Как "ходить" из одного VPN-туннеля в другой

[TransCosmio]

Всем бобра!

Вводные данные:
Есть "центр" и 3 "филиала".
В "центре" хорошо трудится KC 9.1.4 build 1535, в филиалах тоже хорошо пашут Zyxel Keenetic Lite III.
Каждый филиал связан с центром IPSec VPN-туннелем (всего 3 туннеля пока).
Доступ из центра до филиалов - работает.
Доступ из филиалов до центра - работает.
Доступ из филиала X в филиал Y - НЕ работает.

Вопрос:
А это вообще в данной конфигурации возможно, чтобы филиалы видели друг друга?

[HOG]

TransCosmio, пиши маршрутизацию в обоих филиалах для прямых и обратных маршрутов. Будет работать.

[TransCosmio]

HOG, вот я тоже за маршрутизацию и подумал. Только опыта у меня в этом деле - хрен, да маленько. Если дам вводные данные подробные, сможете помочь?

[naliman]

Цитата

Сообщение от TransCosmio

Доступ из центра до филиалов - работает.
Доступ из филиалов до центра - работает.
Доступ из филиала X в филиал Y - НЕ работает.

трассировку из одного филиала в другой покажи

[HOG]

Запросто. Пиши внутреннюю адресацию всех сетей.

[HOG]

naliman, Жень, у него один филиал не знает о существовании другого. Нужен маршрут из каждой сети в каждую сеть через ЦО. Я такое делал, только на 260 длинках и цисках.

[TransCosmio]

naliman,

Вводные такие:

Центр - локалка 192.168.1.0/24
Филиал А- локалка 192.168.2.0/24
Филиал Б - локалка 192.168.3.0/24
Филиал В - локалка 192.168.4.0/24

На скрине трасировка из А в Б

То-есть пакеты идут не по туннелю, а уходят в интернет.

[HOG]

TransCosmio, адресация шлюзов??

[TransCosmio]

HOG, в смысле - показать маршруты шлюзов?

[HOG]

TransCosmio, я просил указать адреса шлюзов каждой из сетей, а не имеющиеся на шлюзах маршруты. Адреса. Понимаешь??

Цитата

Сообщение от TransCosmio

пакеты идут не по туннелю, а уходят в интернет

естественно, ибо маршрут конкретно не указан, соответственно используется дефолтный, то есть 0.0.0.0 mask 0.0.0.0 gate X.X.X.X (ибо ты вот эти самые Х,Х,Х,Х до сих пор не написал здесь).

[TransCosmio]

Цитата:

Сообщение от HOG

Адреса. Понимаешь??

Понял.
Ограничимся 2-мя филиалами.

Центр - локалка 192.168.1.0/24 шлюз - 192.168.1.9
Филиал А - локалка 192.168.2.0/24 шлюз - 192.168.2.1
Филиал Б - локалка 192.168.3.0/24 шлюз - 192.168.3.1

Я прекрасно понимаю, что нужно прописать маршруты. Я даже чуток понимаю логику их построения. Но я совершенно не понимаю логику построения маршрутов через туннели. Поэтому буду рад и благодарен любым идеям по освоению этого понимания

[Semen]

TransCosmio, в филиале А на зукселе 192.168.3.0 mask 255.255.255.0 gate 192.168.1.9
Маршрут из филиала А в Б

[TransCosmio]

Цитата:

Сообщение от Semen

192.168.3.0 mask 255.255.255.0 gate 192.168.1.9
Маршрут из филиала А в Б

Это самое первое, что я пробовал - не работает.

[Semen]

TransCosmio, "На скрине трасировка из А в Б" скрин с маршрутом?

[HOG]

TransCosmio, А ты как думал что филиал, куда ты хотел попасть тебе должен вернуть пакеты назад?? Обратный маршрут тебе кто должен создать??

[TransCosmio]

Значит так:

В филиале А на маршрутизаторе 192.168.2.1 прописал маршрут:
192.168.3.0/24 192.168.1.9

В филиале Б на маршрутизаторе 192.168.3.1 прописал маршрут:
192.168.2.0/24 192.168.1.9

Возможности сделать трассировку из одного филиала в другой нет - в этих сетях нет свободных хостов, которые умеют ее делать.

Но по идее, при таких маршрутах, один шлюз должен видеть уже другой шлюз, и спокойно пинговать. Но этого не происходит - ответов не приходит.

Добавлено через 39 минут
О! Нашел, как из самого кинетика делать трассировку:

(tools)> traceroute 192.168.3.100
starting traceroute to 192.168.3.100...
traceroute to 192.168.3.100 (192.168.3.100), 30 hops maximum, 60 byte packets.
1 host-93-92-216-217.academ.org (93.92.216.217) 1.283 ms 1.715 ms 1.059 ms
2 193.238.130.70.sta.211.ru (193.238.130.70) 1.136 ms 1.127 ms 1.059 ms
3 l-gw2-j2-summit30.nsk.sibset.net (89.189.190.189) 0.925 ms 0.916 ms 0.883 ms
4 n9-i0.nsk.sibset.net (89.189.190.206) 1.457 ms 1.242 ms 1.297 ms
5 * * *
6 * * *
7 * * *
(tools)>

[naliman]

Цитата

Сообщение от TransCosmio

192.168.1.9

это кто?
подозреваю - керио
правила где?

[TransCosmio]

Цитата:

Сообщение от Semen

"На скрине трасировка из А в Б" скрин с маршрутом?

Да, с маршрутом.

Цитата:

Сообщение от naliman

правила где?

А не нужны правила, Керио тут вообще ни при чем. В Зикселях маршрут не добавляется, во как.

Делаем на маршрутизаторе А:

(config)> ip route 192.168.3.0/24 192.168.1.9 auto
Network::RoutingTable: Added static route: 192.168.3.0/24 via 192.168.1.9.

Потом делаем:
(config)> show ip route
================================================== ==============================
Destination Gateway Interface Metric
================================================== ==============================
0.0.0.0/0 93.92.216.217 ISP 0
10.1.30.0/24 0.0.0.0 Guest 0
93.92.216.216/30 0.0.0.0 ISP 0
192.168.2.0/24 0.0.0.0 Home 0

Опаньки! А маршрута то нету! И вообще я начинаю смутно подозревать, что жто правильно, что нету. Это ж вроде фундаментальный принцип - все, адресованное хрен-пойми-кому, кидать шлюзу по умолчанию. А в данном случае шлюз по умолчанию вовсе не Керио.

У меня уже голова пухнуть начала от объемов прочитанной сегодня инфы.

Добавлено через 20 минут
У меня появилось смутное предположение, что надо делать 192.168.1.9 шлюзом по умолчанию. Но тогда на него пойдет весь трафик, в том числе и интернетный, а этого очень не хотелось бы делать.

[naliman]

зюксели какие то адреса получают когда поднимают ипсек-тоннели?
на эти адреса наверное и надо маршрут указывать

[TransCosmio]

Цитата:

Сообщение от naliman

зюксели какие то адреса получают когда поднимают ипсек-тоннели?

Нет, они (и КС тоже) никаких дополнительных адресов не получают.