Микротик VPN. Почему не пингуются локальные клиенты?

Question

[neonox]

Есть 3 офиса:
1 (главный) - 192.168.1.0/24
2 - 192.168.0.0/24
3 - 192.168.2.0/24

Во всех офисах стоят Микротики.
На главном микротике поднят VPN-сервер (L2TP).
На компе 192.168.1.3 создал и расшарил папку share.
В офисе 1 не возникает проблем с подключением к этой папке. А вот из 2 и 3 офисов подключить эту папку не удается. 192.16.1.3 не пингуется ни во 2, ни в 3 офисах.
Пробовал отключать антивирус, фаерволл и т.п., ничего не помогает.
Принтеры, ip-камеры, VOIP-шлюзы, SIP-сервер - все пингуется на ура.

С чем может быть связано подобное поведение?

Comments

[Maksim]

т.е. компы не могут а перефирия может.
они в разных ВЛАНАХ?
У них разные основные шлюзы?

[Maksim]

Более точный наводящий вопрос принтеры ип камеры voip шлюзы - как я понимаю в разных офисах?
Или в одном:)

[neonox]

Maksim: вопрос решил. У пользователей VPN local и remote IP были в подсети 172.0.0.0/24 Поменял на 192.168.1.0/24 подсетку, посадил их на локальный бридж и все заработало.
Но все равно для меня это было странно, что часть машин пинговалось, а часть нет. Все пингуемые машины были в одном офисе (главном).

[neonox]

Maksim: все таки не работает. Пинги с роутера ходят, а с удаленных компов нет.
Еще раз опишу что происходит.
К роутеру 192.168.1.1 по VPN подключаются роутеры 192.162.2.1 и 192.168.0.1. На компе 192.168.1.3 у меня расшарена папка. С компа в сети 192.168.2.0/24 не могу сделать пинг до компа 192.168.1.3, шару тоже не могу подцепить. С роутера 192.168.2.1 этот компьютер пингую успешно. Трассировка до 192.168.1.3 отваливается на 192.168.1.1.

Надеюсь понятно описал))

[Maksim]

neonox: Совет, всегда к подобным вопросам занимайтесь художеством (рисуйте) + прикладывайте таблицу маршрутизации с каждого микротика, тогда и нам проще и у вас в голове может сложится картина.

Причение: для того чтобы работало каждая из сторон должна знать как найти "не её" сети, повторюсь каждая.

Рисуйте, делайте скриншоты будем глядеть.

[neonox]

Maksim: Поехали

Накидал по быстрому: www.gliffy.com/go/publish/9635539

Главный роутер:
[Mike@MikroTik] /ip route> print
Flags: X - disabled, A - active, D - dynamic,
C - connect, S - static, r - rip, b - bgp, o - ospf, m - mme,
B - blackhole, U - unreachable, P - prohibit
# DST-ADDRESS PREF-SRC GATEWAY DISTANCE
0 ADS 0.0.0.0/0 212.1.х.х 2
1 DS 0.0.0.0/0 192.168.5.1 3
2 ADC 172.16.0.2/32 172.16.0.1 kdf-bazanova 0
3 A S 192.168.0.0/24 kdf-bazanova 1
4 ADC 192.168.1.0/24 192.168.1.1 SWITCH 0
5 ADC 192.168.1.159/32 192.168.1.1 0
6 ADC 192.168.1.252/32 192.168.1.1

Роутер из 2 подсети

[Mike@MikroTik] /ip route> print
Flags: X - disabled, A - active, D - dynamic,
C - connect, S - static, r - rip, b - bgp, o - ospf, m - mme,
B - blackhole, U - unreachable, P - prohibit
# DST-ADDRESS PREF-SRC GATEWAY DISTANCE
0 ADS 0.0.0.0/0 46.173.x.x 1
1 ADC 46.173.x.0/19 46.173.x.x ether1 0
2 A S 172.16.0.2/32 l2tp-out1 20
3 A S 192.168.0.0/24 l2tp-out1 30
4 A S 192.168.1.0/24 l2tp-out1 1
5 ADC 192.168.1.1/32 192.168.1.252 l2tp-out1 0
6 ADC 192.168.2.0/24 192.168.2.1 bridge1 0

Роутер из 0 подсети:
[Mike@MikroTik] /ip route> print
Flags: X - disabled, A - active, D - dynamic,
C - connect, S - static, r - rip, b - bgp, o - ospf, m - mme,
B - blackhole, U - unreachable, P - prohibit
# DST-ADDRESS PREF-SRC GATEWAY DISTANCE
0 A S 0.0.0.0/0 176.114.x.x 50
1 ADC 172.16.0.1/32 172.16.0.2 l2tp-out1 0
2 A S 172.16.0.4/32 l2tp-out1 1
3 ADC 176.114.x.0/19 176.114.x.x ether1 0
4 ADC 192.168.0.0/24 192.168.0.1 local 0
5 A S 192.168.1.0/24 l2tp-out1 20
6 S 192.168.1.0/24 l2tp-out2 20
7 A S 192.168.2.0/24 l2tp-out1 20

Есть комп 192.168.1.3 с расшаренной папкой share. Не удается подключить эту папку в подсетях 2 и 0. Сейчас эксперементирую с настройками сети во 2 подсетке.

С роутера 192.168.2.1 пинг до 192.168.1.3 доходит. Но с любого компьютера из 2 подсети пинг уже не доходит. tracert заканчивается на 192.168.1.1

Настроил еще подключение со своего компа к роутеру 192.168.1.1, с моего компа папка подключается и пинги ходят.

Вот его маршруты

IPv4 таблица маршрута
===========================================================================
Активные маршруты:
Сетевой адрес Маска сети Адрес шлюза Интерфейс Метрика
0.0.0.0 0.0.0.0 192.168.1.1 192.168.1.7 4250
0.0.0.0 0.0.0.0 On-link 192.168.1.159 26
79.111.x.x 255.255.255.255 192.168.1.1 192.168.1.7 4251
127.0.0.0 255.0.0.0 On-link 127.0.0.1 4531
127.0.0.1 255.255.255.255 On-link 127.0.0.1 4531
127.255.255.255 255.255.255.255 On-link 127.0.0.1 4531
192.168.1.0 255.255.255.0 On-link 192.168.1.7 4506
192.168.1.7 255.255.255.255 On-link 192.168.1.7 4506
192.168.1.159 255.255.255.255 On-link 192.168.1.159 281
192.168.1.255 255.255.255.255 On-link 192.168.1.7 4506
192.168.75.0 255.255.255.0 On-link 192.168.75.1 4501
192.168.75.1 255.255.255.255 On-link 192.168.75.1 4501
192.168.75.255 255.255.255.255 On-link 192.168.75.1 4501
192.168.233.0 255.255.255.0 On-link 192.168.233.1 4501
192.168.233.1 255.255.255.255 On-link 192.168.233.1 4501
192.168.233.255 255.255.255.255 On-link 192.168.233.1 4501
224.0.0.0 240.0.0.0 On-link 127.0.0.1 4531
224.0.0.0 240.0.0.0 On-link 192.168.1.7 4507
224.0.0.0 240.0.0.0 On-link 192.168.75.1 4502
224.0.0.0 240.0.0.0 On-link 192.168.233.1 4502
224.0.0.0 240.0.0.0 On-link 192.168.1.159 26
255.255.255.255 255.255.255.255 On-link 127.0.0.1 4531
255.255.255.255 255.255.255.255 On-link 192.168.1.7 4506
255.255.255.255 255.255.255.255 On-link 192.168.75.1 4501
255.255.255.255 255.255.255.255 On-link 192.168.233.1 4501
255.255.255.255 255.255.255.255 On-link 192.168.1.159 281
===========================================================================
Постоянные маршруты:
Отсутствует

Вот настройка клиента prntscr.com/9v4vb1

[Maksim]

neonox: Маршрутизация компа не нужна (на*уя она, если всем должны (по правильному) заправлять роутеры)

Что за ГЛАВНЫЙ РОУТЕР (по схеме то не понятно где главный, зачем эта информация) сомнения:

Маршруты в на роутере с локальной подсетью 1.0/24:

3 A S 192.168.0.0/24 kdf-bazanova 1 (kdf-**** что это?)

Маршрутизатор на роутере с локально подсетью 0.0/24:

5 A S 192.168.1.0/24 l2tp-out1 20
6 S 192.168.1.0/24 l2tp-out2 20
Это как так одна и та же подсеть но в разные дырки.

[neonox]

Maksim: главный роутер в моем понимании - это 192.168.1.1
kdf-**** - это gateway (имя l2tp подключения)

6 S 192.168.1.0/24 l2tp-out2 20 - грохнул, лишний.

[Maksim]

neonox: Кстати надеюсь на момент тестов, все запрещающие правила в фаерволллее на обоих микротиках (возьмем сначала 0.0 и 1.0 ) выключены?

[neonox]

Maksim: да, конечно)
Вобщем снял дамп трафика

Успешный пинг с роутера 192.168.2.1 https://yadi.sk/d/2tMTLDTpnnL2k
Неуспешный пинг с компьютера 192.168.2.253 https://yadi.sk/d/_3PlSKf6nnKxx

[Maksim]

neonox: Странно но хром не хочет тянуть файлы (не реагирует).

Пинг идет с 2.1 а ты уверен что именно с этого IP идет пинг? (что указали в src-address?)

[neonox]

Maksim: да, аналогичная фигня с хромом. В другом браузере все ок.
Пинг идет со 192.168.1.252

[tolteq]

Если не ошибаюсь, у Вас на главном маршрутизаторе не хватает маршрута до сети 2.0/24. Поправьте, если не так.

Answer 1

[Александр Романов]

Необходимо настроить маршрутизацию. Либо статическую, либо динамическую.

/ip route add dst-address=192.168.1.0/24 gateway=your-vpn-name

на каждом из клиентов.
На сервере при этом желательно создать l2tp-binding интерфейсы и аналогично создать правило маршрутизации для каждой подсетки.

/ip route add dst-address=192.168.0.0/24 gateway=your-1vpn-name-binding
/ip route add dst-address=192.168.2.0/24 gateway=your-2vpn-name-binding

Но по мне проще поднять оспф на всех девайсах, а он сам добавит все необходимые маршруты.

Comments

[Maksim]

Там принтеры, камеры, шлюзы пингуются...если маршрутизации не было (какой либо) то и это оборудование не работало бы....аль нет?

[Александр Романов]

Maksim: Тогда проблема с большой долей вероятности в самом компе, который не пингуется.