Маршрутизация в Windows 2003

artem_ · Отправлено: **18:15, 26-03-2009** | #2

На сколько я понял, клиент должен устанавливать VPN соединение с сервером, который находится внутри вашей сети.

В таком случаи вам придется поднимать службу Мрашрутизация и удааленный доступ (Routing And Remoute Access)
Настраивать в ней одностороннее VPN подключение к провайдеру.
Настраивать проброс портов 80.35.58.58 на 10.150.7.55.

Вот какие порты вам нужно будет пробросить:

-- Если используете PPTP ---
TCP 1723 - PPTP

-- Если используете L2TP ---
UDP 1701 - L2TP
UDP 500 - IKE
UDP 4500 - IKE через NAT

Как это реализовать ищите в интернете.
Если опыта в организации VPN доступа нет предлагаю начать вот с этого

Hunterus · Отправлено: **16:03, 27-03-2009** | #3

Может кто подскажет как настроить проброс портов пошагово?

Safety1st · Отправлено: **05:04, 28-03-2009** | #4

Начните с команды format c:
Шучу, шучу

Картинка не объясняет смысл жизни. Получается, что у Вас у каждого сервера один IP-адрес на 2 интерфейса. Кроме того, не ясна роль сервера 10.150.7.68 и каковы его отношения с сервером 10.150.7.55.

Без ответов на эти вопросы давать howto-рекомендации было бы неосмотрительно. Доработайте схему сети вначале.

Hunterus · Отправлено: **12:17, 28-03-2009** | #5

Оба сервера находятся в одной сети, надо настроить проброс портов. т.е. при обращении к 80.35.58.58 попадать на 10.150.7.55.
на обоих сервах поднат RRAS

ВОПРОС: что конкретно надо сделать на 80.35.58.58 и что если надо на 10.150.7.55

Safety1st · Отправлено: **17:19, 28-03-2009** | #6

Речь идёт о сервере 10.150.7.68. В RRAS'е должен быть рабочий NAT.
В командной строке набираем команды:

netsh routing ip show interface
нам нужен интерфейс, в поле "тип" которого написано что-то типа "полный маршрутизатор", аккуратно копируем его имя из поля "интерфейс"

далее вводим команды:
netsh routing ip nat add portmapping name="<имя vpn-интерфейса>" proto=UDP publicip=0.0.0.0 publicport=500 privateip=10.150.7.55 privateport=500
netsh routing ip nat add portmapping name="<имя vpn-интерфейса>" proto=UDP publicip=0.0.0.0 publicport=4500 privateip=10.150.7.55 privateport=4500
netsh routing ip nat add portmapping name="<имя vpn-интерфейса>" proto=UDP publicip=0.0.0.0 publicport=1701 privateip=10.150.7.55 privateport=1701
netsh routing ip nat add portmapping name="<имя vpn-интерфейса>" proto=TCP publicip=0.0.0.0 publicport=1723 privateip=10.150.7.55 privateport=1723

все команды должны выполниться без ошибок. если таковые возникнут, продолжать ввод команд бессмысленно.

в итоге будет следующее: трафик клиентов, пытающихся подключиться по VPN к серверу 80.35.58.58, будет перебрасываться на сервер 10.150.7.55, который и будет поддерживать VPN-туннель.

Hunterus · Отправлено: **18:48, 28-03-2009** | #7

Чет не получается все равно конектится к 10.150.7.68

Safety1st · Отправлено: **21:34, 28-03-2009** | #8

Как Вы это определили?
Дайте результаты команды netsh routing ip nat dump

На том же сервере выполните ещё команду netsh routing ip nat add interface Внутренний Private или netsh routing ip nat add interface Internal Private (зависит от языковой версии ОС)

artem_ · Отправлено: **12:59, 30-03-2009** | #9

Цитата Isotonic:

<имя vpn-интерфейса> »

что же вы человека запутали. Вы пытаетесь пробросить порты с VPN интерфейса во внутрь, а ему нужно пробросить пакеты, которые приходят на внешний интерфес.

Я обычно делаю вот так:

Заходим в панель упр. сетевые подключения и переименовываем интерфейсы: внешний (который смтрит в интернет) так и называем INTERNET внутренний называем LAN.
Заходим в Администрирование\Маршрутизацию и уд. доступ, раскрываем Имя сервера\IP Маршрутизация\NAT. Если все правильно настроено, то с правой стороны должно появиться как минимум 2 интерфеса LAN и INTERNET если их нету там, то добавляем.

В свойствах у LAN долежн стоять переключатель Частный интерфейс, подключен к частной сети
В свойствах у INTERNET долежн стоять переключатель Общий интерфейс подлкючен к Интернету, а также галочка Включить NAT на данном интерфейсе. Теперь переходим на закладку Службы и порты, вот тут та и настраиваются пробросы. Там ничего сложного нет думаю сможете разобраться.

Для теста можно попробовать пробросить порт 3389 (служба терминалов) на ваш внутренний сервер и попробовать зайти на внешний айпишник через RDP если попападаете на нужный вам сервер - RRAS настроена правильно.

Safety1st · Отправлено: **15:21, 30-03-2009** | #10

Ничего я его не запутал.

Ему howto нужно, мне быстрее и проще писать, пользуясь командным интерфейсом для конфигурирования RRAS.

Цитата Hunterus:

на обоих сервах поднат RRAS »

+ я ему дополнительно указал:

Цитата Isotonic:

В RRAS'е должен быть рабочий NAT »

Если он нам не соврал и обратил внимание на моё замечание, то у него уже есть NAT, в котором 2 интерфейса. После того, что он сказал

Цитата Hunterus:

Чет не получается »

и далее написал немного чушь, я решил ему не верить и самостоятельно убедиться, что творится в NAT, поэтому и dump попросил.

Интерфейс "Внутренний" или "Internal" является специальным интерфейсом внутри RRAS, выполняющим роль конечной точки PPP-соединений, переименовать его невозможно. По умолчанию он в NAT'е как частный интерфейс может не присутствовать, но он необходим, если RAS-клиенты хотят получать Интернет через NAT через PPP-соединения. Evidence - http://support.microsoft.com/kb/310888/.
Я не стал дожидаться dump'а, а предложил Hunterus'у выполнить команду, которая может помочь, но в любом случае ничего плохого не сделает. Единственное, в чём я ошибся: эту команду надо было выполнять именно на сервере 10.150.7.55, т.к. именно он первым 3-м клиентам даёт Интернет через NAT.

Цитата artem_:

что же вы человека запутали. Вы пытаетесь пробросить порты с VPN интерфейса во внутрь, а ему нужно пробросить пакеты, которые приходят на внешний интерфес. »

Звание "contributor" что-то значит в наши дни? А слово "туннель"? А проброс портов VPN с сервера 10.150.7.68 на сервер 10.150.7.55 разве не вызовет "проброс пакетов, которые приходят на внешний интерфейс"? Когда образуется VPN-туннель, серверу 10.150.7.68 будет до пятой точки опоры, что там по нему передаётся. Это и есть преимущества технологии туннелирования. Зачем пробрасывать весь трафик, когда можно ограничиться пробросом одного туннеля?

Самое смешное, что это решение мне Ваш первый пост подсказал. Но далее Вы дали рекомендацию

Цитата artem_:

Как это реализовать ищите в интернете »

Я взял на себя смелость довести Ваше решение до уровня howto (т.е. "как сделать"), а теперь Вы же меня критикуете

Если Hunterus не в состоянии подменить шаблон <имя vpn-интерфейса> на реальное имя интерфейса, по которому ему от провайдера присваивается IP-адрес 80.35.58.58, тогда рано ему ещё сервера настраивать.

Хотя что там... Даже Вы не поняли, о каком VPN-интерфейсе идёт речь. Читайте внимательно:

"VPN-интерфейсом в контексте данного поста называется demand-dial интерфейс ("вызов по требованию") в терминологии RRAS, с помощью которого сервер 10.150.7.68 получает Интернет, тот самый, которому провайдер присваивает адрес 80.35.58.58. Если подобное объяснение Вас путает, то это тот самый интерфейс, который в выводе команды

Цитата:

netsh routing ip show interface

указан как "полный маршрутизатор"

.

Другими словами, я позаботился, чтобы у Hunterus'а не было сомнений, какое имя брать, не объясняя ему смысл жизни (то, что я объяснил Вам в большей части этого поста).