Маршрутизация в Windows 2003

[Hunterus]

Есть такая вот сеть. Пользователи User 1, User 2, User 3 получают инет путем подключения через VPN к серверу "Server 1" набирая 10.150.7.55.
На сервере настроен RRAS, поднято безлимитное соединение.
Надо настроит так чтоб при подключении VPN соединения из вне набирая 80.35.58.58
подключатся к Server 1. То е набирая 80.35.58.58 попадать на 10.150.7.55.

ВОПРОС: Как это сделать? Желательно пошагово.

[artem_]

На сколько я понял, клиент должен устанавливать VPN соединение с сервером, который находится внутри вашей сети.

В таком случаи вам придется поднимать службу Мрашрутизация и удааленный доступ (Routing And Remoute Access)
Настраивать в ней одностороннее VPN подключение к провайдеру.
Настраивать проброс портов 80.35.58.58 на 10.150.7.55.

Вот какие порты вам нужно будет пробросить:

-- Если используете PPTP ---
TCP 1723 - PPTP

-- Если используете L2TP ---
UDP 1701 - L2TP
UDP 500 - IKE
UDP 4500 - IKE через NAT

Как это реализовать ищите в интернете.
Если опыта в организации VPN доступа нет предлагаю начать вот с этого (http://technet.microsoft.com/ru-ru/library/cc780940.aspx)

[Hunterus]

Может кто подскажет как настроить проброс портов пошагово?

[Safety1st]

Начните с команды format c:
Шучу, шучу :)

Картинка не объясняет смысл жизни. Получается, что у Вас у каждого сервера один IP-адрес на 2 интерфейса. Кроме того, не ясна роль сервера 10.150.7.68 и каковы его отношения с сервером 10.150.7.55.

Без ответов на эти вопросы давать howto-рекомендации было бы неосмотрительно. Доработайте схему сети вначале.

[Hunterus]

Оба сервера находятся в одной сети, надо настроить проброс портов. т.е. при обращении к 80.35.58.58 попадать на 10.150.7.55.
на обоих сервах поднат RRAS

ВОПРОС: что конкретно надо сделать на 80.35.58.58 и что если надо на 10.150.7.55

[Safety1st]

Речь идёт о сервере 10.150.7.68. В RRAS'е должен быть рабочий NAT.
В командной строке набираем команды:

netsh routing ip show interface
нам нужен интерфейс, в поле "тип" которого написано что-то типа "полный маршрутизатор", аккуратно копируем его имя из поля "интерфейс"

далее вводим команды:
netsh routing ip nat add portmapping name="<имя vpn-интерфейса>" proto=UDP publicip=0.0.0.0 publicport=500 privateip=10.150.7.55 privateport=500
netsh routing ip nat add portmapping name="<имя vpn-интерфейса>" proto=UDP publicip=0.0.0.0 publicport=4500 privateip=10.150.7.55 privateport=4500
netsh routing ip nat add portmapping name="<имя vpn-интерфейса>" proto=UDP publicip=0.0.0.0 publicport=1701 privateip=10.150.7.55 privateport=1701
netsh routing ip nat add portmapping name="<имя vpn-интерфейса>" proto=TCP publicip=0.0.0.0 publicport=1723 privateip=10.150.7.55 privateport=1723

все команды должны выполниться без ошибок. если таковые возникнут, продолжать ввод команд бессмысленно.

в итоге будет следующее: трафик клиентов, пытающихся подключиться по VPN к серверу 80.35.58.58, будет перебрасываться на сервер 10.150.7.55, который и будет поддерживать VPN-туннель.

[Hunterus]

Чет не получается все равно конектится к 10.150.7.68

[Safety1st]

Как Вы это определили?
Дайте результаты команды netsh routing ip nat dump

На том же сервере выполните ещё команду netsh routing ip nat add interface Внутренний Private или netsh routing ip nat add interface Internal Private (зависит от языковой версии ОС)

[artem_]

<имя vpn-интерфейса> »
что же вы человека запутали. Вы пытаетесь пробросить порты с VPN интерфейса во внутрь, а ему нужно пробросить пакеты, которые приходят на внешний интерфес.

Я обычно делаю вот так:

Заходим в панель упр. сетевые подключения и переименовываем интерфейсы: внешний (который смтрит в интернет) так и называем INTERNET внутренний называем LAN.
Заходим в Администрирование\Маршрутизацию и уд. доступ, раскрываем Имя сервера\IP Маршрутизация\NAT. Если все правильно настроено, то с правой стороны должно появиться как минимум 2 интерфеса LAN и INTERNET если их нету там, то добавляем.

В свойствах у LAN долежн стоять переключатель Частный интерфейс, подключен к частной сети
В свойствах у INTERNET долежн стоять переключатель Общий интерфейс подлкючен к Интернету, а также галочка Включить NAT на данном интерфейсе. Теперь переходим на закладку Службы и порты, вот тут та и настраиваются пробросы. Там ничего сложного нет думаю сможете разобраться.

Для теста можно попробовать пробросить порт 3389 (служба терминалов) на ваш внутренний сервер и попробовать зайти на внешний айпишник через RDP если попападаете на нужный вам сервер - RRAS настроена правильно.

[Safety1st]

Ничего я его не запутал.

Ему howto нужно, мне быстрее и проще писать, пользуясь командным интерфейсом для конфигурирования RRAS.

на обоих сервах поднат RRAS » + я ему дополнительно указал: В RRAS'е должен быть рабочий NAT »
Если он нам не соврал и обратил внимание на моё замечание, то у него уже есть NAT, в котором 2 интерфейса. После того, что он сказал Чет не получается » и далее написал немного чушь, я решил ему не верить и самостоятельно убедиться, что творится в NAT, поэтому и dump попросил.

Интерфейс "Внутренний" или "Internal" является специальным интерфейсом внутри RRAS, выполняющим роль конечной точки PPP-соединений, переименовать его невозможно. По умолчанию он в NAT'е как частный интерфейс может не присутствовать, но он необходим, если RAS-клиенты хотят получать Интернет через NAT через PPP-соединения. Evidence - http://support.microsoft.com/kb/310888/.
Я не стал дожидаться dump'а, а предложил Hunterus'у выполнить команду, которая может помочь, но в любом случае ничего плохого не сделает. Единственное, в чём я ошибся: эту команду надо было выполнять именно на сервере 10.150.7.55, т.к. именно он первым 3-м клиентам даёт Интернет через NAT.


что же вы человека запутали. Вы пытаетесь пробросить порты с VPN интерфейса во внутрь, а ему нужно пробросить пакеты, которые приходят на внешний интерфес. »
Звание "contributor" что-то значит в наши дни? А слово "туннель"? А проброс портов VPN с сервера 10.150.7.68 на сервер 10.150.7.55 разве не вызовет "проброс пакетов, которые приходят на внешний интерфейс"? Когда образуется VPN-туннель, серверу 10.150.7.68 будет до пятой точки опоры, что там по нему передаётся. Это и есть преимущества технологии туннелирования. Зачем пробрасывать весь трафик, когда можно ограничиться пробросом одного туннеля?

Самое смешное, что это решение мне Ваш первый пост подсказал. Но далее Вы дали рекомендацию Как это реализовать ищите в интернете »
Я взял на себя смелость довести Ваше решение до уровня howto (т.е. "как сделать"), а теперь Вы же меня критикуете :)

Если Hunterus не в состоянии подменить шаблон <имя vpn-интерфейса> на реальное имя интерфейса, по которому ему от провайдера присваивается IP-адрес 80.35.58.58, тогда рано ему ещё сервера настраивать.

Хотя что там... Даже Вы не поняли, о каком VPN-интерфейсе идёт речь. Читайте внимательно:
"VPN-интерфейсом в контексте данного поста (http://forum.oszone.net/post-1077254.html#post1077254) называется demand-dial интерфейс ("вызов по требованию") в терминологии RRAS, с помощью которого сервер 10.150.7.68 получает Интернет, тот самый, которому провайдер присваивает адрес 80.35.58.58. Если подобное объяснение Вас путает, то это тот самый интерфейс, который в выводе команды netsh routing ip show interface указан как "полный маршрутизатор".

Другими словами, я позаботился, чтобы у Hunterus'а не было сомнений, какое имя брать, не объясняя ему смысл жизни (то, что я объяснил Вам в большей части этого поста).

[artem_]

Интернет, тот самый, которому провайдер присваивает адрес 80.35.58.58."

прошу прощения за не внимательность. Забыл, что у него подключение к провайдеру, через VPN.

Нужно уметь признавать свои ошибки. Еще раз каюсь.

[Safety1st]

:)

Да у него не описание, а ужас. Тут немудрено забыть. Нарисовал картинку, на которой один сервер воткнут в другой напрямую, и доволен. Когда я попросил развернуто описать, он выдавил из себя пару строк про то, что RRAS рулит :) и по-новой написал всё тот же вопрос ВОПРОС: что конкретно надо сделать

Я вот, тоже сначала и не заметил, что для сервера 10.150.7.68 он-таки указал внешний IP 80.35.58.58, поэтому казалось Получается, что у Вас у каждого сервера один IP-адрес на 2 интерфейса

[Hunterus]

Вот что выдало на команду netsh routing ip nat dump
Чет никак не работает.....

# -----------------------------------------
# RAS-конфигурация
# -----------------------------------------
pushd routing ip nat
uninstall
install
set global tcptimeoutmins=1440 udptimeoutmins=1 loglevel=ERROR


#
# NAT-конфигурация для интерфейса "Подключение по локальной сети"
#
add interface name="Подключение по локальной сети" mode=PRIVATE


#
# NAT-конфигурация для интерфейса "internet"
#
add interface name="internet" mode=FULL
add portmapping name="internet" proto=UDP publicip=0.0.0.0 publicport=500 privat
eip=10.150.7.55 privateport=500
add portmapping name="internet" proto=UDP publicip=0.0.0.0 publicport=4500 priva
teip=10.150.7.55 privateport=4500
add portmapping name="internet" proto=UDP publicip=0.0.0.0 publicport=1701 priva
teip=10.150.7.55 privateport=1701
add portmapping name="internet" proto=TCP publicip=0.0.0.0 publicport=1723 priva
teip=10.150.7.55 privateport=1723


#
# NAT-конфигурация для интерфейса "Внутренний"
#
add interface name="Внутренний" mode=PRIVATE


popd

[Safety1st]

В dump'е всё хорошо. Выполняли команду netsh routing ip nat add interface Внутренний Private или netsh routing ip nat add interface Internal Private (зависит от языковой версии ОС) на сервере 10.150.7.55, как я потом поправился?

Уважаемый Hunterus, слов Чет никак не работает маловато будет. Описывайте подробно, что у Вас там происходит, какие ошибки выдаются и т.п.

Также, для ускорения решения вопроса, можете предоставить netsh dump, выполнив команду на обоих серверах. Сведения, которые не хотите раскрывать, подмените на любые другие, только без путаницы.