Клиенты За VPN не видят друг друга.

[Rainmib]

В общем стандартная схема. Центральный микрот. 2 клиента. Роутинг везде правильный, маршруты настроены. VPN - l2tp+ipsec С центрального офиса все видно. С филиалов видно все что нужно в центре. Но ни при каких настройках С филиалов не пингуются другие филиалы. Трасерт пакетов идет до центрального микротика и дальше никуда. Переискал уже все настройки. Такое ощущение что это то именно встроенное ограничение Прошивки везде 6.42.2

[McSea]

Нет никаких встроенных ограничений.

Смысл писать сюда без конфигов ? 

[jffulcrum]

Вы не забыли исключить диапазоны филиалов из правил NAT для выхода в Интернет?

[Rainmib]

Нет не забыл.

Разобрался.

В каждом филиале добавил маршрут до внутреннего впн адреса соседа.

И где логика чесслово? бред какой то

[nkusnetsov]

3 часа назад, Rainmib сказал:

Роутинг везде правильный, маршруты настроены.

 

1 час назад, Rainmib сказал:

В каждом филиале добавил маршрут

Смешно. Изучайте, как работает маршрутизация и NAT

Edited June 10, 2019 by nkusnetsov

[Rainmib]

из правил ната исключены диапазоны за впном - у всех.

Все дело было именно в том что на внутренний адрес центрального микротика в каждом филиале появился маршрут в впнинтерфейс автоматически.

А не хватало маршрута до внутреннего впн ип адреса соседнего филиала.

И логики в этом не очень много. Все настоящие сети были нормально прописаны.

[Chexov]

2 часа назад, Rainmib сказал:

из правил ната исключены диапазоны за впном - у всех.

Все дело было именно в том что на внутренний адрес центрального микротика в каждом филиале появился маршрут в впнинтерфейс автоматически.

А не хватало маршрута до внутреннего впн ип адреса соседнего филиала.

И логики в этом не очень много. Все настоящие сети были нормально прописаны.

Сколько еще будите рукоблудием заниматься по клавиатуре.., в студию все конфиги, и филиалов!

Edited June 10, 2019 by Chexov

[McSea]

5 hours ago, Rainmib said:

И логики в этом не очень много.

Это не верно. Предполагаю, что дополнительные маршруты вам понадобились, так как происходит подмена адреса на выходе из туннеля.

 

 

Edited June 10, 2019 by McSea

[jffulcrum]

Или туннель отдается с маской /32, как по-умолчанию и происходит.

[VolanD666]

А еще на микроте есть встроенный сниффер, который отлично помогает решать такие проблемы.

[Rainmib]

В 10.06.2019 в 21:12, McSea сказал:

Это не верно. Предполагаю, что дополнительные маршруты вам понадобились, так как происходит подмена адреса на выходе из туннеля.

 

 

 

Да грубо говоря у меня так настроено в настройках сервера прописаны 3 клиента для первого локал адрес 10.10.88.1 ремот адрес 10.10.88.2 и так далее.. В итоге на всех клиентах есть маршрут до 10.10.88.1 а вот до 88.2, 3 и 4 нету маршрутов.

Прописал их статикой на каждом клиенте и все заработало.

Из Ната все убрано путем добавление исключения в правиле маскарадинга списка сетей в дестинейшен адрес листе.

 

[McSea]

@Rainmib 

 

[user71]

16 hours ago, Rainmib said:

а вот до 88.2, 3 и 4 нету маршрутов.

 

On 6/10/2019 at 12:05 PM, Rainmib said:

Роутинг везде правильный, маршруты настроены.

 

16 hours ago, Rainmib said:

Прописал их статикой на каждом клиенте и все заработало.

костыли верный признак правильно настроеных роутов. :D

 

On 6/10/2019 at 12:05 PM, Rainmib said:

В общем стандартная схема.

В общем у стандартных схем существуют стандартные решения " где колеса велосипеду уже догадались сделать круглыми".

[Saab95]

Достаточно включить OSPF и все заработает. Так нет, надо придумывать странное.

[Rainmib]

@McSea 

Вы правы.

Убрал эти нелепые маршруты на внутренние ип адреса.

Прописал преф соурс адреса у нормальных маршрутов и все работает.

Спасибо всем большое.

Пойду ospf включу

[Alex2908]

С вариантом OSPF, когда несколько микротиков и к каждому свои сети подключены - вроде понятно.

 

А подскажите, как правильно решить _почти_ такую же задачу:

- центральный Микротик, к нему по VPN подключаются "филиалы", в каждом тоже своя сеть, допустим, OSPF настроили - все клиенты в сетях друг-друга видят.

 

А теперь к "центральному" Микротику подключается по VPN конечный пользователь - и ему требуется видеть и ресурсы "центрального" и всех филиалов. Или OSPF и здесь точно так же будет работать?

[TriKS]

А какая разница? У клиента дефолт на микрот. У микрота своя таблица маршрутизации и он решает куда слать пакет. Вопрос может быть в трафике от филиалов. Нужно чтобы центральный микрот анонсил маршрут на VPN клиентов через себя, а то пакеты улетят в дефолтный.

[jffulcrum]

12 часов назад, Alex2908 сказал:

А теперь к "центральному" Микротику подключается по VPN конечный пользователь - и ему требуется видеть и ресурсы "центрального" и всех филиалов. Или OSPF и здесь точно так же будет работать?

Если VPN в своей адресации - убедиться, что эта сеть анонсируется в OSPF, всё. Хотя я сталкивался на МТ с жопой, когда это не работало. Пришлось создавать loopback,включать его в отдельный мост, в PPP профиле указывать этот мост, мосту давать адрес хоста для VPN-клиентов в туннеле - тогда заработало. Но это было году так в 13-м, врядли такое сейчас потребуется (хотя идеологически оно верное). 

[Saab95]

Если конечный пользователь, то ему выдается IP из той же адресации и этот адрес точно так же по всей сети разлетается. Все устройства узнают о его появлении и знают куда отправлять данные для него.