--}}
Новая тема
Вы не можете создавать новые темы.
Т.к. вы неавторизованы на сайте. Пожалуйста назовите себя или зарегистрируйтесь.
Список тем

Спецам по VPN Client

24
61
С друзьями на NN.RU
В социальных сетях
Поделиться
Linza
28.04.2006
Доброе время суток всем. Помогите разрешить проблему. Есть Локалка из нескольких компов. Все они ходят в инет через Kerio WinRoute Pro. Есть удаленный сервер. для подключения к нему на каждой машине стоит VPN Client Cisco Systems. Проблема в том, что одновременно может выходить на этот удаленный сервер только один юзер.
Если заходят несколько юзеров одновременно, то они начинают поочередно отваливаться, пока не останется снова только один подключенный. Где надо подкрутить чтобы работало? Подозреваю что это идет конфликт, когда на удаленный сервер заходят несколько юзеров с одного IP-адреса. Или я не прав?
Warwar
28.04.2006
нат?
Linza
28.04.2006
да. "нат"
Warwar
28.04.2006
вообще, как я понимаю, что бы некоторые вещи работали из под ната, нужно что бы на это была поддержка... т.е. получается то, что ваш тот, дальний хост, нифига не знает о ваших локальных машинах, а нат на роутере не может правильно завернуть коннекты... сумбурно, но что-то типа этого... вроде... винроут - программа данная вам в ощущениях, там вы поменять врят ли что-то сможете... надо просто понять, умеет оно это или нет... если нет, то - либо искать прогу, которая умеет, либо ставить нормальный роутер...
Linza
28.04.2006
да вы правы. удаленный сервер - это чужая организация. чтолибо подкрутить у них скорее всего невозможно. а что можете посоветовать для нас в этом плане? чем заменить WinRoute?
Warwar
28.04.2006
нет, я имел ввилу, что уних-то крутить там что-то даже бесполезно...

аналогичных прог под вин не знаю... на серваке стоит Linux... а уж будете искат что-то под вин или переходить на Linux - вам решать
Хрюкин.
28.04.2006
Warwar писал(а)
в т.е. получается то, что ваш тот, дальний хост, нифига не знает о ваших локальных машинах, а нат на роутере не может правильно завернуть коннекты... сумбурно, но что-то типа этого... вроде.


Насчет "сумбурно" - согласен. Ерунду пишешь. Для исходящих соединенй наличие НАТ не имеет значения.

ЗЫ. Автору: 1) удаленный сервер точно позволяет _множественные_ подключения? 2) На чем реализован ВПН на удаленном сервере? Пикс?
Warwar
28.04.2006
я и сказал сумбурно, не удалось донести мысль до читателя - моя проблема :о)

а нат на роутере не может правильно завернуть коннекты

которые пытается открыть тот хост...

теперь есть смысл?

эта часть опуса быля посвящена Входящим соединениям...
каюсь, не знаю как организуется соединение при VPN-connect'е... пытался сказать, что если есть часть коннекта, которую должна организовать ТА сторона, то понятно, почему не работает...

в линухе, в ядре, есть специальный модуль, который позволяет осуществлять p2p коннекты в IRC (DCC) даже из-под ната... имелось ввиду именно аналогичная ситуация...
Хрюкин.
28.04.2006
Warwar писал(а)
а нат на роутере не может правильно завернуть коннекты

которые пытается открыть тот хост...

теперь есть смысл?


Для управляющего TCP-соединения это точно не так, т.к. оно устанавливается со стороны клиента, находящегося за НАТ и проходит через НАТ точно так же, как, скажем, веб-сессия или почтовая сессия. А сервер никаких TCP SYN и UDP-пакетов со своей стороны не отправляет.

ЗЫ. Возможно, винраут не умеет держать больше одного GRE-туннеля (данные) и все входящие GRE-пакеты отправляет только одному (самому первому или последнему) клиенту.

2 Linza Есть мысль: делаете "Настройки" - "Дополнительно" - "Распределение портов", делаете "Добавить", выбираете: "Протокол" - РРТР, "IP адресата" - бродкастный адрес для вашей внутренней сети, "Доступ только из" можете вписать IP сервера, на который осуществляется коннект. Если не поможет - запускайте на машине с винраутом сниффер, делайте лог пакетов и анализируйте, что к чему[r].[/r]
@ngry
30.04.2006
а я бы ещё спросил, каким образом подключена локалка к инету. Далеко не все ADSL модемы способны пропускать более одного VPN.
Это как интересно, они разбирают пакет на части узнают что это VPN и не пропускают?
@ngry
30.04.2006
Кроме того, как разбирают, есть ещё понятие производительности проца у модема - мне кажется проблема не в определении, а именно в производительности.
А в данном случает причем тут прозводительность модема, Cisco VPN Client ставиться на компьютере у пользователя, настраивается и соединяется с сервером, в данно случае роль серевера играет как мне кажется один из продуктов компании Cisco, например Cisco PIX, так вот причем тут ADSL модем.... Ему должно быть фиалетово что через себя пропускать понуху или VPN он не участвует в организайии данного канала, а кроме как на физическом уровне...
@ngry
30.04.2006
слова "удалённый сервер" говорят что нибудь? Будь это локалка - вопроса про модем бы не возникло. Вашими бы устами, да мёд пить, сейчас мы прийдём к тому, что vpn соединения(с шифрованием) вообще комп не грузят?
Мы говорим про модем а не про комп... В данном случает модему похеру что через себя пропускать и как от этого зависит кол-во соединений я не понимаю, а процессор компа в любом случае напрягается как и процессор любой железки где он есть во включенном состояние
@ngry
30.04.2006
Суть разницы между компом и модемом? И там и там есть определённый предел производительности. Но возвращаясь к нашим барашкам - для модемов начального уровня есть вполне осязаемый предел количества vpn, которые этот модем способен пропустить. А именно всего одно!
Тут это значение не модемом регулируется а пропускной способностью канала и настройках на сервере... можем тут совсем не причем он VPN не организовывает со стороны клиента
@ngry
30.04.2006
пока не услышу способ организации удалённого подключения - всё лишь домыслы.
Хрюкин.
01.05.2006
@ngry писал(а)
для модемов начального уровня есть вполне осязаемый предел количества vpn, которые этот модем способен пропустить. А именно всего одно!


В данном контескте ты не прав.
@ngry
01.05.2006
примеры пожалуйста, модифицированные прошивки тоже интересны.
Хрюкин.
01.05.2006
Не поленился, залез на сайт Асуса - никаких данных по ограничению количества сквозных туннелей для этой железки не нашел. IXBT в плане таких вопросов не верю по определению. Посмотрел на аналогичную продукцию D-link, у них есть ограничения на количество сквозных туннелей IPsec (что вполне логично), ограничений на количество сквозных туннелей PPTP/L2TP у них не указано.
@ngry
01.05.2006
а я не поленился скачать мануал и просмотреть его ещё раз.
Позиция четвёртая пункта 1.1
@ngry
01.05.2006
не бейте, не стал жать для удобства прочтения. [209кб]
nnstepan
01.05.2006
Хрюкин. писал(а)
у них есть ограничения на количество сквозных туннелей IPsec (что вполне логично), ограничений на количество сквозных туннелей PPTP/L2TP у них не указано.


Объясни откуда берется ограничение на прохождение VPN (ipsec)? Это только в режиме роутера или и в режиме бриджа?
@ngry
01.05.2006
объясняю: из внимательного прочтения мануала.
nnstepan
02.05.2006
Я господина Хрюкина спросил, а не тебя. Меня физика и логика этого ограничения интересует, а не констатация факта, что оно описано в мануале.
@ngry
02.05.2006
Не ипи моск, меня это и самого интересует. Если внимательно почитаешь - увидишь мой вопрос г. Бебенину.
Хрюкин.
02.05.2006
Судя по описанию (в т.ч., рисунку, см. http://www.dlink.ru/products/prodview.php?type=15&id=150) для DI-804HV ограничение в 40 туннелей не сквозных, а заканчивающихся на самом маршрутизаторе. Т.е., ограничение проистекает из производительности роутера в плане шифрования трафика и т.д. Для моделей DI-604/614/624/714/704/707 поддержки VPN в качестве сервера (клиента) нету, и по даташиту нету ограничений на число свозных туннелей. Для моделей серии DFL (которые могут выступать в роли VPN-севера) есть ограничение на число выделенных (не сквозных) туннелей - т.е., опять-таки, в этом случае задействованы ресурсы железки на шифрование (это основная нагрузка).

Теперь неспешно подумаем. L2TP-трафик инкапсулируется в UDP самим клиентом и число сквозных туннелей через NAT ограничивается так же, как и число других не VPN-коннектов. Сквозной IPsec заворачивается в UDP модемом (или той железкой, которая делает NAT), теоретически, здесь требуется чуть больше "мозгов" + буферная память для хранения очереди пакетов на де/инкапсуляцию + надо строить дополнительную таблицу трансляции (а-ля NAT) что бы отличать пакеты для/от разных клиентов. PPTP заворачиватся в GRE а потом в IP, трансляция портов здесь невозможна, поэтому роутер должен как-то определять, какому из своих клиентов за NAT отправлять пришедший на внешний интерфейс GRE-пакет. Это решается, обычно, статическим указанием адреса одного внутреннего клиента. А если клиентов несколько, тогда как отличать кому какой GRE-пакет? Единственный надежный способ - анализ поля Caller ID GRE-заголовка и сопоставление его внутреннему адресу клиента за NAT. Видимо, в этой особенности и кроется число ограничений на число сквозных PPTP-туннелей.
@ngry
02.05.2006
мдя, пытался один раз настроить 804V - в результате плюнул. Посставил клиенту железку в два раза дешевле и проще соответственно. Не знаю подтвердят тут чьи то слова относительно того, что он умеет раздавать инет или по wifi или по езернету и не умеет это делать одновременно?
@ngry
02.05.2006
Хрюкин.
01.05.2006
@ngry писал(а)
сейчас мы прийдём к тому, что vpn соединения(с шифрованием) вообще комп не грузят?


Грузят только сервера и клиента. Любой транзитный роутер нагружается VPN-траффиком не более, чем любым другим (вебовским, почтовымм etc). Незначительное исключение - IPsec over NAT-T.
@ngry
01.05.2006
Согласен, без вариантов. Хотел бы услышать комментарий от Константина Бебенина, хотя бы касательно DLink.
Возможно господин Белянин может что-то добавить?
@ngry
30.04.2006
Спеки по модемам читать не пробовали?
@ngry
30.04.2006
Если хочется посмеяться, давайте пофантазируем, исходя из вводных. Входит один юзер - работает нормально. Входит несколько юзеров - модем начинает разбирать пакеты, оп ля ... да это же VPN, не пущу :)))) Сами то понимаете, что это просто смешно?
Пилять там стоит настройка на сервере пускать один коннект, что тут не понятного, у меня 3 Cisco Pix стоит и я тоже могу сделать так чтобы только один коннект был к нему по VPN и PIX в данную очередь выступает сервером VPN или что то похожее на него... Суть проблемы мне не понятно в данном случае...
@ngry
30.04.2006
если бы там такая настройка стояла - наверно такого вопроса бы не задавали. Или вы сомневаетесь, что люди установившие по - не могут его настроить? Суть проблемы - ADSL модем, а скорее всего именно посредством ADSL организовано удалённое подключение к серверу, не способен пропустить более одного VPN. Если хотите поспорить по поводу способностей модема - почитайте спецификацию простых модемов типа Dlink 500T.
Сють проблемы в том что им лень спросить у стороны где сервер стоит почему одно соеденения а не 2 или больше ;)
@ngry
30.04.2006
или так ... ну на дворе праздник, а шаманы в отпусках :)
Прочитал и не увидел что там есть ограничение на пропуск кол-ва VPN соединений организованных вне его мозгов...
@ngry
30.04.2006
ладно, фик с длинком, вот табличка от асуса(у меня такой стоит, железо внутри - аналогичное)см аттач
1. Ничего не понимаю хоть и вижу картинку что это за модем который ограничивает кол-во соединений через него :( ....
2. Хотя может быть это он как клиент может выступать и организовать одно соединение....

Мне кажется второе предположение более правдоподобным...
@ngry
30.04.2006
VPN pass through как ты это понимаешь?
@ngry
30.04.2006
вопрос ещё в том, как был подключен модем, роутером или по usb. А какие могут быть разночтения этой фразы. Какая часть слова нет - не понятна? :)
nnstepan
01.05.2006
Господа, а мы случайно не путаем VPN, который может организовать сам модем и организация VPN софтом на раб. месте?
Даже если по совершенно непонятной мне причине модем не пропускает через себя более одного VPN (ipsec или pptp) то выход из ситуации простеший. Модем ставится в режим Bridge, а NAT реализуется на сервере. По первому посту автора следует, что у него как раз такая схема и модем влиять здесь вроде как не может... Надо попробовать другую реализацию НАТа - ISA, WinGate, UserGate или на базе Linux/FreeBSD.
@ngry
01.05.2006
да мы даже не знаем, есть ли там модем ... слишком много "если"
Да что ты тогда к модему привязался в самом начале ;)
nnstepan
02.05.2006
Про модем интересный факт, надо дождаться чтобы кто-нибудь его объяснил, что там и как...
@ngry
02.05.2006
не привязался, а обратил внимание .... просто этот факт из мануала у меня в памяти отложился, да и собственно я домой выделенку бросил частично из-за желания присутствовать на работе из дома.
Это ограничение действует когда модем организовывает VPN, по русски говоря играет роль клиента у сервера....
Хрюкин.
01.05.2006
@ngry писал(а)
а я бы ещё спросил, каким образом подключена локалка к инету. Далеко не все ADSL модемы способны пропускать более одного VPN.


Написано же, русским языком: "ходят в инет через Kerio WinRoute Pro". Где ты слово ADSL увидел? У нас есть модемы, которые под винраутом работают ;-) ?
@ngry
01.05.2006
Не факт, например у меня винроут стоял, когда я в локалку GPRS раздавал.
brom
28.04.2006
Мож тупо поднять туннель между вашим керио и удаленным сервером?
Linza
28.04.2006
а как это сделать?
brom
28.04.2006
Во первых, надо знать, что стоит на той стороне и возможен ли туннель между вами.
Поднять IPSec туннель site-to-site....договориться о методах шифрования и т.д. Оба сайта должны иметь реальные IP адреса.
Точных рекомендаций не дам, у меня CISCO PIX. CISCO VPNClient отлично цепляются с любого диалапа по UDP, даже из-под NAT. В PIX есть NAT-Transparent. Т.е. IPSec поверх UDP...
Но цыски, сцуко, дорогие...

В продолжение. Если ты цепляешься цыско клиентом, то на другой стороне цыска? Тогда там надо включить NAT-T.
isakmp nat-traversal 20
Со стороны удаленного сервера стоит Cisco Pix который посылает нах всех кроме одного ;) Скорее всего все на Cisco PIX ограниченно ;) пиши в приват
cashman
29.04.2006
один стопудово коннектиться?
вот на нем и ставьте юзергейта или что то подобное.... а потом с него и ходите всей локалкой)))
Хорошая идея но если все правильно на Cisco Pix настроина то и она не будет работать при таком как вы описали раскладе теряется смысл VPN
Безумие которое не будет работать ;)
nnstepan
01.05.2006
+1 - одназначно дурь
cashman
29.04.2006
/
Новая тема
Вы не можете создавать новые темы.
Т.к. вы неавторизованы на сайте. Пожалуйста назовите себя или зарегистрируйтесь.
Список тем
Последние темы форумов