Перейти к содержимому
Калькуляторы

Клиенты За VPN не видят друг друга.


В общем стандартная схема. Центральный микрот.
2 клиента. Роутинг везде правильный, маршруты настроены.
VPN - l2tp+ipsec
С центрального офиса все видно. С филиалов видно все что нужно в центре. Но ни при каких настройках С филиалов не пингуются другие филиалы.
Трасерт пакетов идет до центрального микротика и дальше никуда.
Переискал уже все настройки.
Такое ощущение что это то именно встроенное ограничение

Прошивки везде 6.42.2

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

Нет никаких встроенных ограничений.

Смысл писать сюда без конфигов ? 

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

Вы не забыли исключить диапазоны филиалов из правил NAT для выхода в Интернет?

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

Нет не забыл.

Разобрался.

В каждом филиале добавил маршрут до внутреннего впн адреса соседа.

И где логика чесслово? бред какой то

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

3 часа назад, Rainmib сказал:

Роутинг везде правильный, маршруты настроены.

 

1 час назад, Rainmib сказал:

В каждом филиале добавил маршрут

Смешно. Изучайте, как работает маршрутизация и NAT

Изменено пользователем nkusnetsov

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

из правил ната исключены диапазоны за впном - у всех.

Все дело было именно в том что на внутренний адрес центрального микротика в каждом филиале появился маршрут в впнинтерфейс автоматически.

А не хватало маршрута до внутреннего впн ип адреса соседнего филиала.

И логики в этом не очень много. Все настоящие сети были нормально прописаны.

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

2 часа назад, Rainmib сказал:

из правил ната исключены диапазоны за впном - у всех.

Все дело было именно в том что на внутренний адрес центрального микротика в каждом филиале появился маршрут в впнинтерфейс автоматически.

А не хватало маршрута до внутреннего впн ип адреса соседнего филиала.

И логики в этом не очень много. Все настоящие сети были нормально прописаны.

Сколько еще будите рукоблудием заниматься по клавиатуре.., в студию все конфиги, и филиалов!

Изменено пользователем Chexov

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

5 hours ago, Rainmib said:

И логики в этом не очень много.

Это не верно. Предполагаю, что дополнительные маршруты вам понадобились, так как происходит подмена адреса на выходе из туннеля.

 

 

Изменено пользователем McSea

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

Или туннель отдается с маской /32, как по-умолчанию и происходит.

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

А еще на микроте есть встроенный сниффер, который отлично помогает решать такие проблемы.

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

В 10.06.2019 в 21:12, McSea сказал:

Это не верно. Предполагаю, что дополнительные маршруты вам понадобились, так как происходит подмена адреса на выходе из туннеля.

 

 

 

Да грубо говоря у меня так настроено в настройках сервера прописаны 3 клиента для первого локал адрес 10.10.88.1 ремот адрес 10.10.88.2 и так далее.. В итоге на всех клиентах есть маршрут до 10.10.88.1 а вот до 88.2, 3 и 4 нету маршрутов.

Прописал их статикой на каждом клиенте и все заработало.

Из Ната все убрано путем добавление исключения в правиле маскарадинга списка сетей в дестинейшен адрес листе.

 

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

16 hours ago, Rainmib said:

а вот до 88.2, 3 и 4 нету маршрутов.

 

On 6/10/2019 at 12:05 PM, Rainmib said:

Роутинг везде правильный, маршруты настроены.

 

16 hours ago, Rainmib said:

Прописал их статикой на каждом клиенте и все заработало.

костыли верный признак правильно настроеных роутов. :D

 

On 6/10/2019 at 12:05 PM, Rainmib said:

В общем стандартная схема.

В общем у стандартных схем существуют стандартные решения " где колеса велосипеду уже догадались сделать круглыми".

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

Достаточно включить OSPF и все заработает. Так нет, надо придумывать странное.

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

@McSea 

Вы правы.

Убрал эти нелепые маршруты на внутренние ип адреса.

Прописал преф соурс адреса у нормальных маршрутов и все работает.

Спасибо всем большое.

Пойду ospf включу

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

С вариантом OSPF, когда несколько микротиков и к каждому свои сети подключены - вроде понятно.

 

А подскажите, как правильно решить _почти_ такую же задачу:

- центральный Микротик, к нему по VPN подключаются "филиалы", в каждом тоже своя сеть, допустим, OSPF настроили - все клиенты в сетях друг-друга видят.

 

А теперь к "центральному" Микротику подключается по VPN конечный пользователь - и ему требуется видеть и ресурсы "центрального" и всех филиалов. Или OSPF и здесь точно так же будет работать?

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

А какая разница? У клиента дефолт на микрот. У микрота своя таблица маршрутизации и он решает куда слать пакет. Вопрос может быть в трафике от филиалов. Нужно чтобы центральный микрот анонсил маршрут на VPN клиентов через себя, а то пакеты улетят в дефолтный.

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

12 часов назад, Alex2908 сказал:

А теперь к "центральному" Микротику подключается по VPN конечный пользователь - и ему требуется видеть и ресурсы "центрального" и всех филиалов. Или OSPF и здесь точно так же будет работать?

Если VPN в своей адресации - убедиться, что эта сеть анонсируется в OSPF, всё. Хотя я сталкивался на МТ с жопой, когда это не работало. Пришлось создавать loopback,включать его в отдельный мост, в PPP профиле указывать этот мост, мосту давать адрес хоста для VPN-клиентов в туннеле - тогда заработало. Но это было году так в 13-м, врядли такое сейчас потребуется (хотя идеологически оно верное). 

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

Если конечный пользователь, то ему выдается IP из той же адресации и этот адрес точно так же по всей сети разлетается. Все устройства узнают о его появлении и знают куда отправлять данные для него.

Поделиться сообщением


Ссылка на сообщение
Поделиться на других сайтах

Join the conversation

You can post now and register later. If you have an account, sign in now to post with your account.

Гость
Ответить в тему...

×   Вставлено в виде отформатированного текста.   Вставить в виде обычного текста

  Разрешено не более 75 смайлов.

×   Ваша ссылка была автоматически встроена.   Отобразить как ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставить изображения напрямую. Загрузите или вставьте изображения по ссылке.