Маршрутизация между VPN-клиентами

[Firestarter]

Доброе время суток!

Имеется организация сети, как на рисунке.

Скажите, какие настройки и где нужно сделать, чтобы с рабочей станции (LAN2) достучатся до роутера и подключенных к нему рабочих станций (LAN3)?

[Кинетиковод]

https://help.keenetic.com/hc/ru/articles/213967889

https://help.keenetic.com/hc/ru/articles/213967909-Создание-PPTP-подключения-в-ОС-Windows-к-VPN-серверу-интернет-центра

[Firestarter]

Согласно статье https://help.keenetic.com/hc/ru/articles/213967889

прописал в настройках роутера с поднятым VPN-сервером следующее:  

 

Согласно статье https://help.keenetic.com/hc/ru/articles/213967909-Создание-PPTP-подключения-в-ОС-Windows-к-VPN-серверу-интернет-центра

прописал в командной строке на рабочей станции route -p ADD 192.168.3.0 MASK 255.255.255.0 192.168.5.11 METRIC 2 IF 33

 

Согласно статье https://help.keenetic.com/hc/ru/articles/360001390359

настроил правила межсетевого экрана на роутере в LAN3 следующим образом:

 

Все равно из LAN2 не вижу LAN3...

Edited January 28, 2019 by Firestarter

[Кинетиковод]

Номер прошивки какой? Если у вас L2TP сервер, то для применения маршрутов лучше передёрнуть его, а иногда и перезагрузить роутер.

[Firestarter]

Только что, Кинетиковод сказал:

Номер прошивки какой? Если у вас L2TP сервер, то для применения маршрутов лучше передёрнуть его, а иногда и перезагрузить роутер.

На роутерах в LAN1 и LAN3 прошивка 2.14.C.0.0-4.
 

VPN-сервер - PPTP.

После любых действий с маршрутами роутеры перезагружал - безрезультатно.

[Кинетиковод]

1 минуту назад, Firestarter сказал:

VPN-сервер - PPTP.

 

Странное вы выбрали имя для PPTP клиента "vpn-l2tp-ipsec".

[Firestarter]

4 минуты назад, Кинетиковод сказал:

Странное вы выбрали имя для PPTP клиента "vpn-l2tp-ipsec".

Да это скрин со статьи на сайте, на самом деле. Просто хотел для наглядности показать, какие настройки файрвола я сделал для интерфейса VPN на роутере в сети LAN3.

[Кинетиковод]

На Экстре 2 пропишите маршрут до узла 192.168.5.11 через интерфейс PPTP, шлюз указывать не надо, галку добавлять автоматически надо.

[Firestarter]

21 час назад, Кинетиковод сказал:

На Экстре 2 пропишите маршрут до узла 192.168.5.11 через интерфейс PPTP, шлюз указывать не надо, галку добавлять автоматически надо.

 

После того, как по вашему совету, прописал на роутере в LAN3 маршрут до 192.168.5.11, все заработало!

Спасибо вам огромное! Вы меня здорово выручили! 👍

[lyoksa]

Присоединяюсь.

Огромное спасибо)

[Dima-rds]

Всем привет, У меня похожая схеме

Прочитал статью к сожалению не удалось повторить решение  - что где пропустил не могу понят. Подскажите)

В текущей схеме вижу только сеть от клиента до сервера - через сервер от удаленного сотрудника или из офиса 1 до офиса 2 не идет трассировка уходит в мир

На клиентах доп маршруты не прописаны

Прописывал как в статье до узла или до сети не помогло

На все Keenetic версия  4.0.7

 

[Кинетиковод]

7 часов назад, Dima-rds сказал:

У меня похожая схеме

У вас даже на схеме ошибка. На 36 шлюз маршрут до сети 111.10, а должен быть 46.0. На клиентах должен автоматически добавится маршрут до 111.29. Если его нет в списке маршрутов при подключении, то пропишите вручную. Если хотите из дома заходить в офис 1 и 2, то пропишите в офисах маршрут до сети 172.16.63.0 через интерфейс sstp.

[Dima-rds]

17 часов назад, Кинетиковод сказал:

У вас даже на схеме ошибка. На 36 шлюз маршрут до сети 111.10, а должен быть 46.0. На клиентах должен автоматически добавится маршрут до 111.29. Если его нет в списке маршрутов при подключении, то пропишите вручную. Если хотите из дома заходить в офис 1 и 2, то пропишите в офисах маршрут до сети 172.16.63.0 через интерфейс sstp.

Да все верно в описание опечатался - до сети 10.111.0.0 - 63.35, а до сети 10.46.0.0 - 63.36

Но из сети к примеру 10.46 не вижу 10.111.0.0 - сеть 10.111.29.0 из любого подключения добавляюсь автоматом маршруты  

Если хотите из дома заходить в офис 1 и 2, то пропишите в офисах маршрут до сети 172.16.63.0 через интерфейс sstp. - Немного не понял как и где

[Кинетиковод]

8 часов назад, Dima-rds сказал:

Немного не понял как и где

Пропишите маршруты через интерфейс sstp.

 

[slimerz0r]

подскажите, пожалуйста. ситуация похожа.

3 сети, роутеры:

1) titan - local 192.168.0.1 - static ip - l2tp server NAT off

2) hero 4g - local 192.168.1.1 - dynamic ip - l2tp client (100.100.0.11)

3) giga 3 - local 192.168.2.1 - static ip - l2tp client (100.100.0.22)

 

на титане прописаны маршруты как в статье а именно:
192.168.1.0/24 - 100.100.0.11 - интерфейс любой - эксклюзивный нет - автоматический да

192.168.2.0/24 - 100.100.0.22 - интерфейс любой - эксклюзивный нет - автоматический да

на обоих vpn клиентах разрешены все протоколы в межсетевом экране на вкладке с vpn подключением. + на пк из сети 2 разрешены входящие подключения в win10 как в статье.

 

итого: у пк из клиентских сетей есть доступ в админку к роутеру на котором сервер (192.168.0.1). с титана (который впн сервер) проходит пинг из админки только на роутеры клиенты по адресу их сети (192.168.1.1 / 2.1). при этом на другие пк пинга нет как и всех пк из разных сетей между собой. если включить NAT в настройках впн сервера - на телефоне с LTE можно зайти в teamviewer на пк только из сети 1 по локальному адресу. и все. 

желаемый результат: доступы с пк из сети 1 ко всем роутерам и пк из других сетей. например вебсервер в сети 2 и принтер в сети 3. в идеале это доступность вебсервера из сети 2 по внешнему ip впн сервера + доступ ко всем локальным сервисам между пк из разных сетей.

[Monstr86]

12 часа назад, slimerz0r сказал:

подскажите, пожалуйста. ситуация похожа.

3 сети, роутеры:

1) titan - local 192.168.0.1 - static ip - l2tp server NAT off

2) hero 4g - local 192.168.1.1 - dynamic ip - l2tp client (100.100.0.11)

3) giga 3 - local 192.168.2.1 - static ip - l2tp client (100.100.0.22)

 

на титане прописаны маршруты как в статье а именно:
192.168.1.0/24 - 100.100.0.11 - интерфейс любой - эксклюзивный нет - автоматический да

192.168.2.0/24 - 100.100.0.22 - интерфейс любой - эксклюзивный нет - автоматический да

на обоих vpn клиентах разрешены все протоколы в межсетевом экране на вкладке с vpn подключением. + на пк из сети 2 разрешены входящие подключения в win10 как в статье.

 

итого: у пк из клиентских сетей есть доступ в админку к роутеру на котором сервер (192.168.0.1). с титана (который впн сервер) проходит пинг из админки только на роутеры клиенты по адресу их сети (192.168.1.1 / 2.1). при этом на другие пк пинга нет как и всех пк из разных сетей между собой. если включить NAT в настройках впн сервера - на телефоне с LTE можно зайти в teamviewer на пк только из сети 1 по локальному адресу. и все. 

желаемый результат: доступы с пк из сети 1 ко всем роутерам и пк из других сетей. например вебсервер в сети 2 и принтер в сети 3. в идеале это доступность вебсервера из сети 2 по внешнему ip впн сервера + доступ ко всем локальным сервисам между пк из разных сетей.

В брандмауэрах клиентских компьютеров прописали сеть 100.100.0.0 разрешенной?

[slimerz0r]

15 часов назад, Monstr86 сказал:

В брандмауэрах клиентских компьютеров прописали сеть 100.100.0.0 разрешенной?

да.
после неопределенных действий теперь проходит пинг с роутера на котором впн сервер до пк внутри других сетей. но только с роутера.

[Lexm434]

Привет всем! Не могу настроить нормально маршрутизацию сервера IKEv2/IPsec на своей ультра. 

Какая суть: 

Поднят VPN-сервер IKEv2/IPsec на Keenetic Ultra.

Конфиг сервера: начальный IP 175.20.20.1, пул IP-адресов 100, DNS-сервера 78.47.125.180, NAT для клиентов — стоит галка.

Создан пользователь usertest с IP 175.20.20.2.

KeenDNS активирован — прямой доступ.

Внутренняя локальная сеть 192.168.0.0.

Подключаюсь к VPN-серверу своему, всё ОК, но во внутреннюю сеть не пускает, пинга нет (у клиента выкл галку «Использовать интернет с сервера»). А если на клиенте добавить маршрут — route add 192.168.0.0 mask 255.255.255.0 170.20.20.2, всё ОК, пинг работает. 

Я так понимаю, что-то с маршрутизацией, «Кинетик» не передает маршруты клиенту почему-то, хотя во всех мануалах должен передавать во внутреннюю сеть. Подскажите, куда копать? Мне нужно, чтоб клиенты автоматом получали маршруты до моих внутренних сетей где развернут сервер.

[Le ecureuil]

2 часа назад, Lexm434 сказал:

 

Привет всем! Не могу настроить нормально маршрутизацию сервера IKEv2/IPsec на своей ультра. 

Какая суть: 

Поднят VPN-сервер IKEv2/IPsec на Keenetic Ultra.

Конфиг сервера: начальный IP 175.20.20.1, пул IP-адресов 100, DNS-сервера 78.47.125.180, NAT для клиентов — стоит галка.

Создан пользователь usertest с IP 175.20.20.2.

KeenDNS активирован — прямой доступ.

Внутренняя локальная сеть 192.168.0.0.

Подключаюсь к VPN-серверу своему, всё ОК, но во внутреннюю сеть не пускает, пинга нет (у клиента выкл галку «Использовать интернет с сервера»). А если на клиенте добавить маршрут — route add 192.168.0.0 mask 255.255.255.0 170.20.20.2, всё ОК, пинг работает. 

Я так понимаю, что-то с маршрутизацией, «Кинетик» не передает маршруты клиенту почему-то, хотя во всех мануалах должен передавать во внутреннюю сеть. Подскажите, куда копать? Мне нужно, чтоб клиенты автоматом получали маршруты до моих внутренних сетей где развернут сервер.

Клиент у вас windows? DHCP INFORM приходит? Версия какая KeeneticOS?

[Lexm434]

21 час назад, Le ecureuil сказал:

Клиент у вас windows? DHCP INFORM приходит? Версия какая KeeneticOS?

Windows 11,  DHCP INFORM? как посмотреть? версия 4.2.6. если ставлю галку использовать основной шлюз в windows 11 то все ок

[Leshiyart]

21 час назад, Le ecureuil сказал:

NAT для клиентов — стоит галка

на сколько помню как раз наоборот ее надо убрать, тогда локальные сети отдадутся маршрутом

[Lexm434]

17 минут назад, Leshiyart сказал:

на сколько помню как раз наоборот ее надо убрать, тогда локальные сети отдадутся маршрутом

Галку убрал не помогла. Вообщем попробовал на другом компе и все ок, тоже винда 11, не знаю что с моей виндой тогда. Пинг прошел на 192.168.0.1. Не подскажешь как отдать еще подсетьть 10.128.5.0? автоматически клиентам. Делаю пока так через power shell - Add-VpnConnectionRoute -ConnectionName "vpn ikev" -DestinationPrefix 10.128.5.0/24 -PassThru

Это работает но хотел бы автоматом как с  192.168.0.0

[Leshiyart]

13 минут назад, Lexm434 сказал:

отдать еще подсетьть 10.128.5.0?

crypto map VirtualIPServerIKE2 virtual-ip dhcp route 10.128.5.0/24
system configuration save
попробуй так

[Lexm434]

Только что, Leshiyart сказал:

crypto map VirtualIPServerIKE2 virtual-ip dhcp route 10.128.5.0/24
system configuration save
попробуй так

Это через ssh на роутере сделать?

[Leshiyart]

Только что, Lexm434 сказал:

Это через ssh на роутере сделать?

ssh/telnet/web cli

[Le ecureuil]

4 часа назад, Leshiyart сказал:

на сколько помню как раз наоборот ее надо убрать, тогда локальные сети отдадутся маршрутом

Они всегда отдаются, это несвязано.

[Lexm434]

21 час назад, Leshiyart сказал:

crypto map VirtualIPServerIKE2 virtual-ip dhcp route 10.128.5.0/24
system configuration save
попробуй так

Все получилось. спасибо! Остается загадкой что не некоторых компах, не работает маршрут 0.0 пока не добавишь через power shell - Add-VpnConnectionRoute -ConnectionName "vpn ikev" -DestinationPrefix 10.128.5.0/24 -PassThru.