Как настроить маршрутизацию до клиентов VPN через server 2012?

Question

[Дмитрий]

Конечная цель - получить доступ к компьютерам вне локальной сети.
Есть локальная сеть, в ней имеется сервер с Server 2012, на котором поднят сервис VPN.
Адрес локальной подсети 192.168.88.0
Клиентам VPN раздаются статические IP из подсети 192.168.89.0
У клиентов, понятно, выключена опция "Использовать основной шлюз в удалённой сети".
Клиенты подключаются, с самого сервера пингуются и полностью доступны, но с компьютеров локалки (ПК1 и ПК2) не пингуются и соответственно недоступны. Но если клиентам выдавать адреса из локальной подсети (88), то тогда доступ появляется. Т.к. таких клиентов много, то хотелось бы загнать их в отдельную подсеть.
Подозреваю, что не хватает каких-то настроек маршрутизации. Пробовал разные варианты, но что-то каменный цветок не выходит. (((
Подскажите, что и как нужно доделать, чтобы из локальной сети получить доступ к клиентам за VPN.

Answer 1

[Valentin Barbolin]

Не хватает маршрута на роутере 88.2. (сеть 192.168.89.0/24 доступна через 88.27.)

Comments

[Дмитрий]

Что-то вроде такого?

Пробовал. Прописываю, перезагружаю всё - роутер, сервер, пк1. Чего-то не хватает.
На сервере антивируса нет, брандмауер сейчас выключен.
Я так понимаю при маршрутизации ищется шлюз подсети, а его вроде как и нет.
Может на самом сервере ещё что-то прописать/создать нужно?

[Valentin Barbolin]

Дмитрий, Почему у роутера адрес 88.2 ? Этот адрес является шлюзом для ПК1 и 2 ?

Попробуй запустить трасу с ПК 1 в торону VPN клиента и посмотри где остановиться.

Клиеты VPN могут пинговать ПК1 ?

[Дмитрий]

Valentin Barbolin, да, 88.2 это шлюз для сервера, пк1, пк2 и т.д. - так сложилось исторически.
tracert показывает 88.2, а дальше превышен интервал, т.е. он даже не пытается показать 88.27 ... возможно нужна физическая перезагрузка роутера, потому что я помню, что в какой-то момент у меня трасерт показывал обращение на 88.27 причём в первой же строчке. А если в первой строчке, то получается это была маршрутизация не от роутера, а от пк1? ... но и тогда как я помню после 88.27 следующей строкой было превышен интервал.
Пинг от клиента сейчас проверить не могу - он подключен, но недоступен. (((

[Дмитрий]

Valentin Barbolin, добавил маршрут на ПК1, чтобы в обход роутера
C:\Users\ХХХХХ>tracert 192.168.89.150

Трассировка маршрута к 192.168.89.150 с максимальным числом прыжков 30

1 <1 мс * <1 мс ХХХ [192.168.88.27]
2 * * * Превышен интервал ожидания для запроса.
3 * * ^C

При этом трасерт на сервере сразу находит 89.150 на первом же шаге.

[Дмитрий]

Valentin Barbolin, после того как добавил маршрут себе на ПК1, то нашёл ещё вот такое. Чего тут не хватает?

C:\Windows\system32>tracert 192.168.89.1

Трассировка маршрута к SERVER [192.168.89.1]
с максимальным числом прыжков 30:

1 <1 мс * <1 мс SERVER [192.168.88.27]
2 <1 мс <1 мс <1 мс SERVER [192.168.89.1]

Трассировка завершена.

C:\Windows\system32>tracert 192.168.89.150

Трассировка маршрута к 192.168.89.150 с максимальным числом прыжков 30

1 <1 мс * <1 мс SERVER [192.168.88.27]
2 * * * Превышен интервал ожидания для запроса.
3 * * * Превышен интервал ожидания для запроса.
4 ^C
C:\Windows\system32>

89.1 это внутренний ip сервера vpn, который он сам себе при запуске забирает.

[Valentin Barbolin]

Дмитрий, что показывает трассировка из сети vpn, у клиентов vpn есть маршрут в сеть 88? У тебя НАТ часом не включен на 88.27?

[Дмитрий]

Valentin Barbolin, вы меня своим вопросом про NAT так насторожили, что я начал переустанавливать сервис VPN, будучи подключенным по удалёнке через этот впн. ))) Не зря есть примета, что настройка сети по удалёнке - это к дальней дороге. ))
Итого.
Переставил сервис - оставил только сам впн и маршрутизацию. Результат не изменился. Победил роутер - выключил секурность, которая мешала работать статической маршрутизации. Теперь трасерт выглядит вот так

C:\Windows\system32>tracert 192.168.89.1

Трассировка маршрута к SERVER [192.168.89.1]
с максимальным числом прыжков 30:

1 <1 мс <1 мс <1 мс 192.168.88.2
2 <1 мс * <1 мс SERVER [192.168.88.27]
3 <1 мс <1 мс <1 мс SERVER [192.168.89.1]

Трассировка завершена.

C:\Windows\system32>tracert 192.168.89.150

Трассировка маршрута к 192.168.89.150 с максимальным числом прыжков 30

1 <1 мс <1 мс <1 мс 192.168.88.2
2 <1 мс * <1 мс SERVER [192.168.88.27]
3 * * * Превышен интервал ожидания для запроса.
4 * * * Превышен интервал ожидания для запроса.
5 ^C
C:\Windows\system32>

Проверил пинг от клиента подключенного через впн - 89.1 видит, 88.хх не видит. Т.е. не видит даже сам сервер 88.27
Есть подозрение, что это связано с тем, что впн раздаёт айпишники с маской 255.255.255.255. И даже себе 89.1 он берёт с такой же маской. И ipconfig показывает, что в соединении у клиентов нет шлюза - в строчке пусто.
У клиентов ничего не хочу менять - меня устраивает, что они ничего не видят. Что ещё можно сделать? Куда копать?

[Valentin Barbolin]

Дмитрий, Надо смотреть маршруты на клиенте.
netstat -nr

какой хоть VPN используется?

[Дмитрий]

Valentin Barbolin, а что на клиенте смотреть? В сеть он подключается, с самого сервера 88.27 его полностью видно. Нет маршрутизации из 88.0.
VPN использую встроенный в Windows Server 2012 R2

[Valentin Barbolin]

Дмитрий,

самого сервера 88.27 его полностью видно

не с 88.27, а с 89.1

Нет маршрутизации из 88.0.

Если на клиенту нет маршрута в эту сеть, то и маршрутизации не будет.

а что на клиенте смотреть?

открыть cmd и написать netstat -nr

[Дмитрий]

Valentin Barbolin, как-то так

[Valentin Barbolin]

Дмитрий, Так маршрута в 88 сеть нету. С чего бы оно работало)

[Дмитрий]

Valentin Barbolin, так я и спрашиваю как настроить. )))
"Использовать основной шлюз в удалённой сети" не предлагать - я трафик не вытяну.

[Valentin Barbolin]

Дмитрий,

так я и спрашиваю как настроить. )))

Так я тоже спрашиваю "какой хоть VPN используется?" ))

[Дмитрий]

Valentin Barbolin, VPN встроенный в Server 2012, протокол PPTP

[Valentin Barbolin]

Дмитрий,
Вариантики
1. Добавить маршрут статикой, написать bat который надо запускать каждый раз после поднятия туннеля.
route add 192.168.88.0 mask 255.255.255.0 192.168.89.1 -p

2. Никогда не пользовался, но знатоки говорят что pptp это часть RRAS, а соответственно можно настроить 249 опцию DHCP в RRAS и передать клиенту маршрут.

3. Не могу гарантировать и проверить негде, но вроде бы если использовать в локальной и VPN сети подсети из диапазона 10.0.0.0/8, например LAN 10.11.10.0/24, а VPN 10.99.0.0/24, то на клиенте будет всегда присуствовать маршрут 10.0.0.0/8 через VPN интерфейс.

4.Использовать другой VPN.

[Дмитрий]

Valentin Barbolin, первый вариант это где запускать? на клиенте, на сервере ....

Вам такая картинка ничего не говорит? Я так понимаю, благодаря этой табличке 89.1 видно из 88. Вы часом не знаете как туда добавить всех клиентов? либо пачкой, либо в крайнем случае "поштучно".

[Valentin Barbolin]

Дмитрий, Первый вариант, это на клиенте.

Вам такая картинка ничего не говорит?

К сожалению с windows вообще не работаю последние 6 лет и опыта в настроке RRAS не было... В этом направлении не могу ничего подсказать.

[Дмитрий]

Valentin Barbolin, ещё вариант. Если я даю клиентам айпишники типа 88, то к ним доступ есть. Как мне загнать подсети 88 и 89 в одну? Т.е. чтобы роутер диапазон 192.168.88.0 - 192.168.89.255 считал одной подсеткой.

[Valentin Barbolin]

Дмитрий, Измени маску на роутере (на интерфейсе роутра, в настройках DHCP, так же все клиенты должны подтянуть новые настройки).