Как организовать ipsec туннель Микротик-Kerio?

Question

[Игорь Кривинцов]

Здравствуйте,
помогите разобраться с такой проблемой. Есть 2 офиса, в первом установлен Kerio во втором был установлен комп с Router OS , на сколько я помню версия прошивки 5.39. Я решил сменить комп с ROuter OS на устройство rb2011. Сменил устройство все настройки сделал такие же но почему то Ipsec туннель с керио поднимается но не дает никуда доступ. т.е c офиса где стоит Kerio нельзя зайти на сервер по rdp в офис где стоит rb2011. Пробовал различные варианты с firewall , не помогает. пинг ходит в обе стороны, но rdp не работает, пытался сделать pptp подключение , тоже не работает, хотя на старом компе с ROuter Os все получалось. Может прошивка 6,40 проблемная? скрины выкладываю
IPSEC

Nat

tracert, странное поведение при трасеровке, не понятно через что идет, первый прыжок 10.8.0.1 - это Kerio, потом неизвестно что, потом уже мой сервер ts в другом офисе.

Comments

[Vladimir Zhurkin]

> Может прошивка 6,40 проблемная

С учетом , что она еще RC и там логику в определенных местах поменяли, все может быть. Хотя конечно очень сомнительно. По сравниванию с 5 версией, там поменяли всего дохрена.

Потом мне непонятно слово NAT между сетями ?
Зачем если есть роутинг ?
Неплохо было бы выложить конфигурацию, иначе сложно что-то подсказать.

UPD. Прозевал, что 6.40 уже stable

Answer 1

[Dmitry Tallmange]

Второй прыжок — должен быть удаленный микротик, тот самый rb2011. Очень странно, что он не отвечает на icmp. Уверены, что в таблице filter нет какого-нибудь набора правил с просторов интернетов? Пингуется ли адрес 172.16.3.1? Если я правильно понял, именно он на удаленном конце туннеля присвоен rb2011.

Comments

[Dmitry Tallmange]

Открывается ли порт 3389 на удаленной машине телнетом?

[Игорь Кривинцов]

Dmitry Tallmange: нет (

[Игорь Кривинцов]

Dmitry Tallmange: пробовал все правила деактивировать, но результата нет, да и запрещающих правил почти нет

[Игорь Кривинцов]

Dmitry Tallmange: пинг до 172,16,3,1 т.е с Kerio до Микротика идет

[Dmitry Tallmange]

Игорь Кривинцов: В порядке бреда, но всё же. Работает ли RDP в локальной сети? Возможен ли доступ от клиентов из 172.16.3.0/24?

[Игорь Кривинцов]

Dmitry Tallmange: конечно , я заходу на него из сети 3.0

[Игорь Кривинцов]

Dmitry Tallmange: Что интересное заметил, у меня есть правило , которое выставляет сервер TS наружу по не стандартному порту, так вот если его указать в RDP то по VPN я могу зайти на него, странно , при чем тут это правило и VPN

[Игорь Кривинцов]

[Dmitry Tallmange]

Игорь Кривинцов: ничего странного, всего-навсего незеркальный нат

[Игорь Кривинцов]

Dmitry Tallmange: Вопрос решен, оказалось была пара бредовых натов, они и не давали трафику ходить. правила из натов убрал и заработало.

Answer 2

[Diman89]

Сравните построчно конфиги двух routeros и приведите в соответствие друг другу

Comments

[Игорь Кривинцов]

Да так и делал, построчно с одно на другой переносил, сам делал и конфиг на первом роутере