Проброс порта через два NAT и PPTP VPN

[FigaroVL]

Приветствую. Что-то я застрял на решении следующей задачки, прошу помочь. Следующая схема:
Дача: Локальная сеть 10.200.12.0, в ней стоит DVR 10.200.12.5, у которого на 80 порту WEB морда с просмотром камер. Выход в интернет обеспечивает Microtik, на нем настроен PPTP интерфейс (pptp-home), который подключается к домашнему VPN серверу. На Microtik настроен NAT для проброса порта 80 на интерфейсе pptp-home на DVR.

Дом: интернет от МГТС - GPON, роутер HG8245, белый динамический IP, DynDNS, локальная сеть: 10.200.10.0, NAT проброс VPN (1723) на Win2008 сервер (настроек для GRE нет), на котором установлен и настроен RRAS (Routing and Remote Access). Заведен пользователь, у него прописан жестко IP для удаленного подключения (10.200.13.20)

Microtik устанавливает VPN сессию c RRAS сервером,на самом сервере в браузере по адресу 10.200.13.20 DVR виден. Теперь необходимо пробросить этот порт наружу, что бы можно было из инета смотреть на DVR. Т.е. на сервере в RRAS сделать проброс с 10.200.10.3:8083 на 10.200.13.20:80 и потом пробросить 8083 порт на маршрутизаторе HG8245 (это не проблема).
А вот на RRAS я заткнулся, вроде и NAT поднял на внутренней сетевой карте, а все равно порт не открывается даже из домашней локалки. Понимаю, что схема слегка извращенная, но на даче инет нормально тянет только beeline, а белый IP у него получить никак :)

[Tonny_Bennet]

FigaroVL, трижды перечитал и думаю что лучше бы получить схемку в более-мнее читабельном виде

[FigaroVL]

Вот схема и парочка скриншотов настройки RRAS. PPTP туннель устанавливается, с сервера 10.200.10.3 интерфейс видеорегистратора открывается.
А из домашней локальной сети по порту 10.200.10.3:8083 ничего не открывается и данный порт на сервере не прослушивается.

[Tonny_Bennet]

Вам нужно грамотно настроить маршрутизацию между сетями. пока даже без пробросов портов.

Роутер с дачи подключается к серверу дома. Отлично. При правильном подключении и настройке маршрутизации вы будете иметь доступ из любой сети (дом/дача) в любую другую сеть. А там уже сделаете один форвардинг портов с внешнего адреса вашего домашнего роутера на адрес вашего dvr сервера на даче.

Теперь о маршрутизации:

1. MT дачи подключается к VPN серверу дома. Получает адрес для интерфейса 10.200.13.20. Какой адрес в VPN сети у сервера?
2. В момент подключения (ну или после) MT на даче должен прописать маршрут в сеть вашего дома. Что-то типа route add -net 10.200.10.0/24 gw <адрес в VPN сети у сервера>
3. В свою очередь на VPN сервере в момент подключения нужно прописать (или настроить автоматом) маршрут в сеть дачи: route add 192.200.12.0/24 gw 10.200.13.20
4. Т.к. в сети вашего дома основной шлюз это роутер HG8245, то на нём нужно добавить маршрут в сеть вашей дачи, через VPN сервер: route add -net 10.200.12.0/24 -gw <адрес VPN сервера внутри локальной сети дома>

По идее после этих настроек все клиенты разных сетей смогут видеть друг-друга.

5. Нужно прописать проброс DVR порта с внешнего адреса домашнего сервера на локальный адрес DVR сервера на даче.

В теории должно заработать.

[FigaroVL]

Спасибо за пояснения.
1. Установил адрес сервера VPN 10.200.15.20
2. На MT прописал статический маршрут в сеть 10.200.10.0/24
3. На сервере добавил маршрут (route add) в сеть 10.200.12.0/24

Проверил, пинги с сервера доходят до DVR, с MT пингуется сервер.
Но теперь начинаются сложности:
1. HG8245 - маршрутизатор не умеет управлять таблицей маршрутизации - нет там таких настроек.
2. RRAS не позволяет прописать маршрут для входящего соединения (на интерфейсе VPN сервера), только на локальном интерфейсе. я добавил через route add, но это до первой перезагрузки. Можно конечно извратиться и задачей добавлять маршрут при загрузке сервера - другого выхода пока не вижу.

Изменил настройку проброса порта в RRAS не помогло.

[Tonny_Bennet]

2. RRAS не позволяет прописать маршрут для входящего соединения (на интерфейсе VPN сервера), только на локальном интерфейсе. я добавил через route add, но это до первой перезагрузки. Можно конечно извратиться и задачей добавлять маршрут при загрузке сервера - другого выхода пока не вижу. »

В настройках пользователя, по-моему, можно указать какая сеть за этим пользователем.

Upd. Вкладка входящие звонки. Кнопка статические маршруты.

1. HG8245 - маршрутизатор не умеет управлять таблицей маршрутизации - нет там таких настроек. »
На скринах в сети увидел вкладку Route. Всё же мне кажется умеет. Инструкция (http://enterprise.huawei.com/ilink/enenterprise/download/HW_U_149031)

[FigaroVL]

Да, действительно. Прописал - маршрут появился, но PING стал выдавать: Нет ресурсов. Сейчас посмотрю - первый раз такое вижу.

[Tonny_Bennet]

Не забудьте отключить NAT в соседние сети и в VPN сеть.

NAT у вас должен быть только из домашней сети в интернет и из сети дачи в интернет.

[FigaroVL]

Спасибо за инструкцию.
Да, NAT отключен.
С HG8245 - сложности, МГТС отключили с 1 августа админский вход на маршрутизатор (root - это пользователь, полный доступ был у пользователя telecomadmin) и настройки маршрутизации указать нельзя. Форумы сейчас пестрят сообщениями об этом - народ в расстройстве. Есть конечно пару идей как сломать, но я пока не пробовал.

С нет ресурсов - это я не правильно метрику указал.

Что-то с маршрутами у меня никак :)
Указываешь маленькую метрику 3 - пинг пишет нет ресурсов, большую в пакеты уходят в интернет (tracert)

[FigaroVL]

когда добавляю через route add - метрика присваивается 290 и пинги ходят, а когда через настройки пользователя - даже если там укажу метрику, route print показывает 35 метрику и пишет что нет ресурсов :)

перестал я мучатся с этими метриками : опция -p в route add и маршрут стал постоянным

[Tonny_Bennet]

FigaroVL, при перезапуске сети может измениться идентификатор интерфейса и маршрут перестанет работать вовсе