Компьютерный форум OSzone.net  

Компьютерный форум OSzone.net (http://forum.oszone.net/index.php)
-   Сетевое оборудование (http://forum.oszone.net/forumdisplay.php?f=55)
-   -   [решено] Отваливается одна из сетей VPN по IPSec [ NEED HELP ] (http://forum.oszone.net/showthread.php?t=226265)

flower 26-01-2012 12:12 1844787

Отваливается одна из сетей VPN по IPSec [ NEED HELP ]
 
Обрисовываю ситуацию..

Итак, имеется 4 сети: Интернет, локальная моя LAN1, VPN-сеть1 и VPN-сеть2.

Локальная сеть (LAN1) стандартной конфигурации: с десяток машин, принтеры, сервер WinServer 2008 R2, ничего необычного. Аналогично и в двух других сетях VPN.

Доступ в интернет и к VPN-сетям для сервера локальной сети LAN1 осуществляется через Zyxel USG 50 (шлюз). На нем поднимается PPPoE-соединение к ADSL-модему, настроенному бриджем. После установки соединения с интернетом на нем же (Zyxel USG 50) поднимаются и 2 VPN-канала по IPSec.

Аппаратный файрволл на шлюзе (Zyxel USG 50) настроен белым списком (запрещено всё, кроме ...). Конфигурация файрволла следующая (опишу привычным языком) :



читать дальше »
По умолчанию запрещены все подключения со всех адресов на все направления.

Доступ с WAN-интерфейса на все направления и на сам шлюз закрыт.
Доступ из локальной сети LAN1 к интерфейсу WAN закрыт.

Доступ из локальной сети к интерфейсу WAN разрешен только для сервера (win server 2008, с которого раздается инет для юзеров по юзергейту).

Доступ к самому шлюзу (Zyxel USG 50) разрешен из локальной сети LAN1 только для IP-адреса сервера (win server 2008).

Доступ с группы VPN (VPN1 + VPN2 по IPSec) к локальной сети LAN1 разрешен для всех подключений, портов и протоколов без ограничений.
Доступ из локальной сети LAN1 ко группе VPN (VPN1 + VPN2 по IPSec) также разрешен для всех подключений, портов и протоколов без ограничений.


Все работает нормально поначалу.. Спустя некоторое время (от 30 минут до часа-двух) отваливается наглухо второй VPN-канал, VPN2. В веб-интерфейсе шлюза тем не менее соединение с обеими VPN-сетями показано как "активное". Связь с интернетом также не разрывается. Все продолжает работать, как и задумывалось.. За исключением второго VPN-канала.
Исправляется данная проблема лишь двумя способами:

1. Отключение аппаратного файрволла (способ не годится, сразу говорю).
2. Передергивание аппаратного файрволла (сперва выключаем, заходим на какой-нибудь ресурс из сети VPN2, затем снова включаем файрволл).

Второго способа, как я уже описал, хватает на короткое время. В чем может быть проблема - ума не приложу.. Уже неделю с этим вожусь и не могу ничего сделать. Если WAN-интерфейс не контролировать файрволлом, данной проблемы не наблюдается. Тем не менее, WAN оставлять без файрволла нельзя ни в коем случае.

cameron 26-01-2012 12:15 1844789

мда, описание проблемы конечно забавное.
у этого зюкселя есть логи? Debug log? etc?

flower 26-01-2012 12:28 1844800

Не до забавностей сейчас.
Активировал логирование, посмотрим, что оно покажет.

flower 30-01-2012 11:54 1847471

Вложений: 1
Не были разрешены запросы IKE и ESP между шлюзами, как оказалось.
Скажите, для полноценного функционирования VPN по IPSec какие доп. протоколы требуются: IKE, ESP, еще какие?

Расскажите также, пожалуйста, поподробнее о соединении, запечатленном на скриншоте во вложении. Что оно из себя представляет, зачем оно нужно.. И то, что оно блокируется по умолчанию - ничего страшного? :))

cameron 30-01-2012 12:01 1847476

Цитата:

Цитата flower
Что оно из себя представляет, зачем оно нужно.. »

это DHCP Request

flower 30-01-2012 12:06 1847478

Ну, откуда-то он же должен идти. Не может же он взяться из ниоткуда?) Логика не позволяет понять этот нюанс дословно..
А по остальным вопросам подскажете?


Время: 00:39.

Время: 00:39.
© OSzone.net 2001-