[5.1.4] VPN-сервер IKEv2/IPsec сломана маршрутизация в дополнительные сегменты. Фигурирует адрес ezcfg в трассировке.

[KeenTaur]

После обновления NDMS с 5.1.3 на 5.1.4 перестала работать маршрутизация в дополнительный сегмент с клиента, подключенного через VPN-сервер IKEv2/IPsec. Трассировка к адресам в дополнительном сегменте стала уходить через адрес ezcfg 198.51.100.11

NDMS 5.1.4

Устройство Keenetic Giga KN-1012

В основном сегменте адресация изменена на 10.4.3.0/24. Устройство (для проверки) в основном сегменте 10.4.3.220

В одном из дополнительных сегментов адресация 192.168.1.0/24. Устройство (компьютер) в дополнительном сегменте 192.168.1.125

Адресация VPN-сервера IKEv2/IPsec 172.20.4.0/24, прописан маршрут к дополнительному сегменту virtual-ip dhcp route 192.168.1.0 255.255.255.0

На клиенте Windows 10 в свойствах VPN-подключения отключено "Использовать основной шлюз в удаленной сети".

 

Пояснения к выводу команд под спойлером и логу/селфтесту (время +- минута)

08:36 роутер отправлен на перезагрузку; 08:38 роутер стал откликаться.

08:52 - 08:53 Выполняем подключение с удаленного клиента (Windows 10) к VPN-серверу IKEv2/IPsec на Кинетике.

08:53 - 08:55 Проверяем маршруты к сетям route print 10.4.3.* и 192.168.1.* - маршруты присутствуют, идут через 172.20.4.1.

Проверяем доступность роутера по его адресу в основном сегменте ping 10.4.3.1 - отклик есть. Проверяем доступность устройства в основном сегменте ping 10.4.3.220 - отклик есть.

Проверяем доступность роутера по его адресу в дополнительном сегменте ping 192.168.1.1 - "Превышен интервал ожидания для запроса." Проверяем доступность устройства в дополнительном сегменте ping 192.168.1.125 - "Превышен интервал ожидания для запроса."

Выполняем трассировку к устройству в дополнительном сегменте tracert -d 192.168.1.125 И вот тут, внимание!, по непонятной мне причине вместо привычных адресов, первым хопом всплывает 198.51.100.11 в недоумении ищем, "хтой-то?" и видим, что это адрес ezcfg.

На мой взгляд, это как-то неправильно. Из дополнительных вещей на этом роутере установлены AWGM, Antiscan (был отключен на время теста) и MagicTrickle (но он просто установлен и не запускается уже давно, убран из init.d, маршрутизация сейчас выполняется штатными средствами NDMS). Повторюсь 5.1.3 все работало, обновил до 5.1.4 - перестало.

08:56, не отключаясь от VPN, снимаю лог и селфтест. 

Спойлер

C:\WINDOWS\system32>route print 10.4.3.*
===========================================================================
Список интерфейсов
...
 73...........................XXXX-IKEv2
...
  1...........................Software Loopback Interface 1
===========================================================================

IPv4 таблица маршрута
===========================================================================
Активные маршруты:
Сетевой адрес           Маска сети      Адрес шлюза       Интерфейс  Метрика
         10.4.3.0    255.255.255.0         On-link        172.20.4.1     26
       10.4.3.255  255.255.255.255         On-link        172.20.4.1    281
===========================================================================
Постоянные маршруты:
  Отсутствует

IPv6 таблица маршрута
===========================================================================
Активные маршруты:
  Отсутствует
Постоянные маршруты:
  Отсутствует

C:\WINDOWS\system32>route print 192.168.1.*
===========================================================================
Список интерфейсов
...
 73...........................XXXX-IKEv2
...
  1...........................Software Loopback Interface 1
===========================================================================

IPv4 таблица маршрута
===========================================================================
Активные маршруты:
Сетевой адрес           Маска сети      Адрес шлюза       Интерфейс  Метрика
      192.168.1.0    255.255.255.0         On-link        172.20.4.1     26
    192.168.1.255  255.255.255.255         On-link        172.20.4.1    281
===========================================================================
Постоянные маршруты:
  Отсутствует

IPv6 таблица маршрута
===========================================================================
Активные маршруты:
  Отсутствует
Постоянные маршруты:
  Отсутствует

C:\WINDOWS\system32>ping 10.4.3.1
Обмен пакетами с 10.4.3.1 по с 32 байтами данных:
Ответ от 10.4.3.1: число байт=32 время=14мс TTL=64
Ответ от 10.4.3.1: число байт=32 время=14мс TTL=64
Ответ от 10.4.3.1: число байт=32 время=13мс TTL=64
Ответ от 10.4.3.1: число байт=32 время=14мс TTL=64

Статистика Ping для 10.4.3.1:
    Пакетов: отправлено = 4, получено = 4, потеряно = 0
    (0% потерь)
Приблизительное время приема-передачи в мс:
    Минимальное = 13мсек, Максимальное = 14 мсек, Среднее = 13 мсек

C:\WINDOWS\system32>ping 10.4.3.220
Обмен пакетами с 10.4.3.220 по с 32 байтами данных:
Ответ от 10.4.3.220: число байт=32 время=15мс TTL=254
Ответ от 10.4.3.220: число байт=32 время=14мс TTL=254
Ответ от 10.4.3.220: число байт=32 время=15мс TTL=254
Ответ от 10.4.3.220: число байт=32 время=14мс TTL=254

Статистика Ping для 10.4.3.220:
    Пакетов: отправлено = 4, получено = 4, потеряно = 0
    (0% потерь)
Приблизительное время приема-передачи в мс:
    Минимальное = 14мсек, Максимальное = 15 мсек, Среднее = 14 мсек

C:\WINDOWS\system32>ping 192.168.1.1
Обмен пакетами с 192.168.1.1 по с 32 байтами данных:
Превышен интервал ожидания для запроса.
Превышен интервал ожидания для запроса.
Превышен интервал ожидания для запроса.
Превышен интервал ожидания для запроса.

Статистика Ping для 192.168.1.1:
    Пакетов: отправлено = 4, получено = 0, потеряно = 4
    (100% потерь)

C:\WINDOWS\system32>ping 192.168.1.125
Обмен пакетами с 192.168.1.125 по с 32 байтами данных:
Превышен интервал ожидания для запроса.
Превышен интервал ожидания для запроса.
Превышен интервал ожидания для запроса.
Превышен интервал ожидания для запроса.

Статистика Ping для 192.168.1.125:
    Пакетов: отправлено = 4, получено = 0, потеряно = 4
    (100% потерь)

C:\WINDOWS\system32>tracert -d 192.168.1.125
Трассировка маршрута к 192.168.1.125 с максимальным числом прыжков 30
  1    15 ms    13 ms    13 ms  198.51.100.11
  2     *        *        *     Превышен интервал ожидания для запроса.
  3     *        *        *     Превышен интервал ожидания для запроса.
  4     *        *        *     Превышен интервал ожидания для запроса.
  5     *        *        *     Превышен интервал ожидания для запроса.
  6  ^C
C:\WINDOWS\system32>

 

Изменено Пятница в 07:03 пользователем KeenTaur