Настройка vpn сервера с нуля

Здравствуйте знатоки и не только .
Когда использовал Kerio как шлюз и firewall ( в офисной сети ) .

Сейчас совершенно случайно мне поставили такую задачу из одного офиса подключить 4 машины ( 3ПК - win7х32 и 1 хрюша*32) к компу в другом офисе ( на другом краю стоит win 8.1 х32 сетевая одна +openvpn ).... оба офиса подключены через adsl модемы.
----------------------
Попробовал поискать мануалы по подключению и настройке на виртуальной машине ( ну чтобы так сказать пощупать ) и не получается даже авторизироваться.
у меня версия установленная kerio winrout firewall 6,5,2
Я не прошу сделать чудо ( хотя если цена будет доступная готов отблагодарить в пределах разумного ).
============================
Вообщем инструкция нужна под эту версию( если это видео будет просто супер ) .
Или спец который возьмётся сделать удалённо.

[exchar]

что конкретно понимается под "+openvpn"?
"установленная kerio winrout firewall 6,5,2" - где? как она используется?

Под openVpn я подразумевают именно программу OPenVPn (клиент ) она уже работает и настроена Другими товарищами ... мне бы нарыть мануал ( с картинками или видео ) к 6 версии уже всё потеряно

Цитата

Сообщение от exchar

что конкретно понимается под "+openvpn"?
"установленная kerio winrout firewall 6,5,2" - где? как она используется?

Kerio попытался поднять дома на обычном ноуте и виртуалке не получилось . физически Планирую kerio ставить на Комп где установлена winda 8.1 цель и причина такого решения нужно из другого офиса доступ к базе данных всего лишь одной программы( которая крутится на жарптице) .

[exchar]

Цитата

Сообщение от roman457

мне бы нарыть мануал ( с картинками или видео ) к 6 версии уже всё потеряно

Дык тут он. В [Для просмотра данной ссылки нужно зарегистрироваться], в [Для просмотра данной ссылки нужно зарегистрироваться].

Цитата

Сообщение от roman457

Планирую kerio ставить на Комп где установлена winda 8.1 цель и причина такого решения нужно из другого офиса доступ к базе данных всего лишь одной программы( которая крутится на жарптице) .

Виртуальная машина с vpn-сервером на компе пользователя, которая прокидывает соединения на хост-систему пользовательскую же.
Костыль-way.

Всё я понял что я Вас добрый человек запутал .
------------------ ---------------------------------------
Сейчас есть Ноутбук на котором установлен виртуальная машинка с win7
Все как по правилам выложу завтра с утричка скрины, но если честно или я какой-то очевидной вещи не знаю или хз , мануалы как их пишут умники не работают. в настройках всё просто . создал правило поднял сервер настроил ip ,пользователя ( или оставил что предложило kerio из ip vpn сервера создал пользователя с возможностью подключаться к vpn серверу.) Лично у меня куча вопросов с сертификатами авторизацией , но про это всё авторы мануалов мистически умалчивают.
1) нужен ли стат ip
2) клиент коннектится к какому ip который в белый или VPN server Kerio
3) куда положить отпечаток сертификата , если в версии 6,5,2 нет возможности подгрузить на клиенте .
4) если у меня Vpn тунели в роутере открыты нужно л пробрасывать пор или нет .
и так далее ...
На вопросы можно не отвечать они всей картины не решат .

Может быть кто-то в скайпе объяснит базовые моменты, потому что я вроде бы и много читал про это дело , но в голове уже каша как не крути .

Добавлено через 9 часов 39 минут
Меня смущает тот факт что kerio нужны две сетевые карты иначе он бесполезен ? или я ошибаюсь?

[exchar]

А все же, почему именно ancient technology версия 6.5.2? Она была легально куплена при царе горохе или в чем-то другом дело?

Цитата

Сообщение от roman457

в настройках всё просто . создал правило поднял сервер настроил ip ,пользователя ( или оставил что предложило kerio из ip vpn сервера создал пользователя с возможностью подключаться к vpn серверу.)

внезапне, да, так и есть =)

Цитата

Сообщение от roman457

Лично у меня куча вопросов с сертификатами авторизацией , но про это всё авторы мануалов мистически умалчивают.

для 6.Х.Х если соединяем два kwf туннелем было как-то так:
На сервере автоматом генерится самоподписанный сертификат у сертификата есть отпечаток-хэш. На кленте аналогично серт и отпечаток. При первом соединении клиента с сервером и создании туннеля:
а) если мы смотрим на сервере, то сервер показывает отпечаток ломящегося на него клиента и просит сверить, мы соглашаемся
б) если мы смотрим на клиенте, то он показывает отпечаток хэша сервера, куда ломится и просит аналогично сверить
т.е. последовательность действий такая:
- берем отпечатки клиента и сервера
- делаем на сервере туннель с зараранее вручную указанным отпечатком клиента, добавляем туннель в правила
- добираемся до клиента, там делаем туннель до сервера, добавляем в правила
- должно все работать

если же соединяем kwf с персональным vpn-клиентом, (а это ваш случай) то там все еще проще было. На kwf выставляется в настройках vpn-сервера сеть, отличная от вашей локальной сети (хотя может и по умолчанию встает, не помню) затем пишем правила, в настройках нужных пользователей указываем, что они могут подключаться через vpn, далее на точках откуда они будут лезть, ставим vpn-клиент, указываем белый ip сервера, логин и пароль. При первом подключении пользователю предъявят отпечаток сертификата сервера и спросят, мол нет ли в округе какого похожего =)

Цитата

Сообщение от roman457

1) нужен ли стат ip
2) клиент коннектится к какому ip который в белый или VPN server Kerio
3) куда положить отпечаток сертификата , если в версии 6,5,2 нет возможности подгрузить на клиенте .
4) если у меня Vpn тунели в роутере открыты нужно л пробрасывать пор или нет .
и так далее ...

1) конечно
2) к белому от провайдера
3) выше ответил
4) хз что у тебя в роутере открыто, настройки с него нужны конкретные =)

Цитата

Сообщение от roman457

На вопросы можно не отвечать они всей картины не решат .

Правильно, потому что держать БД на пользовательском компе и накидывать туда все больше удаленных подключений - вопрос совсем другого плана.

Цитата

Сообщение от roman457

Меня смущает тот факт что kerio нужны две сетевые карты иначе он бесполезен ? или я ошибаюсь?

Нужны для NAT. С одной сетевой картой его не используют, т.к. он несколько не для этого. )

Спасибо за развёрнутый ответ:
Пошёл переделывать.
6 версия из-за более старого знакомства .
НО уже торентом скачал 8 версию .( правда не ставил ) .
Что Вы могли бы порекомендовать ? нужен только VPN сервер (может в перспективе переделаю сеть" не моё хозяйство"). если поставится такая задача.

[exchar]

разве что поднять openvpn, например по [Для просмотра данной ссылки нужно зарегистрироваться] мануалу.

я, правда, openvpn не пользуюсь т.к. у нас в основном vpn через CheckPoint софтблейды.

Что касательно openVPn пообщавшись на форуме с знатоками и людьми которые до меня ставили Клиента сказали что в среде windows это не реализовать , а unix ставить это отправить пользователя (Буха) в дурку ... она с win 8 шепотом из под стола общается. я попробовал поднять и настроить Рядышком с клиентом сервер , но сразу же наткнулся на то что Сетевой адаптер нумеруется по разному , а из реестра видимо ссылается к клиентской или той которая была записана первой. ( при условии разных путей и версий. вообщем разработчики молодцы , но win - платформа чуть чуть не доработана ....
-

Добавлено через 11 минут

Цитата

Сообщение от exchar

у нас в основном vpn через CheckPoint софтблейды.

А этот продукт он сколько стоит ? я как-то не смог увидеть на оф. сайте стоимость . ( он по принцыпу хамачи работает )?

Добавлено через 35 минут
Ну этот вариант скажем так достаточно дорогой и решили делать это программным путём так выходит как им (заказчикам)кажется дешевле .

Как говорил мой покойный отец . с дуру можно и х** сломать ... перепробовал ещё пару старинных древних простых vpn ов на базе самой ОС, как бы это упоительно не звучало вернулся опять к Kerio ? ну меня прям манит в эту среду . проблема крылась в кривости рук не то моих не то прошивки роутера ( включение портов в роутере для VPN не открыло доступ , пришлось дублировать проброску портов ручками .) и тут пропустил вставку отпечатка . ( теперь логи матерятся на авторизацию ) пойду поищу решения этой проблемы.

Добавлено через 38 минут
Уважаемый мой собеседник остался только один вопрос которому я не нашёл объяснения.
Долгое время я не мог подобрать сертификат при авторизации выдавало какую-то чушь о том что сервер не совпадает ( пробовал писать ip название бравшие из kerio и т.д. ) . вышел из ситуации примерно так взял часть отпечатка и на основании этого сгенерил новый сертификат . только тогда клиент прошёл авторизацию по сертификату, что ему раньше не нравилось в названии сертификата ( лишком короткое или слишком простое наименование). просто чтобы знать на будущее. вдруг прейдётся когда-то вернуться к этому методу . Отдельное Спасибо за терпение ответы и поддержку . ( где тут сказать спасибо . ) ...

[exchar]

Ну, хорошо что всё (вроде) получилось.
Да, с названием сертификата в 6 версии как-то была проблемка, но это было... лет восемь назад! Тоже решалось перегенерацией.
Про CheckPoint сказал просто для сведения - сами железки с обвязкой стоят как сортир от боинга.
Кнопки "спасибо" тут нет, да и, наверное, к лучшему. )

Актуальная для меня тема на данный момент.
Есть серв с керио 8.5.0 build 3127
Тестирую работу vpn. Столкнулся с проблемой, что впн клиент ни в какую не хочет цепляться к серверу.
настройки впн интерфейса
1.[Для просмотра данной ссылки нужно зарегистрироваться]
2.[Для просмотра данной ссылки нужно зарегистрироваться]
3. [Для просмотра данной ссылки нужно зарегистрироваться]
ТП
[Для просмотра данной ссылки нужно зарегистрироваться]
Ошибка, вылетающая, при попытке соединиться с сервером
[Для просмотра данной ссылки нужно зарегистрироваться]
дебаг впн клиента
[Для просмотра данной ссылки нужно зарегистрироваться]
еррор впн клиента:
[27/Mar/2015 21:07:56] libVPN: Authentication failed(161)
время на пк с керио, на КД, на хосте совпадает.
У меня подозрения, что какая-то проблема с сертификатом, но вот как правильно его задать понять не могу.
К примеру ставлю сертификат дефолтный. Соединяюсь. Вылетает табличка, что сертификат не проверен и т.д... жму принять-вылетает ошибка аутентификации.
Пробовал добавлять пользователя и в АД и в лок.базу керио.
в АД юзер в группе "пользователи домена", под логины для впн клиента в АД создано отдельное подразделение. Никаких ограничивающих политик на подразделение не применяется.
В админке керио, в разделе "пользователи" сам пользователь настроен так:
общие-"этот юзер имеет отдельную конфигурацию"
группы-"пользователи домена"
права-"нед доступа к админке"."пользователи могут присоединяться через впн"
далее все по умолчанию.
В параметрах безопасности блокировка IP не назначенных адресов сервером DHCP отключена.
Пробовал и сам создавать новый сертификат:
"свойства впн-сервера"-керио впн-правка-добавить новый сертификат-
[Для просмотра данной ссылки нужно зарегистрироваться].
Ставлю этот новый сертификат, жму соединиться, появляется окошко:
[Для просмотра данной ссылки нужно зарегистрироваться]
Жму да...проходит несколько секунд иии, тадаааммммм: Сбой аутентификации.
Комрады, прошу помощи\совета.
//add
Имя, указанное в сертификате, не совпадает с именем сервера, м.б. в этом проблема? Но вот как правильно это имя задать то...

[exchar]

а security log и error log что во время этого нам покажут?

попробуй сначала с пользователем из локальной базы control и простейшим цифровы паролем.

Цитата

Сообщение от exchar

а security log и error log что во время этого нам покажут?

попробуй сначала с пользователем из локальной базы control и простейшим цифровы паролем.

security говорит
[27/Mar/2015 21:07:20] Authentication: VPN Client: Client: мой IP: Invalid password for NT/Kerberos user testvpn
[27/Mar/2015 21:26:14] Authentication: VPN Client: Client: мой IP: Invalid password for NT/Kerberos user testvpn
это я пару раз пароль ошибочно вводил для логина на вебморду
error log говорит:
[27/Mar/2015 09:00:01] (2) Unable to activate Kerio Control Web Filter: Server returned 403. Categorization will not work.
[27/Mar/2015 13:00:02] (2) Unable to activate Kerio Control Web Filter: Server returned 403. Categorization will not work.
[27/Mar/2015 17:00:07] (2) Unable to activate Kerio Control Web Filter: Server returned 403. Categorization will not work.
[27/Mar/2015 17:37:51] Unable to find VPN server certificate.
[27/Mar/2015 21:00:11] (2) Unable to activate Kerio Control Web Filter: Server returned 403. Categorization will not work.
это на сервере, хотя подумал, что еще такое есть в клиенте, сейчас посмотрю...
в клиенте подобных логов не нашел, сейчас попробую подцепиться под юзером с лок.базы керио
появилась другая ошибка:
[Для просмотра данной ссылки нужно зарегистрироваться]
по началу не придал этому значение, видимо зря.

Добавлено через 2 минуты
О чудо!
Добавил в ТП, в правило VPNservice порт "UDP [номер моего порта]"
VPN клиент подцепился.
Но тут появляются следующие вопросы:
Почему под учеткой АД нет авторизации, и куда копать.
Почему под лок.учеткой керио нужен UDP порт.. - частично этот вопрос отпал.

[exchar]

Цитата:

Сообщение от panicz

Добавил в ТП, в правило VPNservice порт "UDP [номер моего порта]"VPN клиент подцепился.
Почему под лок.учеткой керио нужен UDP порт..

А по стандартному порту службы "kerio vpn" коннектиться не судьба? (и разрешить входящие подключения по ней к фаеру в ТП)

Цитата:

Сообщение от panicz

Почему под учеткой АД нет авторизации, и куда копать.

копать опции к debug.log

Цитата

Сообщение от exchar

А по стандартному порту службы "kerio vpn" коннектиться не судьба? (и разрешить входящие подключения по ней к фаеру в ТП)

Если бы мог, оставил бы стандартный порт. В ТП входящие на подкл. к фаеру разрешены.
Ну чтож спб. Буду разбираться с авторизацией АД, надо все таки понять.

[exchar]

Цитата:

Сообщение от panicz

Буду разбираться с авторизацией АД, надо все таки понять.

На форуме были темы по связке с ad.
Я как-то обходился локальной базой по разным причинам.

[EnMan]

Цитата:

Сообщение от panicz

У меня подозрения, что какая-то проблема с сертификатом, но вот как правильно его задать понять не могу.

Нет. Уведомление всего лишь говорит о том, что сертификат является самоподписанным и ему не доверяют корневые центры сертификации и это нормально. Сертификат необходимо принять.

Цитата:

Сообщение от panicz

в клиенте подобных логов не нашел

Они пишутся в обычный текст в папку с клиентом

Цитата:

Сообщение от panicz

появилась другая ошибка:

На вход необходимо разрешать и TCP и UDP (в твоем случае я бы просто поправил номера портов в сервисах). Также проблемы при тунелировании могут быть обусловлены наличием Kaspersky Internet Security всех версий или Kaspersky Antivirus (последней версии) на клиенте.

Цитата:

Сообщение от panicz

Буду разбираться с авторизацией АД, надо все таки понять

Камарад, хуле там понимать. Для того, что бы она работала нужно выполнить совсем немного обязательных условий:
1. Kerio Control должен быть членом домена и проблем со связанным доменом быть не должно
2. В свойствах пользователя или группы в которую входит пользователь должно быть указано, что разрешено подключаться по VPN.
3. Пароль и логин пользователя в клиенте должны быть указаны верно.

И все будет в елочку

Цитата:

Сообщение от EnMan

Камарад, хуле там понимать. Для того, что бы она работала нужно выполнить совсем немного обязательных условий:
1. Kerio Control должен быть членом домена и проблем со связанным доменом быть не должно
2. В свойствах пользователя или группы в которую входит пользователь должно быть указано, что разрешено подключаться по VPN.
3. Пароль и логин пользователя в клиенте должны быть указаны верно.

И все будет в елочку

1. керио член домена
2. это указано
3. указаны верно.
Один хрен ошибка аутентификации.
Хотя когда завел юзера в лок.базе керио проблема с аутентификацие исчезла.