VPN между двумя роутерами TP-Link TL-ER6020 (маршрутизация в локальную сеть)

Всем добрый вечер.

Проблема судя по всему с маршрутизацией, но обо всем подробнее. Есть центральный офис, есть филиал. Для понимания выложу общую схему сети (см.вложение). В центральном офисе установлен multihomed dc (он, же DNS сервер, DHCP и т.д) на DC установлен kerio (знаю что не лучший вариант но все есть как есть). Внешний интерфейс сервера 192.168.1.104 смотрит на интернет шлюз TP-Link TL-ER6020 192.168.1.100, второй интерфейс смотрит в локальную сеть 192.168.0.1. Со стороны филиала все еще проще, есть тестовый компьютер 192.168.2.103 и еще один роутер TP-Link TL-ER6020 с адресом 192.168.2.1, между двумя роутерами поднят ipsec vpn (lan to lan)

Задача очень проста но в то же время для меня стала камнем преткновения вот уже на полтора месяца. В офисе есть три компьютера которые необходимо добавить в домен, после чего тот должен получать политики с DC, иметь доступ к ресурсам в подсети 192.168.0.1 (см. второй интерфейс DC eth2). В данный момент имею следующую ситуацию. Два vpn роутера видят друг друга, с тестового компьютера 192.168.2.103 в филиале я пингую роутер 192.168.1.100, пингую внешний интерфейс сервера DC, но не могу достучаться до сети 192.168.0.1, соответственно не могу достучаться до DNS и ввести тестовый компьютер в домен.

P.S. На роутере 192.168.1.100 прописан маршрут destination 192.168.0.0 subnet mask 255.255.255.0 next hope (gate) 192.168.1.100.

P.P.S. Предупреждая вопросы скажу что Kerio не при чем, пакеты до него не доходят судя по логам.

Миниатюры

 

0

на kerio nat поднят?
покажи таблицы маршрутов обоих роутеров и керио?

0

Извиняюсь , может туплю конечно , но в kerio вроде нет отдельной опции которая nat активирует, есть правила некоторые у меня которые используют трансляцию NAT. Это по первому вопросу. Второе. На роутерах обоих был включен NAT, на форуме TP-Link'a посоветовали поставить режим работы в Classic Mode в этом режиме роутеры сейчас и работают. Скриншоты маршрутов в kerio, и на двух роутерах во вложении.

Миниатюры

     

 

0

Сообщение от Wargus1987 но в kerio вроде нет отдельной опции которая nat активирует, есть правила некоторые у меня которые используют трансляцию NAT.

еще раз - kerio натирует трафик из подсети 192.168.0.0/24?
на главном роутере маршрут в сеть 0.0 должен быть через 1.104 (а не 1.100), с таблицами вообще что-то.....
покажи tracert с компа из подсети филиала (2.х) до компа из подсети гл офиса (0.0), и наоборот,
tracert с компа из подсети гл офиса (0.0) до компа из подсети филиала

0

Kerio не "натит" трафик в сеть 0.0, скриншоты tracert из филиала (сеть 2.0) в центральный офис (сеть 0.0) и обратно прикладываю. На главном роутере поменял шлюз маршрута на 1.104.

Миниатюры

   

0

Да и с маршрутами вроде все ОК. На главном роутере (центральный офис):

Маршрут 192.168.0.0 единственный маршрут добавленный мной руками.
Маршрут 192.168.1.0 (первая подсеть тут все понятно), подключение по LAN, воткнут сервер. Этот маршрут роутер добавил автоматом.
Маршрут 192.168.1.210 это я по vpn pptp подключался роутер добавил маршрут автоматом.
Маршрут 192.168.2.0 был добавлен роутером автоматом при поднятии vpn между двумя железками.
Маршрут 192.168.3.0 подключен коммутатор (DMZ) через порт DMZ на роутере, тоже добавлен роутером автоматом.

На роутере который стоит в филиале вроде с маршрутами еще все яснее:

Маршрут 192.168.1.0 был добавлен роутером автоматом при поднятии vpn между двумя железками.
Маршрут 192.168.2.0 в порт LAN роутера подключен коммутатор, этот маршрут так же был добавлен роутером автоматически.

0

покажи
1. таблицу маршрутизации керио
и еще раз
2-3. скрины таблиц обоих роутеров
а так же
4-5.
c ПК 192.168.2.104
и
c керио (192.168.1.104)

0

insect_87, извиняюсь немножко дезинформировал тебя по предыдущему ответу. Скринов много накопилось уже с диагностики, перепутал не то тебе прислал. Скрин с tracert'ом с одного из компьютеров в локальной сети (0.0) центрального офиса до одного из компьютеров в филиале (2.0) во вложении. Т.е из подсети 0.0 (центральный офис) пингуется и трассируется компьютер в подсети 2.0 (филиал), а вот обратно не пингуется и tracert не проходит. А теперь по твоим пунктам, все результаты tracert и таблицы маршрутизации во вложении.

p.s. Прошу обратить внимание что компьютер с адресом 192.168.2.104 обновил аренду ip и теперь имеет вид 192.168.2.110. Но от этого как говориться суть не меняется.

Миниатюры

     

     

0

опять, откуда взялся маршрут до сети 0.0 через 1.100 на 2м скрине (роутер филиала)?
дальше, значит из 0.0 в 2.0 вижу пинг проходит
из 2.0 до прокси тоже вижу, проходит
в общем камень либо в маршруте на роутере в филиале до сети 0.0, либо nat на керио мешает (nat'ирует сеть 0.0 в адрес 1.104)
покажи еще скрины, как на этих роутерах ipsec настраивал, это site-to-site видимо, те только ipsec.
там с gre вместе его нельзя настроить?

0

Маршрут который 0.0 до 1.104 сам не появлялся, это уже я запутался. Я его в прошлый раз не удалил, а просто деактивировал. Потом наверное пока тестил опять его включил. В данный момент этот маршрут был мной удален чтобы глаза не мозолил.

Скрины с настройками VPN во вложении, если что настраивал по этой инструкции http://www.tp-linkru.com/faq-380.html

Настроек GRE во вкладке VPN не видел

Все настройки во вложении это с роутера в центральном офисе, в филиале они такие же за исключением адреса шлюза, там он обратный соответственно.

Честно говоря уже не знаю что тут сделать можно, может быть в самом Kerio маршрут добавить надо ? Только вот не пойму что там шлюзом можно указать.

Миниатюры

     

 

0

Сообщение от Wargus1987 может быть в самом Kerio маршрут добавить надо ?

у керио есть дефолтный маршрут через 1.100
раз до внешнего интерфейса керио пинги из филиала доходят, может все же нат на керио поднят?

0