Маршрутизация между VPN-клиентами

[Firestarter]

Доброе время суток!

Имеется организация сети, как на рисунке.

Скажите, какие настройки и где нужно сделать, чтобы с рабочей станции (LAN2) достучатся до роутера и подключенных к нему рабочих станций (LAN3)?

[Кинетиковод]

https://help.keenetic.com/hc/ru/articles/213967889

https://help.keenetic.com/hc/ru/articles/213967909-Создание-PPTP-подключения-в-ОС-Windows-к-VPN-серверу-интернет-центра

[Firestarter]

Согласно статье https://help.keenetic.com/hc/ru/articles/213967889

прописал в настройках роутера с поднятым VPN-сервером следующее:  

 

Согласно статье https://help.keenetic.com/hc/ru/articles/213967909-Создание-PPTP-подключения-в-ОС-Windows-к-VPN-серверу-интернет-центра

прописал в командной строке на рабочей станции route -p ADD 192.168.3.0 MASK 255.255.255.0 192.168.5.11 METRIC 2 IF 33

 

Согласно статье https://help.keenetic.com/hc/ru/articles/360001390359

настроил правила межсетевого экрана на роутере в LAN3 следующим образом:

 

Все равно из LAN2 не вижу LAN3...

Изменено 28 января, 2019 пользователем Firestarter

[Кинетиковод]

Номер прошивки какой? Если у вас L2TP сервер, то для применения маршрутов лучше передёрнуть его, а иногда и перезагрузить роутер.

[Firestarter]

Только что, Кинетиковод сказал:

Номер прошивки какой? Если у вас L2TP сервер, то для применения маршрутов лучше передёрнуть его, а иногда и перезагрузить роутер.

На роутерах в LAN1 и LAN3 прошивка 2.14.C.0.0-4.
 

VPN-сервер - PPTP.

После любых действий с маршрутами роутеры перезагружал - безрезультатно.

[Кинетиковод]

1 минуту назад, Firestarter сказал:

VPN-сервер - PPTP.

 

Странное вы выбрали имя для PPTP клиента "vpn-l2tp-ipsec".

[Firestarter]

4 минуты назад, Кинетиковод сказал:

Странное вы выбрали имя для PPTP клиента "vpn-l2tp-ipsec".

Да это скрин со статьи на сайте, на самом деле. Просто хотел для наглядности показать, какие настройки файрвола я сделал для интерфейса VPN на роутере в сети LAN3.

[Кинетиковод]

На Экстре 2 пропишите маршрут до узла 192.168.5.11 через интерфейс PPTP, шлюз указывать не надо, галку добавлять автоматически надо.

[Firestarter]

21 час назад, Кинетиковод сказал:

На Экстре 2 пропишите маршрут до узла 192.168.5.11 через интерфейс PPTP, шлюз указывать не надо, галку добавлять автоматически надо.

 

После того, как по вашему совету, прописал на роутере в LAN3 маршрут до 192.168.5.11, все заработало!

Спасибо вам огромное! Вы меня здорово выручили! 👍

[lyoksa]

Присоединяюсь.

Огромное спасибо)

[Dima-rds]

Всем привет, У меня похожая схеме

Прочитал статью к сожалению не удалось повторить решение  - что где пропустил не могу понят. Подскажите)

В текущей схеме вижу только сеть от клиента до сервера - через сервер от удаленного сотрудника или из офиса 1 до офиса 2 не идет трассировка уходит в мир

На клиентах доп маршруты не прописаны

Прописывал как в статье до узла или до сети не помогло

На все Keenetic версия  4.0.7

 

[Кинетиковод]

7 часов назад, Dima-rds сказал:

У меня похожая схеме

У вас даже на схеме ошибка. На 36 шлюз маршрут до сети 111.10, а должен быть 46.0. На клиентах должен автоматически добавится маршрут до 111.29. Если его нет в списке маршрутов при подключении, то пропишите вручную. Если хотите из дома заходить в офис 1 и 2, то пропишите в офисах маршрут до сети 172.16.63.0 через интерфейс sstp.

[Dima-rds]

17 часов назад, Кинетиковод сказал:

У вас даже на схеме ошибка. На 36 шлюз маршрут до сети 111.10, а должен быть 46.0. На клиентах должен автоматически добавится маршрут до 111.29. Если его нет в списке маршрутов при подключении, то пропишите вручную. Если хотите из дома заходить в офис 1 и 2, то пропишите в офисах маршрут до сети 172.16.63.0 через интерфейс sstp.

Да все верно в описание опечатался - до сети 10.111.0.0 - 63.35, а до сети 10.46.0.0 - 63.36

Но из сети к примеру 10.46 не вижу 10.111.0.0 - сеть 10.111.29.0 из любого подключения добавляюсь автоматом маршруты  

Если хотите из дома заходить в офис 1 и 2, то пропишите в офисах маршрут до сети 172.16.63.0 через интерфейс sstp. - Немного не понял как и где

[Кинетиковод]

8 часов назад, Dima-rds сказал:

Немного не понял как и где

Пропишите маршруты через интерфейс sstp.

 

[slimerz0r]

подскажите, пожалуйста. ситуация похожа.

3 сети, роутеры:

1) titan - local 192.168.0.1 - static ip - l2tp server NAT off

2) hero 4g - local 192.168.1.1 - dynamic ip - l2tp client (100.100.0.11)

3) giga 3 - local 192.168.2.1 - static ip - l2tp client (100.100.0.22)

 

на титане прописаны маршруты как в статье а именно:
192.168.1.0/24 - 100.100.0.11 - интерфейс любой - эксклюзивный нет - автоматический да

192.168.2.0/24 - 100.100.0.22 - интерфейс любой - эксклюзивный нет - автоматический да

на обоих vpn клиентах разрешены все протоколы в межсетевом экране на вкладке с vpn подключением. + на пк из сети 2 разрешены входящие подключения в win10 как в статье.

 

итого: у пк из клиентских сетей есть доступ в админку к роутеру на котором сервер (192.168.0.1). с титана (который впн сервер) проходит пинг из админки только на роутеры клиенты по адресу их сети (192.168.1.1 / 2.1). при этом на другие пк пинга нет как и всех пк из разных сетей между собой. если включить NAT в настройках впн сервера - на телефоне с LTE можно зайти в teamviewer на пк только из сети 1 по локальному адресу. и все. 

желаемый результат: доступы с пк из сети 1 ко всем роутерам и пк из других сетей. например вебсервер в сети 2 и принтер в сети 3. в идеале это доступность вебсервера из сети 2 по внешнему ip впн сервера + доступ ко всем локальным сервисам между пк из разных сетей.

[Monstr86]

12 часа назад, slimerz0r сказал:

подскажите, пожалуйста. ситуация похожа.

3 сети, роутеры:

1) titan - local 192.168.0.1 - static ip - l2tp server NAT off

2) hero 4g - local 192.168.1.1 - dynamic ip - l2tp client (100.100.0.11)

3) giga 3 - local 192.168.2.1 - static ip - l2tp client (100.100.0.22)

 

на титане прописаны маршруты как в статье а именно:
192.168.1.0/24 - 100.100.0.11 - интерфейс любой - эксклюзивный нет - автоматический да

192.168.2.0/24 - 100.100.0.22 - интерфейс любой - эксклюзивный нет - автоматический да

на обоих vpn клиентах разрешены все протоколы в межсетевом экране на вкладке с vpn подключением. + на пк из сети 2 разрешены входящие подключения в win10 как в статье.

 

итого: у пк из клиентских сетей есть доступ в админку к роутеру на котором сервер (192.168.0.1). с титана (который впн сервер) проходит пинг из админки только на роутеры клиенты по адресу их сети (192.168.1.1 / 2.1). при этом на другие пк пинга нет как и всех пк из разных сетей между собой. если включить NAT в настройках впн сервера - на телефоне с LTE можно зайти в teamviewer на пк только из сети 1 по локальному адресу. и все. 

желаемый результат: доступы с пк из сети 1 ко всем роутерам и пк из других сетей. например вебсервер в сети 2 и принтер в сети 3. в идеале это доступность вебсервера из сети 2 по внешнему ip впн сервера + доступ ко всем локальным сервисам между пк из разных сетей.

В брандмауэрах клиентских компьютеров прописали сеть 100.100.0.0 разрешенной?

[slimerz0r]

15 часов назад, Monstr86 сказал:

В брандмауэрах клиентских компьютеров прописали сеть 100.100.0.0 разрешенной?

да.
после неопределенных действий теперь проходит пинг с роутера на котором впн сервер до пк внутри других сетей. но только с роутера.