VPN для RDP

[Kharkov_max]

Всем добрый день.

Возникла необходимость создать VPN тунель и клиента впустить на Терминальный сервер.

VPN поднялся, на сервере видно что клиент занимает порт, но сервер не пингуется и соответственно не может заработать RDP.

Сервер имеет IP 192.168.10.1, VPN раздает клиентам адреса 192.168.30.1 - 192.168.30.10.

Теоретически, на сколько я понимаю при подключении клиента сервер VPN получает адрес 192.168.30.1 а клиент 192.168.30.2.
Клиенту действительно выдается адрес 192.168.30.2, но где посмотреть какой IP у VPN сервера я не знаю ((((.
При подключеном VPN не пингуются с клиента адреса сервера 192.168.30.1 или 192.168.10.1.

Вообщем думаю что проблема в маршрутизации...

Подскажите пожалуйста как дальше быть и что дальше необходимо настроить.

Заранее благодарен.

[Delirium]

Давай сначала тогда.
Почему у тебя сервер имеет IP 192.168.10.1, а выдает 30.* ? Почему не из диапазона твоей подсети?
Стоит ли на сервере файрволл? Как ВПН создан?
но сервер не пингуется и соответственно не может заработать RDP »
Вовсе нет, можно закрыть ping и открыть RDP, это не показатель.
Покажи ipconfig /all с сервера VPN и с клиента при подключенном VPN, будем смотреть. Заодно с клиента покажи результат команды tracert 192.168.10.1.

[Dirk Diggler]

Почему у тебя сервер имеет IP 192.168.10.1, а выдает 30.* ? Почему не из диапазона твоей подсети? »

вариант маски /16 не учитывается?

[Delirium]

ну почему же, учитывается, но в вопросе уточнено этого не было. Спросить не помешает :)

[Kharkov_max]

Дело в том что я не знаю какой IP получает сервер.

Возможно я не правильно объяснил.

1. IP 192.168.10.1 это адрес сервера в локальной сети, но клиент конектится на сервер через ADSL модем. Адрес модема
192.168.20.1, адрес сетевой на кот. смотрит модем 192.168.20.2 (на сервере 2 сетевых, одна смотрит в локалку а вторая
на модем). Наверное, тогда если клиент лезет через модем и сетевую то реальный адрес сервера для клиента
192.168.20.2
2. Серер VPN выдает 30.* клиентам, т.е. клиенты получают адреса 30й подсети.
3. Клиент не может подключится ни по какому протоколу. Т.е. вроде к серверу VPN подцепился, но не работает вообще
ничего.
4. Фаервол стоит. Стоит Kerio, но если я цеплаюсь RDP или Radmin без VPN, то все работает. Т.е и модем и фаервол
пропускают пакеты RDP и Radmin
5. VPN сервер поднимал по инструкции которая блуждает по инету http://system-administrators.info/?p=418
Сделал в точности по инструкции. DHCP на сервере не поднят, домена тоже нет. Единственное что не сделал по
инструкции это не конфигурил NAT.

Подскажите что делать и настраивать дальше.

[Delirium]

Покажи ipconfig /all с сервера VPN и с клиента при подключенном VPN, будем смотреть. Заодно с клиента покажи результат команды tracert 192.168.10.1. »

[InnoSanctum]

А впн средствами Керио поднят? Или стандартный? Это важно:) Если Керио - то на фаерволе все настраивается - и адрес сервера виден, и диапазон, откуда клиентма дают адреса.
В случае Керио необходимо создать разрешающее правило типа
<имя> <source> <destination> <service> <action>
"name" "all vpn clients" "Firewall" "RDP,Ping" "Permit"

[Kharkov_max]

Delirium,

В данный момент нет такой возможности дать данные по ipconfig, разве что вечером, это домашний комп.

InnoSanctum,

VPN в Kerio не поднимал, хочу настроить тот что есть в сервере.

[Ferum01]

Что б разобраться в проблеме, для начала надо выключить на серваке всякие файрволы(они могут блокировать пинги и прочее)!
Внутрення сеть 192.168.10.1/255 внешняя 192.168.20.1/255,
значит для работы vpn сервера надо указать адреса своей сети (к примеру хотя бы два свободных 192.168.10.2 и 192.168.10.3 ). при подключении серверу присвоиттся 192.168.10.2 клиенту 192.168.10.3 и все прекрасно(пингуется сервер как 192.168.10.1 и 192.168.10.2)... При подключении vpn у клиента указывается естественно ип 192.168.20.1.
Меня смущает два прикола зачем указывать сеть 192.168.30.1/255 (она ни туда ни сюда)?
И что за ип интернета такой странный 192.168.20.1(или это не инет а какая то корпоротивная подсеть)?

[Kharkov_max]

Ferum01,

Фаервол выключал в первую очередь, не помогло.

Адрес 192.168.20.1 это локальный адрес ADSL модема. Клиент на модем лезет через динамический Dns (DynDns).

Т.е. маршрут клиента такой, запрос идет на DynDns (адрес интернета) -> 192.168.20.1 (ADSL модем) -> 192.168.20.2 (сетевая карта Сервера) -> Ну и сам сервер VPN.

[Ferum01]

Фаервол выключал в первую очередь, не помогло.
Адрес 192.168.20.1 это локальный адрес ADSL модема. Клиент на модем лезет через динамический Dns (DynDns).
Т.е. маршрут клиента такой, запрос идет на DynDns (адрес интернета) -> 192.168.20.1 (ADSL модем) -> 192.168.20.2 (сетевая карта Сервера) -> Ну и сам сервер VPN. »
Понятно, значит модем настроен как бриджик. Так просто не подлючитесь, надо либо модем как роутер конфигурить, либо в модеме перенапраление делать (эт заморочки). Тебе надо, что б на твоей сетевухе на сервере был присвоет интернетовский ип адрес, он щас у тебя в модеме со стороны интета (в модеме тоже 2 ип один внутренний 192.168.20.1 и внешний интернет(его и надо знать!!!))

Да кстати в зависимости от возможностей ADSL модема, можно VPN прям в нем настроить (и пущай тода бриджиком и остается).

[Kharkov_max]

Народ снимаю перед Вами шляпу и благодарю за помощь.

Виной всему был Kerio, выключил его и все забегало, и пинги и подключение.

Вероятнее всего когда я Kerio выключал был какой то глюк на линии т.к. подключался с клиента через GPRS.

Но хочу развить тему дальше и задать еще несколько вопросов.

1. Как подружить Kerio с виндовым VPN.
2. Как сделать так что б при подключении с клиента по определенному логину и паролю клиенту выдавался определенный IP адрес который я для него заранее определю.
3. Как в самом канале VPN заблокировать все протоколы кроме некоторых, скажем RDP, Radmin (порт) и FTP.

Еще раз благодарю Вас за помошь и поддержку !!!

[Ferum01]

2. что б присвоить ип клиенту надо зайти мой комп-> управление -> пользователи -> свойства клиента (кот по vpn) и там прописываешь нужный ип.
3. при подключении к vpn комп клиента становится таким же компом как буд то он был подключен к локальной сети внутри офиса, поэтому рулить ограничением просто так не возможно, обычно это через шлюз делается или ограничение на каждой машине, что немножко извращение (в общем vpn как раз на то и расчитан сделать клиента полноправним членом внутренней сети отрыть доступ ко всему, канал то защищенный).

[Kharkov_max]

Пункт 2. заработал. Спасибо.

Было бы интерестно с Kerio подружить ....

[Kharkov_max]

Не могу побороть дружбу Kerio и Windows VPN.

Весь инет облазил и не нашел ответа.

Если Kerio выключить то клиент подсоединяется и все нормально бегает.
Если Kerio включен, клиент пишет что подключился нормально, клиенту сервер адрес выдает и т.д. , но ничего не работает ни пинги ни DRP.

Помогите плиз решить проблему.

В Kerio правилом разрешены пакеты из сети VPN, открыт GRE, PPTP, Ping и т.д.

Не могу понять в чем дело (((, толи Kerio по умолчанию виндовый VPN рубит .....

[casper3008]

Керио есть виртуальный VPN сервер, это и есть ваш сервер Windows, поставте его с указанным IP 127.0.0.1.

А если хочешь ограничить порты, то сам VPN тогда не имеет смысла, ограничение можно поставить через тот же
UserGude 2.0, а ещё лучше UserGude 4.0 (аналог Kerio).
2.0 легок в настройке, а в 4.0 гибкие настройки и тоже есть виртуальный VPN сервер. Выбирай!

[Kharkov_max]

casper3008,

А можно по подробнее как это сделать.

С керио ставится VPN интерфейс, который в самом керио виден как VPN сервер. Это он ?

Пробовал поставить интерфейсу Kerio VPN ip 127,0,0,1 , винда не дает этого сделать.

Возможно что то делаю не так.

Все другие фаеры отпадают, хочецца именно Kerio.

[casper3008]

Не интерфейсу Kerio поставить IP 127.0.0.1, а в самом Kerio есть маршрутизируемый порт VPN (так называемый виртуальный сервер), и его нужно указать, вот там необходимо указать IP 127.0.0.1 (интерфейс "замыкание на себя" он есть всегда, даже если он и неотображается).

В данном случае Kerio будет работать как маршрутизатор твоего VPN от Windows и и-нетом.

[Kharkov_max]

В интерфейсах есть VPN сервер, это оно ?
Есть еще порт Kerio VPN .....

Если оно расскажите как ему дать верный адрес ? У меня просто не получилось (((.

А еще лучше будет если Вы расскажете полностью все в подробностях с начала и до конца.

Заранее спасибо.

[Kharkov_max]

casper3008,
UP