» VPN: вся информация в этой теме

vlary
спасиб. все понял

Коллеги, помогите пожалуйста, разобраться в чём причина неустановления VPN соединения типа Site-to-Site. Соединение устанавливалось между двумя Zyxel ZyWall USG 20, находящимися в территориально удалённных между собой офисах. При настройке пользовался следующим step-by-step примером с сайта производителя: http://zyxel.ru/kb/2171
Разница от топологии сети в примере производителя и реальной той на которой производилось тестирование - в один из офисов Интернет подаётся через ADSL-модем, работающий в режиме роутера:



Подскажите, пожалуйста, чего нужно докрутить, чтобы в моей сети установилось VPN соединение? Думаю, что что-то нужно донастроить на ADSL-модеме, но не знаю что.

Цитата:

Разница от топологии сети в примере производителя и реальной той на которой производилось тестирование - в один из офисов Интернет подаётся через ADSL-модем, работающий в режиме роутера

Цитата:

чего нужно докрутить, чтобы в моей сети установилось VPN соединение?

если ADSL-модем поддерживает IPSec pass-through можно организовать публикацию (проброс портов) если нет - переводить модем в режим бриджа.

Всем добрый день. Нужна помощь по такому вопросу.

Есть 2 сети в отдельных зданиях.

Главный корпус 192.168.10.1-254\24
Вторая сеть филиал 192.168.11.1-254\24

Между ними предоставлен в аренду VPN туннель точка-точка
IP модема в главном корпусе 192.168.15.5\24 статика 192.168.12.1\30
IP модема в филиале 192.168.11.1\24 статика 192.168.12.5\30

Мне нужно что бы 5 компьютеров сети филиала были подключены к серверу в главном корпусе. Как мне это сделать. Строго не судите с VPN я новичек !
Жду любых советов и замечаний !!!

x0088, может, я что-то не понял...
На обоих модемах "статика 192.168.12.х/30", т.е. это вроде их туннель между собой.
Но!
"Главный корпус 192.168.10.х/24" и при этом "модем в главном корпусе 192.168.15.5/24"...
Тебе не кажется, что тут что-то не так?

Все верное это описка IP модема vpn 192.168.10.1

Ну тогда вариантов валом (хотя все они очень мало относятся к теме).
- Можно в обоих зданиях дать адреса из одной сети и на модемах разрешить всё и отовсюду включая бродкасты -- тогда оба корпуса окажутся факт. в одной сети
- Можно в дальнем корпусе указать на компах "шлюз по умолчанию" адрес модема и прописать cервер в lmhosts
- Можно ещё что-нить замутить...
Но всё это таки практ. офтоп, т.к. к собственно ВПН оно никаким боком.

Здравствуйте.
Возникла проблема с маршрутизацией между локальной сетью и VPN клиентом. VPN поднят на OpenVPN. Сеть вида 192.168.1.0 доступ в интернет через ADSL модем с поднятым DHCP- адрес модема 192.168.1.1. На компьютере с WIn7 адрес 192.168.1.2 поднят VPN сервер с адресом 192.168.100.1(служба маршрутизации включена) Между клиентом и сервером связь есть пакеты ходят.
Машины из локальной сети клиента не видят(понятно что на машинах надо прописать маршрут). Если на машине добавляю route add 192.168.100.1 mask 255.255.255.255 192.168.1.2 то с машины пинг проходит сервер(т.е. интерфейс OVPN становиться виден.) Делаем на той же машине route add 192.168.100.6 mask 255.255.255.255 192.168.1.2 пинга нет, при этом с сервера(машины с поднятым OVPN )пинг на клиента идет. Не пойму в чем дело, на всех машинах Win7 лиценз. Route и IPconfig VPN сервера и машины из локальной сети http://rghost.ru/private/38920216/d933fbdd088dd0a5605e08297c27733b

Разобрался. Маршруты накладывались в связи с тем, что локальные сети были с одинаковой адресацией.

Hi All!

Имеется следующая ситуация:

Имеются две сети: сеть "А" и сеть "В".

Сеть "В" подключена к и-нету напрямую через сервер (назовем его сервер "В"), который имеет "белый" IP адрес (если надо даже группу адресов) и достаточно быстрый канал.

Сеть "А" сидит за сервером (назовем его сервер "А"), который находится внутри внутренней сети провайдера "П", т.е. имеет "серый " IP адрес. Кроме того, сервер "А" связан с сервером провайдера двухсторонним спутниковым каналом, который имеет достаточно большие задержки (в пингах цифры порядка до 1 секунды могут доходить).
В настоящий момент настройки у провайдера таковы, что пакеты с и для сервера "А" отправляются на и принимаются только с группы IP адресов сервера "В". Для этого у провайдера от сервера "А" к серверу "В" прокинуто несколько десятков портов.

У нас есть полный доступ к серверам "А" и "В" и, можно сказать, нет возможности изменить установки у провайдера.

Возможно ли организация полноценного интернета в сети "А" через сервер "В". В настоящий момент в сети "А" интернет есть, но убогий, связанный именно с ограниченным набором портов. Фактически есть только Http. Как я понимаю, сервисы, использующие разные/или много портов недоступны. Это Https, скайп, возможность ходить на внешние почтовые сервера по SMTP и POP3.

Как наладить интернет в сети "А" без ограничений? VPN здесь поможет?

Jury

poklad Теоретически можно поднять OpenVPN сервер на порту 80, и связать сервера "А" и "В", вопрос только в том, решит ли это проблему, ибо
Цитата:

сервер "А" связан с сервером провайдера двухсторонним спутниковым каналом, который имеет достаточно большие задержки

Hi!

Спасибо за ответ!

Т.е. я правильно понимаю, что весь трафик по всем портам на сервере "А" (который имеет "серый" адрес) можно свернуть, прокинуть по одному порту до сервера "В", там развернуть и выпустить все в интернет?

Проблема не в задержках, а именно в конечном наборе открытых портов. Когда у нас на спутниковом модеме (который соединяет сервер "А" с провайдером) был "белый" IP адрес инет с такими задержками ходил нормально. Я так понимаю это особенности спутника. От "белого" адреса мы были вынуждены отказатся, т.к. на него постоянно шел поток "спама", который забивал входной канал.

И еще вопрос. Когда у нас был белый адрес мы пытались на пробу наладить VPN, но он не пошел, рвался из-за задержек. Какой VPN софт менее критичен к задержкам в канале?


Jury

poklad
Цитата:

можно свернуть, прокинуть по одному порту до сервера "В", там развернуть и выпустить все в интернет?

Да, сначала маршрутизировать клиентов офиса через VPN канал, а дальше НАТить их наружу через белый айпи сервера "В".

Цитата:

От "белого" адреса мы были вынуждены отказатся, т.к. на него постоянно шел поток "спама", который забивал входной канал.

Радикальный метод... Достаточно было просто закрыть наружу 25 порт.

Цитата:

Какой VPN софт менее критичен к задержкам в канале?

Ну, у вас то выбор небогатый. Даже OpenVPN вы можете пустить только по 80 TCP порту, а не по UDP.

vlary
Цитата:

Цитата: От "белого" адреса мы были вынуждены отказатся, т.к. на него постоянно шел поток "спама", который забивал входной канал.

Радикальный метод... Достаточно было просто закрыть наружу 25 порт.

Alukardd
Цитата:

Формулировка больше похожа на сетевой флуд (аля DDoS), а не почтовый.

Ну, poklad употребил слово "спам"...

Hi!

Да, "спам" конечно не в почтовом понимании, потому и взял в кавычки. Просто в сети одно время было заражена пара машин... После этого все и началось: на сервер "А" периодически начинало что то откудато ломиться.... по разным портам.... И хоть все и закрыто, но пакеты то уже проскочили, канал забили.... А спутниковый тариф у нас такой, что среднесуточный трафик не должен превышать 50 кбит/с. А этот "спам" выедал больше половины этого трафика.

Так всетаки на счет портов. От сервера "А" к серверу "В" поток информации должен идти именно по 80-у порту. Или по любому?

Jury

poklad
Цитата:

От сервера "А" к серверу "В" поток информации должен идти именно по 80-у порту. Или по любому?

Ты же говоришь, что только 80 порт и открыт. Как же по любому?
А так - да, можно назначать любой TCP или UDP порт , лишь бы у клиента и сервера они совпадали.

Ранее писалось как побороть ограничение на кол-во входящих подключений для WinXP, а как это сделать для Win7 со всеми оф обновлениями?

ребят всем привет


vpn сервер на убунте
eth0 - 192.168.8.173 - Lan
eth1 - XXX.XXX.XXX.XXX - Out

localip 172.16.70.1
remoteip 172.16.70.10-60
listen eth1
chap-secrets как положено НО кому статику кому динамику

gre и 1723 разрешил

собственно сам косяк

берем Win7(любую блин) в ней подключение(PPTP) без "пресловутой" галочки
цепляемся
route add 192.168.8.0 mask 255.255.255.0 172.16.70.1
всё! сеть видна пинги и всё остальное бежит рекой. трафик во внешку неуходит ибо "галочки" нету и доп не прописывали

берём хрюшу (PPTP VPN) - ёб?врт какойто
делаю все тоже самое маршрут не пишет, галочку ставим тогда весь трафик мне на vpn приходит что не айс, без галочки жопа . пока юзеру не выдал статику vpn(172.16.70.10) и после неё не сделал
route -p add 192.168.8.0 mask 255.255.255.0 172.16.70.10 маршрут не писал, пакеты есессно не ходили.
хрюшу брал нескольких мастей - кто в инет ч..з шлюз но с адресами путанницы нету, кто в инет ч..з vpn/pppoe да хоть диалап - одна байда. брал 2003 тоже самое

делаю трассировку на Win7
пакеты как положено ч..з 172.16.70.1 уходят

делаю трассировку на WinXp после всех манипуляций
маршрут то получается должен идти ч..з 172.16.70.10 а идет ч..з 172.16.70.1

что я не так делал ??

добрый день

Возможно ли обойти ограничения провайдера МТС (GPRS), который заблокировал возможность подключения по VPN. Может быть существуют варианты через прокси или при помощи альтернативных (невиндовых) программных продуктов?

Имеется: ноут, который нужно подключить к корпоративной сети. Я не админ, поэтому никаких дополнительных возможностей, кроме как шаманить со своим компом - нет.
Т.е. рассматриваю только варианты, не требующие вмешательства в ПО сервера.

Cмена провайдера не возможна, в силу отсутствия подходящих тарифных планов у конкурентов.

Vaxus
туннель делать, который будет трафик заворачивать от тебя в сторону твоего корпоративного сервака
учитывая что у тебя исходящая gprs то скорости не жди

Kernell32
чаще все же будет 3G, поэтому со скоростью проблем быть не должно.
А по поводу туннеля в туннеле, можно подробнее?

на стороне(на внешней) работает писюк
на нём поднят сервис который висит на каком то порту(я думаю mts не все лочит)

с твоей машины(3G) уходят пакеты на писюк, писюк их принимает, распаковывает/запаковывает в нужный формат и перенаправляет корпоративному серваку. Корп. в свою очередь готов общаться на "привычном ему языке", а иначе никак. Принимает обрабатывает обратно отсылает писюку тот снова на 3G

http://ru.wikipedia.org/wiki/Туннелирование_(компьютерные_сети)


Добавлено:
иными словами
изначально туннель от тебя до писюка, а от писюка vpn до корпоративного сервака

если я не прав камень в мой огород

Kernell32

спасибо, за ссылку))
Я понимаю как это должно быть в теории, меня интересует практическая реализация, хотя бы в каких прогах это реализовано. Мануал я уж сам покопаю.
Или указание на сервис который позволит обойти данное ограничение провайдера.

Vaxus

Цитата:

Я не админ, поэтому никаких дополнительных возможностей, кроме как шаманить со своим компом - нет.

Стандартный ответ здесь - обратитесь к вашему системному администратору. Поскольку доступ извне в локальную сеть должен быть санкционированным, иначе возможна масса неприятностей.
С технической точки зрения - это, например OpenVPN сервер на работе и клиент дома.
Настроить его можно на любой порт, к примеру 80 или 443, поэтому провайдер отдыхает...
Также, если у вас контора серьезная, а не "Рога и копыта", и маршрутизатор там стоит Cisco, а не D-Link, имеется штатная возможность поднятия WebVPN, работающей через 443 порт.
Со стороны клиента соединение устанавливается с помощью обычного броузера.

Цитата:

Поскольку доступ извне в локальную сеть должен быть санкционированным, иначе возможна масса неприятностей.

он санкционирован, но по протоколу, который мне не доступен в мобильном варианте, а с домашнего проводного инета все работает.


Цитата:

Также, если у вас контора серьезная, а не "Рога и копыта", и маршрутизатор там стоит Cisco, а не D-Link, имеется штатная возможность поднятия WebVPN, работающей через 443 порт.

Этот момент уточню, но опять же, если эта функция работает по умолчанию. Отдельно для меня ее никто активировать не будет. IT отдел по просьбам трудящихся не работает, у них своих проблем хватает

Как вариант, сейчас еще копаю в сторону организации доступа через домашний комп.

ребят, а по моей "беде" кто что прокомментирует ?

Kernell32 У меня тоже Windows XP, на работе сервер L2TP, Debian,
крутится на виртуалке. Галка, естественно, снята.
Весь трафик идет через шлюз (модем), в линк идет только трафик для сети 10.х.х.х
Адрес получаю из этой же сети

Код: Office - PPP адаптер:

DNS-суффикс этого подключения . . :
Описание . . . . . . . . . . . . : WAN (PPP/SLIP) Interface
Физический адрес. . . . . . . . . : 00-53-45-00-00-00
Dhcp включен. . . . . . . . . . . : нет
IP-адрес . . . . . . . . . . . . : 10.1.3.10
Маска подсети . . . . . . . . . . : 255.255.255.255
Основной шлюз . . . . . . . . . . :
DNS-серверы . . . . . . . . . . . : 10.1.1.1
10.1.1.5

vlary
за ответ конечно спасибо но есть это НО
всё равно спасибо. попробую его поднять. кстати выявил еще косяк
семерка с route бла бла бла -p ->ребут -> reconnect нашего vpn коннекшон
route print -> маршрут присутствует
пробуем и хер, пакеты пробуют уходить не туда куда надо ->
без удаления (route delete 172.16.70.1) еще раз прописываем -> ктулху лучше всех *yahoo*

чего ему надо я уже не представляю в какую сторону его пнуть или себя

Ребята, а что по моему вопросу не кто не в курсе?