задача: нужно чтобы комп (2) с хостом (3) общался, используя в качестве шлюза kerio. И весь трафик шел через Кирю.
(Наглядно в картинке =)

Наверно у меня попа вместо головы :weep: но решения я не нашел.
Дальше привожу IPconfig с компа и Керио.

(1) Керио

Настройка протокола IP для Windows
Имя компьютера . . . . . . . . . : 25-s3
Основной DNS-суффикс . . . . . . :xxxxxxxxxx.dv
Тип узла. . . . . . . . . . . . . : неизвестный
IP-маршрутизация включена . . . . : да
WINS-прокси включен . . . . . . . : да
Порядок просмотра суффиксов DNS . : xxxxxxxxxxx.dv
Lan - Ethernet адаптер:

DNS-суффикс этого подключения . . :
Описание . . . . . . . . . . . . : Atheros L2 Fast Ethernet 10/100 Base
-T Controller
Физический адрес. . . . . . . . . : 00-18-F3-0E-1A-0C
Dhcp включен. . . . . . . . . . . : нет
IP-адрес . . . . . . . . . . . . . . : 10.25.2.3
Маска подсети . . . . . . . . . . : 255.255.255.0
Основной шлюз . . . . . . . . . . :
DNS-серверы . . . . . . . . . . . : 10.25.2.2

Kerio VPN - Ethernet адаптер:

DNS-суффикс этого подключения . . :
Описание . . . . . . . . . . . . : Kerio VPN adapter
Физический адрес. . . . . . . . . : 44-45-53-54-86-D8
Dhcp включен. . . . . . . . . . . : да
Автонастройка включена . . . . . : да
IP-адрес . . . . . . . . . . . . : 172.27.39.1
Маска подсети . . . . . . . . . . : 255.255.255.0
IP-адрес . . . . . . . . . . . . : 169.254.4.177
Маска подсети . . . . . . . . . . : 255.255.255.0
Основной шлюз . . . . . . . . . . :
DHCP-сервер . . . . . . . . . . . : 169.254.4.176
NetBIOS через TCP/IP. . . . . . . : отключен
Аренда получена . . . . . . . . . : 15 августа 2008 г. 19:05:17
Аренда истекает . . . . . . . . . : 15 августа 2008 г. 19:08:17

Internet - Ethernet адаптер:

DNS-суффикс этого подключения . . :
Описание . . . . . . . . . . . . : CNet PRO200 PCI Fast Ethernet адапте
р
Физический адрес. . . . . . . . . : 00-08-A1-90-C1-77
Dhcp включен. . . . . . . . . . . : нет
IP-адрес . . . . . . . . . . . . : 92.50.*.*
Маска подсети . . . . . . . . . . : 255.255.255.240
Основной шлюз . . . . . . . . . . : 92.50.*.*
DNS-серверы . . . . . . . . . . . : 10.25.2.2
208.*.*.*
NetBIOS через TCP/IP. . . . . . . : отключен


(2) Комп
Windows IP Configuration

Host Name . . . . . . . . . . . . : guru
Primary Dns Suffix . . . . . . . :
Node Type . . . . . . . . . . . . : Unknown
IP Routing Enabled. . . . . . . . : No
WINS Proxy Enabled. . . . . . . . : No

Ethernet adapter Local Area Connection:

Connection-specific DNS Suffix . :
Description . . . . . . . . . . . : Marvell Yukon 88E8036 PCI-E Fast Eth
ernet Controller
Physical Address. . . . . . . . . : 00-04-61-A2-12-04
Dhcp Enabled. . . . . . . . . . . : No
IP Address. . . . . . . . . . . . : 192.168.1.2
Subnet Mask . . . . . . . . . . . : 255.255.255.0
Default Gateway . . . . . . . . . : 192.168.1.1
DNS Servers . . . . . . . . . . . : 212.122.1.2
192.168.1.1

Ethernet adapter Kerio VPN:

Connection-specific DNS Suffix . :
Description . . . . . . . . . . . : Kerio VPN adapter
Physical Address. . . . . . . . . : 44-45-53-54-8E-F0
Dhcp Enabled. . . . . . . . . . . : Yes
Autoconfiguration Enabled . . . . : Yes
IP Address. . . . . . . . . . . . : 172.27.39.2
Subnet Mask . . . . . . . . . . . : 255.255.255.0
IP Address. . . . . . . . . . . . : 169.254.101.153
Subnet Mask . . . . . . . . . . . : 255.255.255.0
Default Gateway . . . . . . . . . :
DHCP Server . . . . . . . . . . . : 169.254.101.152
DNS Servers . . . . . . . . . . . : 10.25.2.2
Lease Obtained. . . . . . . . . . : 15 августа 2008 г. 19:15:03
Lease Expires . . . . . . . . . . : 15 августа 2008 г. 19:18:03


Какую маршрутизацию на компе прописать и какие правила в керио настроить, если это вобще возможно?

[Alex71]

route add -p 66.66.66.66 mask 255.255.255.255 10.25.2.3 metric 1

Вместо 10.25.2.3 можно, так же попробовать 172.27.39.1, 172.27.39.2

Добавлено через 5 минут
ЗЫ на Керии ему должен быть разрешен выход в инет

[Viktan]

Пробовал все вышеперечисленное. При трассировке узла 66.66.66.66 все пакеты теряются сразу же на первом узле :/ Хотя прямой пинг указанных адресов идет без проблем.

У меня сложилось впечатление, что Керио не знает куда ему отсылать обратные пакеты...

[Alex71]

На первом узле где (не на всех роутерах разрешено отвечать на ICMP)?

Данный раут надо прописывать на том устройстве где поднимается ВПН (т.е. на компе вне сети).
+ попробовать обратиться к хосту в инете по IP (может разные ДНС по разному разрешают адреса)

Добавлено через 4 минуты
PS route print в студию

[Donkey]

ну и нах велосипед изобретать?
к компутеру (2) требуется доступ из вне? НЕТ? Тогда нахер лепить гору маршрутов.
Если у вас с Керио есть ВПН соединение, то достаточно прописать на этом компутере:
route add -p 66.66.66.66 mask 255.255.255.255 172.27.39.1
а на Керио сделать правило:
172.27.39.2 - 66.66.66.66 - Нужные порты - NAT

и все

[Viktan]

Вот это нормальный прямой трасерт:

Tracing route to 62.67.*.* over a maximum of 30 hops

1 2 8 ms 21 ms 14 ms vl-edge6.primorye.net.ru [10.1.1.6]
3 8 ms 8 ms 12 ms vl-core5-ge-0-1-6.primorye.net.ru [10.5.6.1]
4 7 ms 7 ms 7 ms vl-core4-ge-0-0-0.primorye.net.ru [10.4.5.1]
5 9 ms 7 ms 8 ms vl-bg36-fe-0-0.primorye.net.ru [10.4.0.2]
6 9 ms 7 ms 8 ms vlad-dsr0-ge0-1-101.rt-comm.ru
..........

После добавления маршрута:
C:\Documents and Settings\Administrator>route print
================================================== =========================
Interface List
0x1 ........................... MS TCP Loopback interface
0x2 ...00 04 61 a2 12 04 ...... Marvell Yukon 88E8036 PCI-E Fast Ethernet Contro
ller - Packet Scheduler Miniport
0x10004 ...44 45 53 54 8e f0 ...... Kerio VPN adapter
================================================== =========================
================================================== =========================
Active Routes:
Network Destination Netmask Gateway Interface Metric
0.0.0.0 0.0.0.0 192.168.1.1 192.168.1.2 20
10.25.2.0 255.255.255.0 172.27.39.1 169.254.101.153 1
10.77.18.0 255.255.255.0 172.27.39.1 169.254.101.153 1
62.67.*.* 255.255.255.255 172.27.39.1 169.254.101.153 1
81.151.30.224 255.255.255.255 192.168.1.1 192.168.1.2 20
81.151.84.7 255.255.255.255 192.168.1.1 192.168.1.2 20
81.151.84.180 255.255.255.255 192.168.1.1 192.168.1.2 20
81.155.153.5 255.255.255.255 192.168.1.1 192.168.1.2 20
81.220.184.132 255.255.255.255 192.168.1.1 192.168.1.2 20
82.140.114.130 255.255.255.255 192.168.1.1 192.168.1.2 20
85.30.223.129 255.255.255.255 192.168.1.1 192.168.1.2 20
86.148.187.155 255.255.255.255 192.168.1.1 192.168.1.2 20
86.148.187.238 255.255.255.255 192.168.1.1 192.168.1.2 20
92.50.*.* 255.255.255.255 192.168.1.1 192.168.1.2 1
127.0.0.0 255.0.0.0 127.0.0.1 127.0.0.1 1
169.254.101.0 255.255.255.0 169.254.101.153 169.254.101.153 20
169.254.101.153 255.255.255.255 127.0.0.1 127.0.0.1 20
169.254.255.255 255.255.255.255 169.254.101.153 169.254.101.153 20
172.27.39.0 255.255.255.0 172.27.39.2 169.254.101.153 20
172.27.39.2 255.255.255.255 127.0.0.1 127.0.0.1 20
172.27.255.255 255.255.255.255 169.254.101.153 169.254.101.153 20
192.168.1.0 255.255.255.0 192.168.1.2 192.168.1.2 20
192.168.1.2 255.255.255.255 127.0.0.1 127.0.0.1 20
192.168.1.255 255.255.255.255 192.168.1.2 192.168.1.2 20
212.33.28.18 255.255.255.255 172.27.39.1 169.254.101.153 1
213.107.84.81 255.255.255.255 192.168.1.1 192.168.1.2 20
224.0.0.0 240.0.0.0 169.254.101.153 169.254.101.153 20
224.0.0.0 240.0.0.0 192.168.1.2 192.168.1.2 20
255.255.255.255 255.255.255.255 169.254.101.153 169.254.101.153 1
255.255.255.255 255.255.255.255 192.168.1.2 192.168.1.2 1
Default Gateway: 192.168.1.1
================================================== =========================
Persistent Routes:
Network Address Netmask Gateway Address Metric
62.67.*.* 255.255.255.255 172.27.39.1 1

Трассировка:

Tracing route to 62.67.*.* over a maximum of 30 hops

1 * * * Request timed out.
2 ^C

Однако:

Pinging 172.27.39.1 with 32 bytes of data:

Reply from 172.27.39.1: bytes=32 time=13ms TTL=128
Reply from 172.27.39.1: bytes=32 time=21ms TTL=128
Reply from 172.27.39.1: bytes=32 time=13ms TTL=128
Reply from 172.27.39.1: bytes=32 time=10ms TTL=128

С остальными вариантами аналогично

> не на всех роутерах разрешено отвечать на ICMP
на Кире все разрешено

> Данный раут надо прописывать на том устройстве где поднимается ВПН (т.е. на компе вне сети).
> попробовать обратиться к хосту в инете по IP
Так и делаю.


З.Ы. Может надоть какой нить роут настроить на самой кере? :confused:

[Donkey]

Viktan, какой роут? Делайте как говорю и все будет

[Viktan]

To Donkey:

см. пост выше.
А вот скрин из Керио:

[Donkey]

Viktan,
У вас связь с Керио до 62.67.х.х есть?
Полностью правила Керио сюда выложите

[Viktan]

Цитата:

Сообщение от Donkey

Viktan,
У вас связь с Керио до 62.67.х.х есть?
Полностью правила Керио сюда выложите

Не совсем понял вопрос. Связь с керио конечно есть - между прочим впн работает=). И вобще прочитайте внимательней мой пост выше.

Опять же не понимаю чем смогут помочь остальные правила :rolleyes:, но, коли желаете:

[Alex71]

В логах керии по данному правилу, что пишет?
Пакеты на него приходят?
Если нет то керия не причем.

Добавлено через 5 минут
В первом правиле в источнике VPN client

[Viktan]

Может и не причем...
в логах тока сообщения типа
Kerio Administration Console Log
[16/Aug/2008 00:22:51] PERMIT "VPN" packet to Internet, proto:UDP, len:97, ip/port:92.50.*.*:4090 -> 77.35.*.*:3177, udplen:69
[16/Aug/2008 00:22:51] PERMIT "VPN" packet from Internet, proto:UDP, len:169, ip/port:77.35.*.*:3177 -> 92.50.*.*:4090, udplen:141
[16/Aug/2008 00:22:51] PERMIT "VPN" packet from Internet, proto:UDP, len:201, ip/port:77.35.*.*:3177 -> 92.50.*.*:4090, udplen:173
[16/Aug/2008 00:22:51] PERMIT "VPN" packet to Internet, proto:UDP, len:97, ip/port:92.50.*.*:4090 -> 77.35.*.*:3177, udplen:69
[16/Aug/2008 00:22:51] PERMIT "VPN" packet to Internet, proto:UDP, len:113, ip/port:92.50.*.*4090 -> 77.35.*.*:3177, udplen:85
[16/Aug/2008 00:22:51] PERMIT "VPN" packet from Internet, proto:UDP, len:129, ip/port:77.35.*.*:3177 -> 92.50.*.*:4090, udplen:101
[16/Aug/2008 00:22:52] PERMIT "VPN" packet from Internet, proto:UDP, len:113, ip/port:77.35.*.*:3177 -> 92.50.*.*:4090, udplen:85
[16/Aug/2008 00:22:52] PERMIT "VPN" packet to Internet, proto:UDP, len:97, ip/port:92.50.*.*:4090 -> 77.35.*.*:3177, udplen:69
[16/Aug/2008 00:22:52] PERMIT "VPN" packet from Internet, proto:UDP, len:153, ip/port:77.35.*.*:3177 -> 92.50.*.*:4090, udplen:125
[16/Aug/2008 00:22:52] PERMIT "VPN" packet to Internet, proto:UDP, len:177, ip/port:92.50.*.*:4090 -> 77.35.*.*:3177, udplen:149

щас я в кере по RDP ковырясь)

Добавлено через 3 минуты

Цитата

Сообщение от Alex71

В первом правиле в источнике VPN client

Да было там уже все: и впн-клиент и все три мои ip адреса, включая локальный; причем что в соурсе, что в дестинейшене. Но пока как в танке .

Добавлено через 18 минут
Включил протоколирование всех правил. Пинги проходят в "локал трафике" (чего собстна и следовало ожидать). При трассировке ничего нового в логе нет. Видимо пакет не доходит даже до керио...


Причем думается мне, что даже и не уходит с моего компа

[Babah22]

Viktan, прочтите правила вслух по порядку чтобы было понятно Вам в первую очередь и нам во вторую как Вы их понимаете. Словами пожалуйста. Сюда.

[Donkey]

Viktan, у первую очередь вы добиваетесь соединения с 62.67.х.х
Потом вы добиваетесь работы ВПН сетки 172.
Далее вы прописываете маршрут на 2 ПК и правило в Керио
И все у вас пойдет.
Главное проверьте эти цепочки по очередно.

[Viktan]

Цитата:

Сообщение от Babah22

Viktan, прочтите правила вслух по порядку чтобы было понятно Вам в первую очередь и нам во вторую как Вы их понимаете. Словами пожалуйста. Сюда.

1. - [Test]: Пытаюсь сделать то, очем писал в первом посте
2.- [Local Trafic]: Правило для локалки, группы Владивосток и Москва это две подсети, объединенные железным маршрутизатором.
3. - [VPN] Правило для впн подключений
4. - [SMTP и POP] Доступ к корпоративной почте.
5. - [Firewall Traffic] - Трафик фаервола
6. - [Web] - Доступ юзеров к сети
7. - [ICMP] - ICMP трафик.

Добавлено через 11 минут
Donkey
> у первую очередь вы добиваетесь соединения с 62.67.х.х
Соединение есть. что с компа, что с Керио.

> Потом вы добиваетесь работы ВПН сетки 172.
впн работает, подключаюсь к керио через RDP.

> Далее вы прописываете маршрут на 2 ПК и правило в Керио
Прописал

> И все у вас пойдет.
> Главное проверьте эти цепочки по очередно.
Не идет.
после последней фазы трасерт с компа делает вот так:
Tracing route to 62.67.*.* over a maximum of 30 hops

1 * * * Request timed out.
2 ^C

трасерт с керио работает.

[Babah22]

Viktan, ну как прочли - так и настраивайте теперь )))) 0 знаний ))))
2 правило косячное, в 5ом кое чего не хватает. Ну а отсюда головная боль и прыжки с бубном. Прыгайте сильнее и выше. РТФМ.
Не всегда краткость сестра таланта ))))

[Donkey]

Viktan, ельки мотальки, а с чего у вас будет трасерт когда вы разрешили на выход только порт 3724 в керио - а трасерт это ICMP
Тем более вы говорите что у вас все есть. Т.е. на 62 вы попадаете как вам нужно? Так в чем еще проблемма?

[Viktan]

Babah22

Цитата:

Сообщение от Babah22

2 правило косячное, в 5ом кое чего не хватает.

А с этого места чуть чуть поподробнее,если можно.

Donkey

Цитата:

Сообщение от Donkey

а с чего у вас будет трасерт когда вы разрешили на выход только порт 3724 в керио

Во время трасерта в керио разрешены все протоколы. Моя цель чтобы шел трафик приложения. А он не идет.

[Donkey]

Viktan, поставьте вместо 172 в керио учетку ВПН-юзера которым вы с машины (2) заходите

[Babah22]

Viktan, 2ое правило - не понял зачем нужены - Москва Владивосток, если маршрутизацией занимаетца железный конь, лишнее абсолютно, хотя не знаю как прописана у вас маршрутизация в железе. Далее а где сообственно обработчик ВПН соединений, сам ВПН сервер или ВЫ думаете что оно там как нить само....
Пардон не 5ое, а 6ое. В 6ом - а де ВПН клиенты, которых вы выпускаете в инет?