» VPN: вся информация в этой теме

Попытался настроить VPN между двумя устройствами. Выдает такой лог:

6 Send:[NOTFY:NO_PROP_CHOSEN] 80.204.227.219 80.204.227.220 IKE
5 !! No proposal chosen 80.204.227.220 80.204.227.219 IKE
4 Rule [1] Phase 1 key group mismatch 80.204.227.220 80.204.227.219 IKE
3 Recv:[SA][VID][VID][VID] 80.204.227.220 80.204.227.219 IKE
2 Recv Main Mode request from [80.204.227.220] 80.204.227.220 80.204.227.219 IKE
1 Rule [1] Receiving IKE request 80.204.227.220 80.204.227.219 IKE

Этот лог выдал мне Zyxel 662H, на другой стороне стоит за Zyxel 660H (NAT всё перенаправляет на фаерволл) Netscreen 5GT, он выдает следующее:

2 info IKE<80.204.227.219> Phase 1: Retransmission limit has been reached.
1 info IKE<192.168.4.1> >> <80.204.227.219> Phase 1: Initiated negotiations in main mode.

Что это всё по хорошему означает ?

И еще вопрос - как на 662Н прописать маршрутизацию VPN ?

zzzolegzzz

маловато информации, а вообще у зайксель очень неплохой саппорт, позвони подскажут. Я просто нат поднял, он VPN и ретранслирует.

ситуация такая
провайдер предоставляет доступ в инет через VPN соединение .
следовательно когда я хочу войти на свой рабочий сервер (тож VPN) получается VPN в VPN.соеденяеться но ничаго не работает
ни пинг не проходит? ничаго .
в тех потд. мне ответ очень понравился .
Всё работает . у нас половино клиентов так работает но мы не знаем как делать .
только можем сказать что нужно включить какуюто службу
я в восторге .

MrWoot
молодец исправился
а теперь давай уточним, какой тип ВПН используется? стоит ли на гейте у тебя файрвол, есть ли файрвол у них, можно ли попробовать альтернативные клиенты впн типа Опен ВПН он не использует никаких спец протоколов типа GRE которые могут резаться или конфликтовать


Добавлено:
какие системы на гейтах у тебя и у прова? используется ли штатный впн клиент, если это виндовс

wchik
до провайдера стоит обычный штатный клиент .
без шифрования . всё открыто .
мой сервак поднять на 2003. пробовал от соседа у него обычный стРим, с него лезет и рабочую подсеть всю видит. принёс домой ноут . залез в инет через момед , тожа лезет. с домашней сети лезет,тоесть конектиться к серваку но с рабочей подсетью работать нехочеть .

думаю в ХР есть какаято фича какое VPN считать рабочим или что то типо таго (((

Подожди нарисуй схему что где работает
если я правильно понимаю у тебя ДОМА коннект к инету через ВПН
На работе гейтом стоит 2003? и коннект к инету прямой
Если ты коннектишься с любой машины через ВПН к 2003 то можешь видеть рабочую сеть
Если коннектишься с домашней, то соединение устанавливается, но рабочую сеть ты не видишь?
А ресурсы сервака? папки там?

Если все так как я понял то, причем тут ВПН? соединение установлено? - установлено, ВПН работает
то что ты не видишь рабочую сеть проблемы маршрутизации, а не ВПН.
А для того чтобы решить проблему с маршрутизацией
для начала попробуй поставить в настройках ВПН соединения в твоей домашней тачке в адвансед настройках галочку использовать шлюз по умолчанию.

опс, вот она у тебя уже стоит такая галка в твоем соединении с провом, а две одновременно ты поставить не можешь , а у прова ее снимать нельзя!
при создании нового ВПН соединения эта галка обычно стоит по умолчанию, потому ты легко коннектился с машин где ВПН не стоял, а у тебя второе соединение потому оно создавалось без галки два шлюза по умолчанию быть не может.

значит придется учить команду route
route.exe add 192.168.0.0 mask 255.255.255.0 192.168.1.2
где 192.168.0.0 твоя рабочая сеть
mask 255.255.255.0 маска в твоей рабочей сети
192.168.1.2 - ип адрес выданный тебе ТВОИМ ВПН сервером (не прововским)
у небя адреса конечно могут отличаться.

Цитата:

Подожди нарисуй схему что где работает
если я правильно понимаю у тебя ДОМА коннект к инету через ВПН
На работе гейтом стоит 2003? и коннект к инету прямой
Если ты коннектишься с любой машины через ВПН к 2003 то можешь видеть рабочую сеть
Если коннектишься с домашней, то соединение устанавливается, но рабочую сеть ты не видишь?

Это всё верно

Цитата:

А ресурсы сервака? папки там?

а вот этого и нету совсем

ща попробую отпишусь

OpenVPN 2:
Здравствуйте! Мне необходимо соединить две локальные сети с одинаковым адресным пространством (типа 192.168.0.0 255.255.255.0) vpn туннелем. Возможно не меняя адресного пространства одной из сетей настроить туннель таким образом, чтобы для каждой из сетей друга была видна с другим адресным пространством (например комп с адресом 192.168.0.10, из другой сети был виден под адресом 192.168.1.10)? Возможно это реализовать или нет?

VPN поднят на линуксовом серваке, на том же серваке поднят и проксик. Есть 2 логина для подключения к VPN (айпи выдается на логин).

Проблема: оба логина не могут попасть на некоторые сайты в интернете (microsoft.com, forum.ru-board.com и т.д.), но на большинство попадают.

Рассмотрим детальнее:
1) Пользователь А сидит на компе с ОС виндовс 2003 Ентерпрайз (рус) со встроенным СП1. Настраивает на себе клиента VPN, подключение проходит успешно, в интернет выход есть, но на некоторые сайты не может попасть.
2) Пользователь Б сидит на компе с ОС виндовс ХР (рус). Ситуация аналогичная с пользователем А.

Заходим на любой другой компьютер в сети, например с ОС виндовс 2000 сервер с СП4, настраиваем VPN-подключение и вуаля, на все сайты есть доступ, в том числе и на microsoft.com.

Думал может проблема в ОС, мол разные протоколы у ХРю и 2003, в отличие от 2000; законектился терминалом на другой комп, где установлена винда 2003 ентерпрайз (англ), настраиваю на ней VPN-подключение - и тут тоже все работает прекрасно, и пускает на все сайты.

Через ipconfig /all сравниваю сетевые настройки на этих компьютерах - настройки идентичны, разница только в ИП компьютера, за которым работаешь, что и должно быть.

Показывает админ настройки VPN-подключений для логинов - я в линуксе не шарю, но строчки для всех юзеров одинаковые, разница только в айпишка, к-рые выдаются тому, кто подключается к VPN, т.е. это вроде тоже нормально...

Так что же тогда не так? Куда смотреть? Админ кричит что это проблемы с вашими компьютерами, а я логически ему доказываю, что это не так. Почему? А вот почему:
- как я уже говорил, VPN и прокса находится на одном и том же сервере, если я отключаю VPN-соединение и включаю проксу, то я могу через нее попадать на те сайты, на которые не могу со своей же машины попасть через VPN. Значит, если бы проблема была с моей машиной, то я бы не смог попасть и через проксу на те сайты, ведь логично же?

Может это VPN криво настроен, или VPN глючит под этими ОС, или может какую службу нужно остановить, а?

А может у админа какие фильтры есть, про которые он забыл ?

Xrobak
Попробуй команду tracert microsoft.com
и т.п., это трассировка маршрута до сервера, может показать где происходит затык... Может что то со службой DNS не так?
Что она говорит на VPN под 2000 и VPN под XP?

Цитата:

А может у админа какие фильтры есть, про которые он забыл ?

все может быть, только как я ему скажу? Может у вас фильтры какие есть, на что он сразу заорет у меня все нормально, это проблемы с твоей машиной... Проще общаться, когда хоть знаешь что и как называется, тогда из тебя будет не так просто сделать идиота...

Цитата:

Попробуй команду tracert microsoft.com

на данный момент могу сделать трасерт только на вин2003, завтра смогу и на вин хрю, вот результаты на вин2003 (начало урезал, ибо там все ок, привожу кусок трасерта, где подходим ближе к майкрософту):

Цитата:

10 271 ms 280 ms 276 ms 62.153.203.62
11 281 ms 285 ms 306 ms ten7-1.pax-76cb-1a.ntwk.msn.net [207.46.34.98]
12 270 ms 237 ms 283 ms pos6-2.tuk-76cb-1a.ntwk.msn.net [207.46.34.173]
13 271 ms 294 ms 298 ms pos1-0.iuskixcpxc1202.ntwk.msn.net [207.46.36.146]
14 251 ms 286 ms 384 ms pos1-0.cpk-12ix-1b.ntwk.msn.net [207.46.155.37]
15 297 ms 303 ms 289 ms pos4-0.tke-12ix-2b.ntwk.msn.net [207.46.155.29]
16 302 ms 273 ms 302 ms pos0-0.wst-12ix-1b.ntwk.msn.net [207.46.155.14]
17 314 ms 292 ms 298 ms pos1-0.iuscixwstc1202.ntwk.msn.net [207.46.155.21]
18 * * * Превышен интервал ожидания для запроса.
19 * * * Превышен интервал ожидания для запроса.
20 * * * Превышен интервал ожидания для запроса.
21 * * * Превышен интервал ожидания для запроса.
22 * * * Превышен интервал ожидания для запроса.
23 * * * Превышен интервал ожидания для запроса.
24 * * * Превышен интервал ожидания для запроса.
25 * * * Превышен интервал ожидания для запроса.
26 * * * Превышен интервал ожидания для запроса.
27 * * * Превышен интервал ожидания для запроса.
28 * * * Превышен интервал ожидания для запроса.
29 * * * Превышен интервал ожидания для запроса.
30 * * * Превышен интервал ожидания для запроса.

Трассировка завершена.

Win 2000 Pro+Kerio Winroute Firewall
Есть потребность в VPN сервере. Чем его можно сделать кроме как сами Kerio Winroute Firewall?
Мне всего лишь одного клиента надо пустить через этот VPN сервер без всякой статистики. Простой NAT+пару портов мапить в обратку к клиенту - чтоб был High ID в eMule.

Добавлено:
Нашел встроенный в ОС VPN сервер. Такой же как в XP.

Есть проблема:
Есть сервер Win2003 на нем VPN
есть 2 клиента подключаемые к серверу
они подключаются но пинги между ними не идут ?
Если поставить Kerio Winroute то все работает,
но таблица маршрутизации не как не изменяется,
как сделать так, что бы не использовать Kerio ?

lloyd
Вот чудак - человек, а то как у тебя подключены клиенты мы догадываться должны? какие ИП у них какие у сервера? и тд. подробности нужны, подробности...

Да,бывает

у клиентов 10.0.0.2
у второго 10.0.0.6
у сервера 10.0.0.1

читаем внимательно и тд
спрашиваю дальше, клещи что-ли применить
маска подсети у клиентов и сервера?
роутер по умолчанию ?
оси на всех машинах?
включен ли фаер хоть на одной?
на каком шаге умирает трасерт, сервак всех пинговать может, а они сервак?

lloyd
wchik
А это ничего, что все машины в одной подсети... или я чегото не понимаю

VPN тестовой из локалки

WinXp Sp2
у первого vpn 10.0.0.2
внутренний 192.168.0.100
маска 255.255.255.0
WinXp Sp2

у второго vpn 10.0.0.6
внутренний 192.168.0.102
маска 255.255.255.0
Win2003 Sp1

у сервера 10.0.0.1
внутренний 192.168.0.205
маска 255.255.255.0
шлюза нет
везде нет FireWall

все подключения по MS-CHAP2 и PPTP

Добавлено:
у клиентов в VPN
снята галочка "использовать основной шлюз в удаленной сети"


Добавлено:
на сервак пинг идет, севак их тоже видит

Yourbill
Не-а не понимаешь, он не сказал что они в одной подсети
а даже если в одной по адресации, то физически (с т.з. протокола ИП) надо подумать...
у меня например все клиенты имеют маску /32 (255.255.255.255 по вашему )
и все работает потому как шлюзом служит ВПН сервер
lloyd
Мне триста лет не нужна маска внутреннего ИП!!!!
мне нужна маска 10.0.0.6 например!!!!!!!!!!!
Смотри ты используешь протокол поинт-ту-поинт, правильно?
по идее маска должна быть 255.255.255.255 (точно не помню тачка с впн далеко)
вывод: он думает, что в его подсети только ДВЕ точки, он и сервак
теперь чтобы работала связь между двумя машинами и серваком надо подумать в сторону марштутизации
например на машине с 10.0.0.2
route.exe add 10.0.0.6 mask 255.255.255.255 10.0.0.2

Помогите подобрать решение?
Есть выход в интернет через dsl модем, который подцеплен к fairwall- у на FreeBSD. Нужно аппаратное (программно аппаратное решение) чтобы пустить через интернет пользователя внутрь корпаративной сети. т.е. организовать VPN тунель с шифрованием.
Я так понимаю что нужно поставить маршрутизатор с поддержкой VPN. А на клиента ключик на смарт-карте или USB. Cisco не подходит масштабы не те.

wchik

Цитата:

Не-а не понимаешь, он не сказал что они в одной подсети

После моего сообщения он это подтвердил;) Я конечно не телепат, но так получилось


Цитата:

например на машине с 10.0.0.2
route.exe add 10.0.0.6 mask 255.255.255.255 10.0.0.2

А почему шлюзом для 10.0.0.6 будет 10.0.0.2, если оба клиента подключаются к серверу у которого адрес 10.0.0.1?
Я бы поставил для обеих клиентов шлюзом 10.0.0.1...

lloyd
Кинь таблицу маршрутов с сервера и с клиента (комманда - route print)

маски для VPN 255.255.255.255
такая строка итак есть в таб-це маршрутизации
10.0.0.6 255.255.255.255 10.0.0.2

Добавлено:
tracert доходит до сервера и все

Добавлено:
Активные маршруты:
Сетевой адрес Маска сети Адрес шлюза Интерфейс Метрика
0.0.0.0 0.0.0.0 192.168.0.250 192.168.0.206 10
10.0.0.0 255.255.255.0 10.0.0.6 10.0.0.1 1
10.0.0.1 255.255.255.255 127.0.0.1 127.0.0.1 50
10.0.0.5 255.255.255.255 10.0.0.1 10.0.0.1 1
10.0.0.6 255.255.255.255 10.0.0.1 10.0.0.1 1
10.0.0.7 255.255.255.255 10.0.0.1 10.0.0.1 1
127.0.0.0 255.0.0.0 127.0.0.1 127.0.0.1 1
169.254.83.0 255.255.255.0 169.254.83.245 169.254.83.245 20
169.254.83.245 255.255.255.255 127.0.0.1 127.0.0.1 20
169.254.255.255 255.255.255.255 169.254.83.245 169.254.83.245 20
192.168.0.0 255.255.255.0 192.168.0.206 192.168.0.206 10
192.168.0.100 255.255.255.255 192.168.0.206 192.168.0.206 10
192.168.0.102 255.255.255.255 192.168.0.206 192.168.0.206 10
192.168.0.206 255.255.255.255 127.0.0.1 127.0.0.1 10
192.168.0.255 255.255.255.255 192.168.0.206 192.168.0.206 10
224.0.0.0 240.0.0.0 169.254.83.245 169.254.83.245 20
224.0.0.0 240.0.0.0 192.168.0.206 192.168.0.206 10
255.255.255.255 255.255.255.255 169.254.83.245 169.254.83.245 1
255.255.255.255 255.255.255.255 192.168.0.206 192.168.0.206 1
Основной шлюз: 192.168.0.250

Yourbill

Цитата:

После моего сообщения он это подтвердил;) Я конечно не телепат, но так получилось

кажись не подтвердил , точно не телепат

Цитата:

маски для VPN 255.255.255.255

в сеть с такой маской входит ровно ОДНА машина потому и гейтом указывается собственный ИП, а не ИП сервера (сервер уже в другой подсети, а гейт должен быть в своей), а дальше работает поинт-ту-поинт
lloyd

Цитата:

Сетевой адрес Маска сети Адрес шлюза Интерфейс Метрика
10.0.0.6 255.255.255.255 10.0.0.1 10.0.0.1 1

укажите мне непутевому где тут

Цитата:

такая строка итак есть в таб-це маршрутизации
10.0.0.6 255.255.255.255 10.0.0.2

а, подожди, это ты там таблицу с сервера давал?
а с клиента если дать?

Попробуй
lloyd

Цитата:

такая строка итак есть в таб-це маршрутизации
10.0.0.6 255.255.255.255 10.0.0.2

Ты пишешь суперинформативно
Попробую догадаться
Тебе нужно прописать для клиентов основным шлюзом свой сервер на котором поднят ВПН. Я так понял у тебя это 10.0.0.1
Удали маршрут на клиенте
route delete 10.0.0.0 mask 255.0.0.0 10.0.0.6 или route delete 10.0.0.0 mask 255.0.0.0 10.0.0.2
и добавь
route add 10.0.0.0 mask 255.0.0.0 10.0.0.1 IF 0x40005
0x40005 - это у меня такой интефейс ты должен указать свой.
А проще всего в свойствах впн соединения укать маршрут по умолчанию и не парить мозги в консоли...

Добавлено:
Писал это все не видя таблицы маршрутизации и поста надо мной, сейчас почитаю

Добавлено:
wchik

Цитата:

кажись не подтвердил , точно не телепат

я говорил, о том что все клиенты имеют одно подсеть судя из IP адресов

Цитата:

1-й
внутренний 192.168.0.100
маска 255.255.255.0

2-й
внутренний 192.168.0.102
маска 255.255.255.0

сервер
внутренний 192.168.0.205
маска 255.255.255.0

При таких раскладах если после каждого клиента есть еще машины, то такую маршрутизацию, что бы все машины из каждой физической подсети видели друг друга - замучаешься настраивать... Разве не проще сразу сделать:

Цитата:

1-й
внутренний 192.168.1.1
маска 255.255.255.0

2-й
внутренний 192.168.2.1
маска 255.255.255.0

сервер
внутренний 192.168.0.205
маска 255.255.255.0

Зачем самого себя запутывать Так и информативней и понятно... imho

пакет от клиента точно доходит до сервера, но сервер не хочет его передовать другому VPN клиенту, есть подозрение что winroute автоматически дублирует пакеты приходящие с одного интерфейса на все остальные, как это сделать в ручном режиме?

Yourbill

Цитата:

А проще всего в свойствах впн соединения укать маршрут по умолчанию и не парить мозги в консоли...

неправильно простой пример я хожу в нет через одного прова здесь деньги считаются
теперь я впн делаю на работу и кроме того что мне надо (обменяться инфой) я еще и инет буду юзать через рабочий гейт
что имеем я плачу прову через которого хожу да и на работе тоже плачу за траф

Цитата:

route add 10.0.0.0 mask 255.0.0.0 10.0.0.1 IF 0x40005

по поводу гейта 10.0.0.1 я уже писал почему неправильно


Добавлено:

Цитата:

я говорил, о том что все клиенты имеют одно подсеть судя из IP адресов

Цитата:
1-й
внутренний 192.168.0.100
маска 255.255.255.0

2-й
внутренний 192.168.0.102
маска 255.255.255.0

сервер
внутренний 192.168.0.205
маска 255.255.255.0

Внутренние адреса и маски не имеет отношения к впн он вообще мог написать

Цитата:

1-й
внутренний 192.168.0.1
маска 255.255.255.0

2-й
внутренний 192.168.0.1
маска 255.255.255.0

сервер
внутренний 192.168.0.1
маска 255.255.255.0

и был бы прав это возможно потому как мы работаем с ВПН
соединение установлено? установлено, разбираемся с маршрутизацией и фаерами если есть
потому я и писал что меня не волнуют маски для 192.168 они тут не причем

Добавлено:
lloyd
сделай трассировку с клиента на клиент и кинь сюда

wchik

Цитата:

неправильно простой пример я хожу в нет через одного прова здесь деньги считаются
теперь я впн делаю на работу и кроме того что мне надо (обменяться инфой) я еще и инет буду юзать через рабочий гейт
что имеем я плачу прову через которого хожу да и на работе тоже плачу за траф

Это у тебя так, а у lloyd возможно все намного проще...

Цитата:

по поводу гейта 10.0.0.1 я уже писал почему неправильно

Почему неправильно, повтори плиз, не совсем понял. Разве не 10.0.0.1 знает куда слать пакеты для 0.2, 0.6 и всех остальных клиентов.

Цитата:

потому я и писал что меня не волнуют маски для 192.168 они тут не причем

Согласен, просто для меня удобней было бы внутренние IP назначить более информативно, что бы самому было легче
lloyd

Цитата:

есть подозрение что winroute автоматически дублирует пакеты приходящие с одного интерфейса на все остальные, как это сделать в ручном режиме?

А это как?

Yourbill

Цитата:

Почему неправильно, повтори плиз, не совсем понял. Разве не 10.0.0.1 знает куда слать пакеты для 0.2, 0.6 и всех остальных клиентов.

смотри маска сети 255.255.255.255
маска указывает на число машин в сети
при такой маске в сети только одна машина
(тут пока все ясно, надеюсь)
дальше что такое шлюз, это машина которая имеет 1 ИП в нашей сети и знает как попасть в другую сеть
но в нашей сети ТОЛЬКО 1 ИП!!! следовательно этот адрес и будет шлюзом для протокола ИП,
потому что более низкоуровневый протокол РРР знает, что при попадении Пакета на этот ИП, он его должен переслать серверу который там уже разбирается что с ним дальше делать.
Примерно понятно?

Добавлено:

Цитата:

Это у тебя так, а у lloyd возможно все намного проще..

Может у него и проще тогда пусть поставит галку использовать шлюз в удаленной сети ине парится должно работать
кстати если не заработает то виноват сервак легче копать

wchik

Цитата:

сделай трассировку с клиента на клиент и кинь сюда

lloyd - вроде писал, что трасерт дохнет на сервере ...


Добавлено:
wchik

Цитата:

смотри маска сети 255.255.255.255
маска указывает на число машин в сети
при такой маске в сети только одна машина
(тут пока все ясно, надеюсь)
дальше что такое шлюз, это машина которая имеет 1 ИП в нашей сети и знает как попасть в другую сеть
но в нашей сети ТОЛЬКО 1 ИП!!! следовательно этот адрес и будет шлюзом для протокола ИП,
потому что более низкоуровневый протокол РРР знает, что при попадении Пакета на этот ИП, он его должен переслать серверу который там уже разбирается что с ним дальше делать.
Примерно понятно?

Спасибо, теперь все ясно


Добавлено:
lloyd
Может ты все таки кинешь для полной картины таблицу маршрутов хотя бы с одного из клиентов...