Имя пользователя:
Пароль:  
Помощь | Регистрация | Забыли пароль?  | Правила  

Компьютерный форум OSzone.net » Железо » Сетевое оборудование » VPN/Firewall - [решено] Отваливается одна из сетей VPN по IPSec [ NEED HELP ]

Ответить
Настройки темы
VPN/Firewall - [решено] Отваливается одна из сетей VPN по IPSec [ NEED HELP ]

Ветеран


Сообщения: 507
Благодарности: 3


Конфигурация

Профиль | Отправить PM | Цитировать


Изменения
Автор: flower
Дата: 26-01-2012
Обрисовываю ситуацию..

Итак, имеется 4 сети: Интернет, локальная моя LAN1, VPN-сеть1 и VPN-сеть2.

Локальная сеть (LAN1) стандартной конфигурации: с десяток машин, принтеры, сервер WinServer 2008 R2, ничего необычного. Аналогично и в двух других сетях VPN.

Доступ в интернет и к VPN-сетям для сервера локальной сети LAN1 осуществляется через Zyxel USG 50 (шлюз). На нем поднимается PPPoE-соединение к ADSL-модему, настроенному бриджем. После установки соединения с интернетом на нем же (Zyxel USG 50) поднимаются и 2 VPN-канала по IPSec.

Аппаратный файрволл на шлюзе (Zyxel USG 50) настроен белым списком (запрещено всё, кроме ...). Конфигурация файрволла следующая (опишу привычным языком) :



читать дальше »
По умолчанию запрещены все подключения со всех адресов на все направления.

Доступ с WAN-интерфейса на все направления и на сам шлюз закрыт.
Доступ из локальной сети LAN1 к интерфейсу WAN закрыт.

Доступ из локальной сети к интерфейсу WAN разрешен только для сервера (win server 2008, с которого раздается инет для юзеров по юзергейту).

Доступ к самому шлюзу (Zyxel USG 50) разрешен из локальной сети LAN1 только для IP-адреса сервера (win server 2008).

Доступ с группы VPN (VPN1 + VPN2 по IPSec) к локальной сети LAN1 разрешен для всех подключений, портов и протоколов без ограничений.
Доступ из локальной сети LAN1 ко группе VPN (VPN1 + VPN2 по IPSec) также разрешен для всех подключений, портов и протоколов без ограничений.


Все работает нормально поначалу.. Спустя некоторое время (от 30 минут до часа-двух) отваливается наглухо второй VPN-канал, VPN2. В веб-интерфейсе шлюза тем не менее соединение с обеими VPN-сетями показано как "активное". Связь с интернетом также не разрывается. Все продолжает работать, как и задумывалось.. За исключением второго VPN-канала.
Исправляется данная проблема лишь двумя способами:

1. Отключение аппаратного файрволла (способ не годится, сразу говорю).
2. Передергивание аппаратного файрволла (сперва выключаем, заходим на какой-нибудь ресурс из сети VPN2, затем снова включаем файрволл).

Второго способа, как я уже описал, хватает на короткое время. В чем может быть проблема - ума не приложу.. Уже неделю с этим вожусь и не могу ничего сделать. Если WAN-интерфейс не контролировать файрволлом, данной проблемы не наблюдается. Тем не менее, WAN оставлять без файрволла нельзя ни в коем случае.

Отправлено: 12:12, 26-01-2012

 

Аватара для cameron

Ветеран


Contributor


Сообщения: 4677
Благодарности: 1090

Профиль | Отправить PM | Цитировать


мда, описание проблемы конечно забавное.
у этого зюкселя есть логи? Debug log? etc?

-------
в личке я не консультирую и не отвечаю на профессиональные вопросы. для этого есть форум.


Отправлено: 12:15, 26-01-2012 | #2



Для отключения данного рекламного блока вам необходимо зарегистрироваться или войти с учетной записью социальной сети.

Если же вы забыли свой пароль на форуме, то воспользуйтесь данной ссылкой для восстановления пароля.


Ветеран


Сообщения: 507
Благодарности: 3

Профиль | Отправить PM | Цитировать


Не до забавностей сейчас.
Активировал логирование, посмотрим, что оно покажет.

Отправлено: 12:28, 26-01-2012 | #3


Ветеран


Сообщения: 507
Благодарности: 3

Профиль | Отправить PM | Цитировать


Изображения
Тип файла: png 222.png
(13.0 Kb, 4 просмотров)

Не были разрешены запросы IKE и ESP между шлюзами, как оказалось.
Скажите, для полноценного функционирования VPN по IPSec какие доп. протоколы требуются: IKE, ESP, еще какие?

Расскажите также, пожалуйста, поподробнее о соединении, запечатленном на скриншоте во вложении. Что оно из себя представляет, зачем оно нужно.. И то, что оно блокируется по умолчанию - ничего страшного? )

Отправлено: 11:54, 30-01-2012 | #4


Аватара для cameron

Ветеран


Contributor


Сообщения: 4677
Благодарности: 1090

Профиль | Отправить PM | Цитировать


Цитата flower:
Что оно из себя представляет, зачем оно нужно.. »
это DHCP Request

-------
в личке я не консультирую и не отвечаю на профессиональные вопросы. для этого есть форум.


Отправлено: 12:01, 30-01-2012 | #5


Ветеран


Сообщения: 507
Благодарности: 3

Профиль | Отправить PM | Цитировать


Ну, откуда-то он же должен идти. Не может же он взяться из ниоткуда?) Логика не позволяет понять этот нюанс дословно..
А по остальным вопросам подскажете?

Отправлено: 12:06, 30-01-2012 | #6



Компьютерный форум OSzone.net » Железо » Сетевое оборудование » VPN/Firewall - [решено] Отваливается одна из сетей VPN по IPSec [ NEED HELP ]

Участник сейчас на форуме Участник сейчас на форуме Участник вне форума Участник вне форума Автор темы Автор темы Шапка темы Сообщение прикреплено

Похожие темы
Название темы Автор Информация о форуме Ответов Последнее сообщение
VPN - VPN и IPsec в локальной сети Sarevok Сетевые технологии 0 19-08-2011 12:26
Отваливается VPN YORK ISA Server / Microsoft Forefront TMG 0 25-06-2011 08:52
Cisco - Cisco - ipsec vpn - ISA Aleksey Potapov Сетевое оборудование 15 27-10-2009 13:16
Cisco - VPN IPSEC Aleksey Potapov Сетевое оборудование 4 08-12-2008 00:13
VPN на FreeBSD через ipsec и ADSL some-bastardo Программное обеспечение Linux и FreeBSD 2 14-10-2008 17:28




 
Переход