[решено] VPN server на ISA 2006

krec · Отправлено: **16:17, 08-10-2009** | #11

Telepuzik

Цитата Telepuzik:

1. Сделать пул адрессов для VPN клиентов из внутренней подсети 192.168.0.0, а не из подсети 192.168.2.0 »

а если у нас в локалке используеться адресация 192.168.0.0/24 - ничего?

Цитата Telepuzik:

2. Оставить пул адрессов VPN 192.168.2.0 и на клиентах прописать route -p ADD 192.168.0.0 MASK 255.255.255.0 192.168.2.200 »

а после переподключение этот маршрут не удалиться ?

а вот и на всякий случай вкладываю Ipconfig из ISA(vpn) сервера:

Код:

C:\>ipconfig /all

Настройка протокола IP для Windows

   Имя компьютера  . . . . . . . . . : server_ISA
   Основной DNS-суффикс  . . . . . . :
   Тип узла. . . . . . . . . . . . . : неизвестный
   IP-маршрутизация включена . . . . : да
   WINS-прокси включен . . . . . . . : да

Интерфейс RAS-сервера - PPP адаптер:

   DNS-суффикс этого подключения . . :
   Описание  . . . . . . . . . . . . : WAN (PPP/SLIP) Interface
   Физический адрес. . . . . . . . . : 00-53-45-00-00-00
   DHCP включен. . . . . . . . . . . : нет
   IP-адрес  . . . . . . . . . . . . : 192.168.2.200
   Маска подсети . . . . . . . . . . : 255.255.255.255
   Основной шлюз . . . . . . . . . . :

LOCAL - Ethernet адаптер:

   DNS-суффикс этого подключения . . :
   Описание  . . . . . . . . . . . . : VMware Accelerated AMD PCNet Adapter
   Физический адрес. . . . . . . . . : 00-0C-29-A2-хх-хх
   DHCP включен. . . . . . . . . . . : нет
   IP-адрес  . . . . . . . . . . . . : 192.168.0.10
   Маска подсети . . . . . . . . . . : 255.255.255.0
   Основной шлюз . . . . . . . . . . :

INET - Ethernet адаптер:

   DNS-суффикс этого подключения . . :
   Описание  . . . . . . . . . . . . : VMware Accelerated AMD PCNet Adapter #2
   Физический адрес. . . . . . . . . : 00-0C-29-A2-хх-хх
   DHCP включен. . . . . . . . . . . : нет
   IP-адрес  . . . . . . . . . . . . : 192.168.1.11
   Маска подсети . . . . . . . . . . : 255.255.255.0
   Основной шлюз . . . . . . . . . . : 192.168.1.1
   DNS-серверы . . . . . . . . . . . : 192.168.1.1

C:\>

Telepuzik · Отправлено: **16:34, 08-10-2009** | #12

Цитата krec:

а если у нас в локалке используеться адресация 192.168.0.0/24 - ничего? »

Исключите из внутренней подсети часть адресов которые будут выдаваться VPN клиентам.

Цитата krec:

а после переподключение этот маршрут не удалиться ? »

Могу конечно и ошибаться но помоему ISA присваевает себе первый адрес из пула. При переподключении адрес шлюза остается 192.168.2.200 или меняется? После того как прописали route -p ADD 192.168.0.0 MASK 255.255.255.0 192.168.2.200 пинг стал проходить во внутреннюю сеть ?

krec · Отправлено: **16:41, 08-10-2009** | #13

Telepuzik,

Цитата Telepuzik:

Исключите из внутренней подсети часть адресов которые будут выдаваться VPN клиентам. »

И как это делать ? если в DHCP сервере "урезать" адреса для локального сети: 192.168.0.20 - 192.168.0.199, то получится в ISA добавить пул 192.168.0.200 - 192.168.0.220 ?
хотя вот картина из DHCP сервера:

Цитата Telepuzik:

Могу конечно и ошибаться но помоему ISA присваевает себе первый адрес из пула. При переподключении адрес шлюза остается 192.168.2.200 или меняется? После того как прописали route -p ADD 192.168.0.0 MASK 255.255.255.0 192.168.2.200 пинг стал проходить во внутреннюю сеть ? »

просто это немного нудно кажется, и не очень уверен, что после переподключене все будет работать.

P.S. кстати, я в предыдушем посте добавил Ipconfig из ISA сервера. посмотрите, может поможет разобратся ситуацией ?

Telepuzik · Отправлено: **16:53, 08-10-2009** | #14

Цитата krec:

И как это делать ? если в DHCP сервере "урезать" адреса для локального сети: 192.168.0.20 - 192.168.0.199, то получится в ISA добавить пул 192.168.0.200 - 192.168.0.220 ? »

В ISA->Конфигурация->Сети выбираете внутреннюю сеть и на закладке "Адреса" задаете например два диапазона:
1.192.168.0.0 - 192.168.0.199
2.192.168.0.221 - 192.168.0.255
А VPN клиентам отдаете диапазон 192.168.0.200 - 192.168.0.220, и соответственно исключаете этот диапазон из выдачи на DHCP сервере.

krec · Отправлено: **11:29, 09-10-2009** | #15

подключился клиент к нам. И по IP может посмотреть наши расшаренные ресурсы, но мы не сможем достучатья до клиенам. вот окно состояния клиента:

Пинги не идут на 192.168.0.204. (это IP VPN клиента). как можно установить 2-х сторонную работу?

P.S. кстати, можно длать так, чтоб клиеты всегда имели один и тот же IP при каждом подключение ? а то каждый раз у них другой IP.

вот так выглядит сетевые политики:

Telepuzik · Отправлено: **12:18, 09-10-2009** | #16

Цитата krec:

Пинги не идут на 192.168.0.204. (это IP VPN клиента). как можно установить 2-х сторонную работу? »

Создайте правило файрвола: Весь исходящий трафик из Internal к VPN Clients Разрешить Все пользователи
И сетевое правило: Сети источника: Internal Сети назначения: VPN Clients Отношение сетей: Маршрутизация

krec · Отправлено: **13:36, 09-10-2009** | #17

Ага. сделел все, как сказали. создал правило в файрвола - пинги пошли. все с пнгами в порядке, а вот подключиться к расшаренным папкам VPN клиента - не получается, выдает такая ошибка:

само сетевое правило создал так:

Telepuzik · Отправлено: **14:08, 09-10-2009** | #18

krec
Это уже проблема с настройками системы VPN клиента, посмотрите вот эту тему.

krec · Отправлено: **16:54, 09-10-2009** | #19

Telepuzik

блин, а там Windows vista home basic. так что надо искать альтернативные методы. ну ладно, это в другом разделе обсужу. Но у меня остались несколько непоняток - чисто любопытные вопросы:
- можно делать так, чтоб пользователи получили статический IP от VPN сервера ? (чтоб прописать у себя пути к расшаренным папкам клинта)
- можно настроить клиент так, чтоб при подключение к сети(интернет) - автоматом подключились к нам в сети? (чтоб сразу составили чась нашего локальног сети)
- зачем надо было сетевое правило:

Цитата Telepuzik:

Сети источника: Internal Сети назначения: VPN Clients Отношение сетей: Маршрутизация »

??

Delirium · Отправлено: **00:46, 12-10-2009** | #20

Цитата krec:

можно делать так, чтоб пользователи получили статический IP от VPN сервера ? (чтоб прописать у себя пути к расшаренным папкам клинта) »

В свойствах пользователя, под которым подключается клиент(в Active directory) - вкладка Входящие звонки - ставим галку "Статический адрес пользователя" - и указываем нужный IP. У меня так 3 филиала работают.

Цитата krec:

можно настроить клиент так, чтоб при подключение к сети(интернет) - автоматом подключились к нам в сети? (чтоб сразу составили чась нашего локальног сети) »

Как подключение происходит? Если подключение по требованию(ADSL или еще как), то можно просто сделать bat файл, в котором прописать:

Код:

rasdial "имя подключения к интернет"
rasdial "имя подключения к VPN"