openconnect и маршрутизация

[xfnreg]

Здравствуйте.

Есть офис с серверами с адресным пространством 10.0.0.0/8. В ней ocserv (10.100.100.1/24) в качестве сервера для openconnect, dhcp-сервер для раздачи адресов. На кинетике настроил клиента openconnect, успешно подключаюсь к ocserv, получаю адрес (10.100.100.10/24). Настроил маршрутизацию в офисную сеть, клиенты за кинетиком видят офисную подсеть. Теперь пытаюсь подключиться к клиентам за кинетиком. В офисе добавил маршрут 10.100.100.0/24 через 10.100.100.1, на кинетике для openconnect добавил в файрвол правило на вход.трафик (всё разрешено), из подсети офиса клиент (10.100.100.10/24) пингуется. Добавил также подсеть кинетика в офисе, но доступа из офиса к клиентам за кинетиком нет. 

Скорее всего дело в файрволе или разрешении трафика между интерфейсами. Как добиться, чтобы была возможность доступа к подсети за кинетиком?

И будет ли работать dhcp-relay, чтобы получать ип-адреса с сервера dhcp в офисе (настроить сегмент и назначить определенным портам кинетика)?

 

[xfnreg]

22 минуты назад, xfnreg сказал:

Добавил также подсеть кинетика в офисе, но доступа из офиса к клиентам за кинетиком нет. 

Скорее всего дело в файрволе или разрешении трафика между интерфейсами. Как добиться, чтобы была возможность доступа к подсети за кинетиком?

С маршрутизацией разрулил, доступ есть.

Осталось решить второй вопрос - с dhcp-relay.

[xfnreg]

21 час назад, xfnreg сказал:

С маршрутизацией разрулил, доступ есть.

Поторопился. Маршрутизация есть, пинги ходят, но остальное (шары и пр.) недоступно. Видимо, дело либо в security-level public в интерфейсе Openconnect0, либо в файрволе, хотя для интерфейса Openconnect0 все протоколы разрешил. Подскажите, в каком направлении смотреть?

Изменено 30 января пользователем xfnreg

[Le ecureuil]

12 минут назад, xfnreg сказал:

Поторопился. Маршрутизация есть, пинги ходят, но остальное (шары и пр.) недоступно. Видимо, дело либо в security-level public в интерфейсе Openconnect0, либо в файрволе, хотя для интерфейса Openconnect0 все протоколы разрешил. Подскажите, в како направлении смотреть?

Посмотрите на старый добрый TCP, устанавливаются ли коннекты по нему.

[xfnreg]

21 минуту назад, Le ecureuil сказал:

Посмотрите на старый добрый TCP, устанавливаются ли коннекты по нему.

Нет.

Test-NetConnection -ComputerName 192.168.1.141 -Port 445
ПРЕДУПРЕЖДЕНИЕ: TCP connect to (192.168.1.141 : 445) failed

ComputerName           : 192.168.1.141
RemoteAddress          : 192.168.1.141
RemotePort             : 445
InterfaceAlias         : Ethernet
SourceAddress          : 10.2.32.216
PingSucceeded          : True
PingReplyDetails (RTT) : 23 ms
TcpTestSucceeded       : False

Для ясности - из сети кинетика доступ есть, с этим всё нормально. Нет доступа к ресурсам за кинетиком.

[Le ecureuil]

А точно там не на винде какой фаервол? Если я помню правильно, то встроенный фаервол винды запрещает доступ когда сеть источника отличается от локальной.

Для проверки можете через Wireshark посмотреть, доходят ли реально до устройства в локальной сети пакеты.