VPN server на ISA 2006
 

Здравствуйте.

Имеется рядовой сервер w2k3, под него ISA server 2006. В сети НЕТ больше никких серверов и сеть одноранговая. (то есть без контроллера домена).
Теперь надо поднимать VPN сервер под ISA.
я создал отдельную группу VPN users в "пользователи и группы" на этом же сервере и туда ввел пользователей, которые должны подключаться к нам в сеть. Теперь пытаюсь вводить эту группу в VPN сервер, но выдает такую ошибку:


дела в том, что работаю под привилегиями АДМИНИСТРАТОР !
как можно решить эту проблему ?

krec
В ISA->Конфигурация->Общие->Назначение административных ролей: пользователю под которым работаете дали роль "Полный администратор ISA Server " ???

Telepuzik,

спасибо большое. блин, у меня просто он на виртуальном среде работает и я забыл, что с хостового машины пытаюсь добавить группу из хостового машины )))

А скажите пожалуйста, вот такая политика хватит для тобо, чтоб удаленные пользователи смогли подключиться к нашему сети ?

Да, хватит.

Настраивал VPN на сервер, вроде как все положено, но когда клиент подключается к серверу - у клиента пропадает сам интернет !
Я как понимаю - надо где-то писать маршрутизацию.

настроил так:
- активировал VPN киенты, добавил тех пользователей, которые должны подключаться к серверу(учетные записи), потом добавил пул IP адресов: 192.168.2.200 - 192.168.2.230.
На удаленном машине локальный адреса : 192.168.1.0/24 раздается. а на офисном сети: 192.168.0.0/24.

Щас вот задача в том, чтобы клиенты смогли к нам подключиться, пользоваться нашими расшаренными документми, получили почту из нашего локального почтового сервера, но при этом использовали СВОЙ интернет.

Может подскажете как настроить клиента ?

krec
Смотрите в настройках VPN соединения на клиенте параметр "Использовать основной шлюз в удалённой сети" галка должна быть снята.

Telepuzik

спасибо. нашел ! буду пробовать

пробовал. теперь все нормально подключается, просто не видно и не пингуется к нашего сети.
вот IPconfig у клиента , когда подключен к VPN серверу:

а вот и таблица маршрутизации у клиента:
подскажите пожалуйста, как настроить правильно ?

krec
Тут есть два варианта:
1. Сделать пул адрессов для VPN клиентов из внутренней подсети 192.168.0.0, а не из подсети 192.168.2.0
2. Оставить пул адрессов VPN 192.168.2.0 и на клиентах прописать route -p ADD 192.168.0.0 MASK 255.255.255.0 192.168.2.200

Telepuzik

а если у нас в локалке используеться адресация 192.168.0.0/24 - ничего?


а после переподключение этот маршрут не удалиться ?

а вот и на всякий случай вкладываю Ipconfig из ISA(vpn) сервера:

Исключите из внутренней подсети часть адресов которые будут выдаваться VPN клиентам.

Могу конечно и ошибаться но помоему ISA присваевает себе первый адрес из пула. При переподключении адрес шлюза остается 192.168.2.200 или меняется? После того как прописали route -p ADD 192.168.0.0 MASK 255.255.255.0 192.168.2.200 пинг стал проходить во внутреннюю сеть ?

Telepuzik,

И как это делать ? если в DHCP сервере "урезать" адреса для локального сети: 192.168.0.20 - 192.168.0.199, то получится в ISA добавить пул 192.168.0.200 - 192.168.0.220 ?
хотя вот картина из DHCP сервера:

просто это немного нудно кажется, и не очень уверен, что после переподключене все будет работать.

P.S. кстати, я в предыдушем посте добавил Ipconfig из ISA сервера. посмотрите, может поможет разобратся ситуацией ?

В ISA->Конфигурация->Сети выбираете внутреннюю сеть и на закладке "Адреса" задаете например два диапазона:
1.192.168.0.0 - 192.168.0.199
2.192.168.0.221 - 192.168.0.255
А VPN клиентам отдаете диапазон 192.168.0.200 - 192.168.0.220, и соответственно исключаете этот диапазон из выдачи на DHCP сервере.

подключился клиент к нам. И по IP может посмотреть наши расшаренные ресурсы, но мы не сможем достучатья до клиенам. вот окно состояния клиента:


Пинги не идут на 192.168.0.204. (это IP VPN клиента). как можно установить 2-х сторонную работу?

P.S. кстати, можно длать так, чтоб клиеты всегда имели один и тот же IP при каждом подключение ? а то каждый раз у них другой IP.

вот так выглядит сетевые политики:

Создайте правило файрвола: Весь исходящий трафик из Internal к VPN Clients Разрешить Все пользователи
И сетевое правило: Сети источника: Internal Сети назначения: VPN Clients Отношение сетей: Маршрутизация

Ага. сделел все, как сказали. создал правило в файрвола - пинги пошли. все с пнгами в порядке, а вот подключиться к расшаренным папкам VPN клиента - не получается, выдает такая ошибка:


само сетевое правило создал так:

krec
Это уже проблема с настройками системы VPN клиента, посмотрите вот эту тему.

Telepuzik

блин, а там Windows vista home basic. так что надо искать альтернативные методы. ну ладно, это в другом разделе обсужу. Но у меня остались несколько непоняток - чисто любопытные вопросы:
- можно делать так, чтоб пользователи получили статический IP от VPN сервера ? (чтоб прописать у себя пути к расшаренным папкам клинта)
- можно настроить клиент так, чтоб при подключение к сети(интернет) - автоматом подключились к нам в сети? (чтоб сразу составили чась нашего локальног сети)
- зачем надо было сетевое правило:
??

В свойствах пользователя, под которым подключается клиент(в Active directory) - вкладка Входящие звонки - ставим галку "Статический адрес пользователя" - и указываем нужный IP. У меня так 3 филиала работают.

Как подключение происходит? Если подключение по требованию(ADSL или еще как), то можно просто сделать bat файл, в котором прописать: