@dom7800

Здравствуйте. Помогите решите задачу:
1. Есть Cisco RV345 (Оборудование в филиале Дочка).
1.1 WAN - Интернет провайдер с услугой Белого IP-адреса.
1.2 LAN - 192.168.70.1 / 24 (локальная сеть предприятия)

2. Есть Cisco RV082. (Оборудование в офисе Голова)
2.1 WAN - Интернет провайдер с услугой Белого IP-адреса.
2.2 LAN - Локальная сеть 192.168.27.1 / 24 (подсеть для телефонии)

3. Керио Control (Оборудование в офисе Голова)
3.1 WAN - 192.168.27.5 / 24 (кабель заходит в cisco rv082)
3.2 LAN - 192.168.60.100 / 24 (локальная сеть предприятия)

Итак, имеем подсеть 70 одного филиала, надо зайти в подсеть 60 в другом офисе.

Связал две cisco между собой Site-to-Site IPSec VPN туннель.
из 27 сети (rv082) пингую: 60-"ОК" (kerio), 70-"ОК" (rv345)
из 60 сети пингую 27-"ОК", 70-"ОК"
C:\>tracert 192.168.70.1
Трассировка маршрута к 192.168.70.1 с максимальным числом прыжков 30
1 1 ms <1 мс <1 мс 192.168.60.100
2 1 ms 1 ms 1 ms 192.168.27.1
3 15 ms 15 ms 15 ms 192.168.70.1
Трассировка завершена.

из 70 сети пингую: 27 - "ОК", 60 - не видит
C:\>tracert 192.168.27.1
Трассировка маршрута к 192.168.27.1 с максимальным числом прыжков 30
1 1 ms 1 ms 1 ms Router [192.168.70.1]
2 17 ms 16 ms 17 ms 192.168.27.1
Трассировка завершена.
На керио (скриншот 1), в правилах трафика для подсети 70.0 разрешаю все, в итоге пинги проходят, но только на WAN интерфейс Керио 27.5
C:\>tracert 192.168.27.5
Трассировка маршрута к 192.168.27.5 с максимальным числом прыжков 30
1 1 ms 1 ms 1 ms Router [192.168.70.1]
2 * * * Превышен интервал ожидания для запроса.
3 18 ms 17 ms 17 ms 192.168.27.5
Трассировка завершена.
C:\>tracert 192.168.60.100
Трассировка маршрута к 192.168.60.100 с максимальным числом прыжков 30
1 1 ms 1 ms 1 ms Router [192.168.70.1]
2 * * * Превышен интервал ожидания для запроса.
3 * * * Превышен интервал ожидания для запроса.
4 * ^C
C:\>

Попробовал на Керио port forwarding/mapping (скриншот 2) - работает, значит пакеты из 70 доходят, как минимум до Kerio WAN на 27.5,
но маппинг мне не нужен.
PS: в Голове на циске указан статичный маршрут, см. скриншот 3, больше нигде никакой статический роутинг не прописан.

Что и где необходимо прописать, чтобы 70 сеть увидела 60, т.е. работали Windows SMB,RDP,Сетевые принтеры и другие сервисы и было все в шоколаде?
Спасибо за помощь.

0

@insect_87

Покажите политики ipsec на обеих cisco.
Правила nat и таблицу маршрутизации на керио.

1

@dom7800

rv345
rv345 adv
rv345 ipsec profile
rv345 group2760

rv082

Kerio Route
Kerio NAT

0

@insect_87

У rv082 в политике ipsec local ip address и mask 192.168.0.0 255.255.0.0
И надо бы либо изменить правило nat, чтобы пакеты из сети 60.0/24 в сеть 70.0/24 не попадали под nat на внешнем интерфейсе,
либо добавить вперёд него терминирующее правило, которое разрешало бы пакеты из сети 60.0/24 в сеть 70.0/24 без дальнейшей трансляции на wan интерфейсе.
Нет керио под рукой.

Иными словами вам надо сделать так, чтобы под трансляцию не попадали пакеты из сети 60.0/24 в сеть 70.0/24

1

@dom7800

В политике ipsec на этом роутере, не могу задать определенные подсети, поэтому, скорее всего, как Вы и написали, придется расширять диапазон маской.
Вашу мысль понял, попробую что-нибудь изобразить, не знаю, получится ли такое...

0

@insect_87

Если предоставите удалённый доступ к керио, могу сам попробовать

1

@dom7800

Итак, все получилось!
Что сделал:
1. Поменял локальную подсеть с 27 на 60.
К сожалению увеличив маску 192.168.0.0. 255.255.0.0 результата не принесло и туннель вообще упал. А эта старушка, не умеет работать с IP Group, как, например rv345, в котором как раз таки указана IP Group "group2760"

2. Прописал в Керио вот такое правило трафика (кстати, данный скриншот делал уже из 70 сетки)

В итоге через этот туннель: из 70 не вижу 27 сеть вообще, но она мне и не нужна, т.к. это телефония между филиалами, а в данном филиале ее пока попросту нет. Вижу всю 60. захожу по всем сервисам абсолютно прозрачно, понятно, что упираюсь в доменные креденшилсы, но это уже другая история, там я уже подкручу как мне надо
Если заменить старушку rv082 на такую же rv345, то схема cisco1<->cisco2<->kerio будет абсолютно рабочая и все три подсети будут видеть друг друга полностью.
Большое спасибо за помощь и наводку на свежие мысли. Тему можно считать закрытой.

0