не работают два "встречных" VPN между двумя серверами 2003

[g0ga]

Всем привет!

Ситуация такая.
Два сервера с W2003, каждый подключен к интернету через ADSL-модем. Подключение к интернету настроено через RRAS. Так же в RRAS настроены VPN-соединения (РРТР) каждого сервера друг к другу. Если поднимать VPN-соединениe только на каком-то одном сервере, то оно подключается без проблем и все работает как надо. Но если попытаться поднять VPN-соединение, например, с сервера 2 на 1, когда с 1 на 2 оно уже поднято, то оно висит на подключении секунд 40 и отваливается с ошибкой"Соединение прервано раньше, чем установлено". При этом в журнале ошибок того сервера, к которому производилась попытка подключения, появляется следующая запись:

Источник: RasMan
Код(ID): 20209
Связь между VPN-сервером и VPN-клиентом 92.126.45.103 была установлена, но не удалось завершить установку VPN-подключения. Наиболее вероятная причина - брандмауэр или маршрутизатор между VPN-сервером и VPN-клиентом не разрешает передачу пакетов GRE (Generic Routing Encapsulation) протокола 47. Проверьте, что брандмауэры и маршрутизаторы между этим VPN-сервером и Интернетом разрешают GRE-пакеты. Проверьте, что брандмауэры и маршрутизаторы в сети пользователя также разрешают GRE-пакеты. Если проблема сохраняется, обратитесь к вашему поставщику услуг Интернета (ISP) чтобы проверить, не происходит ли блокирование GRE-пакетов поставщиком.


Проверялось на двух разных парах серверов (одна пара сервер 2008 и 2003SP2, другая оба 2003R2), поведение одинаковое. Это так и должно быть или все-таки глюк? Как добиться, чтобы VPN между серверами работалo одновременно в обе стороны?

Заранее благодарю за советы.

[El Scorpio]

"Копать будем с двух сторон одновременно. Срок завершения работы - месяц. За точность не ручаюсь, но в крайнем случае будет два тоннеля" :)

VPN соединение поднимается в одном направлении и прекрасно работает в обе стороны. Что сверх этого надо, непонятно

[g0ga]

Спасибо, я в курсе, что оно работает в обе стороны.
Понимаете, тут вопрос политический.
На том, чтобы работало "два тоннеля" :) настаивает админ из головной конторы нашего предприятия. Типа у него с другим региональным офисом именно так и работает (встречно 2 VPN), но проверить я не могу. И я не могу доказать ему, что хватает 1 соединения, и не могу сделать как он заставляет - 2 одновременных-встречных.
То есть либо я научусь - с помощью уважаемого сообщества - устанавливать такие соединения, либо смогу доказать ему что это, допустим, невозможно :)

Поэтому, при всей возможной глупости вопроса, он остается открытым...

[El Scorpio]

настаивает админ из головной конторы нашего предприятия »
Встречный вопрос - кто из родственников этого админа занимает руководящую должность в головной конторе :)*:)*:)

В конце-концов, подними соединение со своей стороны, а дальше пусть он сам через "удалённый рабочий стол" сравнивает настройки на твоём сервере и на сервере другого офиса.

В возражения даже на уровне логики тут простые.
Во-первых, при создании исходящего соединения компьютер получает IP-адрес из подсети сервера. А если создавать подключения в обоих направлениях, то центральный сервер получит огромное количество разных IP.
Во-вторых, в сети получается большое количество "колец", что не есть гуд. Опять же, размер таблицы маршрутизации превысит все разумные пределы.

Из достоинств?
Ну скорость передачи информации при наличии одной физической линии никак не увеличится. Опять же надёжность тоже не возрастёт - если на реальном соединении возникнут проблемы, оба виртуальных канала разорвутся одновременно

[wowsab]

А есть ли смысл поднимать 2 vpn? Тем более это нереально при условии что и у отправляющей и у принимающей стороны по 1 инет соединению.

Они заработают только если у обоих сторон 2 инет соединения (например основной static ip и резервный dsl), и то только при условии, что соединяться будете по 1 соединению на ip то есть примерно так

КОМП 1 _____STATIC IP - DSL ______> КОМП 2

КОМП 2 _____STATIC IP - DSL_______> КОМП 1

Но это опять кольцо - оно не нужно....

[g0ga]

Коллеги, давайте пока не обращать внимание на минусы такого подхода. Я-то их прекрасно осознаю. Самое главное для меня сейчас разобраться - так вообще должно работать или нет? Надеюсь на вашу помощь.

Вообще "головной" админ так и делал, как советовал El Scorpio, перекопал мне весь RRAS, но ничего не нарыл и поручил мне переустановить систему. Но система нормально у меня работает, и я не вижу для этого оснований. Более того, два свежеустановленных тестовых сервера 2003R2 также не могут подключиться друг к другу одновременно. Я зачем буду сносить живую систему, чтобы получить тот же результат. Но ему же не докажешь. А надо :)

[Angry Demon]

g0ga, а давай копнём чуток в другом направлении.
Первым устанавливается соединение какое? Ты -> Они? Или Они -> Ты?

[g0ga]

Angry Demon, а без разницы. Первое соединение между серверами всегда происходит нормально, без ошибок, независимо от того, кто его установил. А второе, во встречном направлении, уже не удается установить.

Кстати, только что проверил это "взаимное" соединение между двумя серверами 2003 в локальной сети - все работает отлично. Причем один из этих серверов - наш интернет-шлюз - как раз тот, к которому не может подключиться (через интернет) сервер головной конторы, если в это время наш шлюз уже подключен к нему. Жаль, что сразу не проверил. Грешить на модем (но он у нас настроен бриджом - может ли он влиять?) или провайдера?

[monkkey]

Это возможно, если изменить порт подключения VPN-канала. Только, вообще-то, ситуация абсурдная. Канал он и есть канал, работает в обе, естественно, стороны.

[El Scorpio]

Грешить на модем (но он у нас настроен бриджом - может ли он влиять?) или провайдера? »
Нет и Нет

Кстати, только что проверил это "взаимное" соединение между двумя серверами 2003 в локальной сети - все работает отлично. »
"Взаимное" соединение на виртуальных машинах получилось установить даже между двумя XP, но всё равно результаты ipconfig /all и route print получились весьма головоломными :)
Возможно, проблемы могут возникнуть из-за схожих IP-адресов

[g0ga]

Возможно, проблемы могут возникнуть из-за схожих IP-адресов »
Эт вряд ли, оба сервера при VPN подключениях раздают непересекающиеся адреса
сервер головной конторы работает в сети 192.168.0.х, раздает адреса из своей подсети.
мой сервер работает в сети 192.168.1.х, раздает адреса 192.168.2.х
да и я так полагаю, что ошибка возникает еще до поднятия интерфейса и выдачи IP-адреса.
может, выложить логи из %windir%\tracing ? подскажите, какие?

[wertyg]

1 - админ из головной конторы не сам настраевал соединения иначе бы он знал в чём причина неработоспособности....) ему явно кто то помогал.)
2 - давай ipconfig /all с обоих серверов или только с твоего до подключения к VPN и после. и укажи из какого состояния производится попытка установки встречного тонеля.
3 - до попытки установки встречного VPN давай rout print
4 - если устанавливать VPN с того сервера к тебе он работает? а если иначе от тебя к нему работает?
5 - и неплохо бы увидеть настройки VPN в частности адрес VPN-servera. без этого чем-то помочь будет сложно.(

з.ы. если 4-й пункт выполняется полностью и сетевого экрана нет, то что-то мне подсказывает что после установки одного VPN соединения маршрут к точке подключения указывает в другое место, если вообще он корректен.) а не стоит ли у VPN подключения галочка "использовать шлюз в удалённой сети"?

попробую на виртуалках в ближайшее время.)

[Safety1st]

g0ga, в чём Ваша задача? Умудриться заставить работать нерекомендуемую конфигурацию или убедить неразумного админа, что он не прав?

[Angry Demon]

4 - если устанавливать VPN с того сервера к тебе он работает? а если иначе от тебя к нему работает?
Angry Demon, а без разницы. Первое соединение между серверами всегда происходит нормально, без ошибок, независимо от того, кто его установил. А второе, во встречном направлении, уже не удается установить.

[g0ga]

В общем, получается так. Попробую описать сетевые настройки обоих серверов, если чего упущу - напомните, плиз. Итак, оба сервера живут в своих сетях, 192.168.1.0/255.255.255.0, оба выходят в интернет через соединение РРРОЕ к одному и тому же провайдеру. На обоих настроен RAS, сервер удаленного доступа включен. Один сервер раздает VPN клиентам адреса 192.168.3.1-100/255.255.255.0, другой 192.168.4.1-100/255.255.255.0. Как видно, никаких пересечений по идее не должно получаться. Никаких статических маршрутов, кроме 0.0.0.0/0.0.0.0 на интерфейс РРРОЕ, на серверах в RAS не прописано, таким образом, даже когда один сервер подсоединился к другому, другой пытается осуществить вызов по правильному маршруту, а не, например, через установленное "с той стороны" подключение. Галочка "использовать шлюз в удалённой сети" естественно не стоит, т.к. в RAS ее нет - чтобы роутить что-то через RAS VPN, надо прописать отдельный статический маршрут. Тем не менее, вот route print сервера, который успешно установил соединение с другим:

C:\Documents and Settings\Администратор>route print

IPv4 таблица маршрута
===========================================================================
Список интерфейсов
0x1 ........................... MS TCP Loopback interface
0x10002 ...00 53 45 00 00 00 ...... WAN (PPP/SLIP) Interface
0x10003 ...00 1a 13 b3 b3 14 ...... Realtek RTL8139/810x Family Fast Ethernet NI
C
0x20004 ...00 53 45 00 00 00 ...... WAN (PPP/SLIP) Interface
0x40006 ...00 53 45 00 00 00 ...... WAN (PPP/SLIP) Interface
===========================================================================
===========================================================================
Активные маршруты:
Сетевой адрес Маска сети Адрес шлюза Интерфейс Метрика
0.0.0.0 0.0.0.0 213.228.116.147 92.124.54.122 1
92.124.54.122 255.255.255.255 127.0.0.1 127.0.0.1 50
92.126.59.251 255.255.255.255 213.228.116.147 92.124.54.122 1
92.255.255.255 255.255.255.255 92.124.54.122 92.124.54.122 50
127.0.0.0 255.0.0.0 127.0.0.1 127.0.0.1 1
192.168.1.0 255.255.255.0 192.168.1.6 192.168.1.6 20
192.168.1.6 255.255.255.255 127.0.0.1 127.0.0.1 20
192.168.1.255 255.255.255.255 192.168.1.6 192.168.1.6 20
192.168.3.1 255.255.255.255 192.168.3.7 192.168.3.7 1
192.168.3.7 255.255.255.255 127.0.0.1 127.0.0.1 50
192.168.3.255 255.255.255.255 192.168.3.7 192.168.3.7 50
192.168.4.1 255.255.255.255 127.0.0.1 127.0.0.1 50
213.228.116.147 255.255.255.255 92.124.54.122 92.124.54.122 1
224.0.0.0 240.0.0.0 192.168.1.6 192.168.1.6 20
224.0.0.0 240.0.0.0 192.168.3.7 192.168.3.7 50
224.0.0.0 240.0.0.0 92.124.54.122 92.124.54.122 1
255.255.255.255 255.255.255.255 92.124.54.122 92.124.54.122 1
255.255.255.255 255.255.255.255 192.168.1.6 192.168.1.6 1
255.255.255.255 255.255.255.255 192.168.3.7 192.168.3.7 1
Основной шлюз: 213.228.116.147
===========================================================================
Постоянные маршруты:
Отсутствует

а вот route print сервера, к которому подсоединились, и который уже не может:
C:\Documents and Settings\Администратор>route print

IPv4 таблица маршрута
===========================================================================
Список интерфейсов
0x1 ........................... MS TCP Loopback interface
0x10002 ...00 53 45 00 00 00 ...... WAN (PPP/SLIP) Interface
0x10003 ...00 03 ff be 1b 9e ...... Intel 21140-Based PCI Fast Ethernet рфряЄхЁ
(╙эштхЁёры№э√щ)
0x90004 ...00 53 45 00 00 00 ...... WAN (PPP/SLIP) Interface
===========================================================================
===========================================================================
Активные маршруты:
Сетевой адрес Маска сети Адрес шлюза Интерфейс Метрика
0.0.0.0 0.0.0.0 213.228.116.148 92.126.59.251 1
92.124.54.122 255.255.255.255 213.228.116.148 92.126.59.251 1
92.126.59.251 255.255.255.255 127.0.0.1 127.0.0.1 50
92.255.255.255 255.255.255.255 92.126.59.251 92.126.59.251 50
127.0.0.0 255.0.0.0 127.0.0.1 127.0.0.1 1
192.168.1.0 255.255.255.0 192.168.1.1 192.168.1.1 20
192.168.1.1 255.255.255.255 127.0.0.1 127.0.0.1 20
192.168.1.255 255.255.255.255 192.168.1.1 192.168.1.1 20
192.168.3.1 255.255.255.255 127.0.0.1 127.0.0.1 50
192.168.3.7 255.255.255.255 192.168.3.1 192.168.3.1 1
213.228.116.148 255.255.255.255 92.126.59.251 92.126.59.251 1
224.0.0.0 240.0.0.0 92.126.59.251 92.126.59.251 50
224.0.0.0 240.0.0.0 192.168.1.1 192.168.1.1 20
255.255.255.255 255.255.255.255 92.126.59.251 92.126.59.251 1
255.255.255.255 255.255.255.255 192.168.1.1 192.168.1.1 1
Основной шлюз: 213.228.116.148
===========================================================================
Постоянные маршруты:
Отсутствует
Как видно, один сервер выделил другому адрес 192.168.3.7, особой кривости в маршрутах нет.

На самом деле головной админ уже не требует настойчиво сделать это встречное подключение. Думаю, мне удастся спустить это дело на тормозах. Но мне теперь уже самому чисто спортивный интерес разобраться, работает это или нет все-таки... :)

[wertyg]

Как видно, никаких пересечений по идее не должно получаться » - а тот факт что обе локальные сети с диапозоном 192.168.1.0 255.255.255.0 на это закрыть глаза?..) в так настроенной сети ПК из одной локальной сети, находящейся по одно сторону VPN, никогда не смогут установить связь с ПК в другой локальной сети, находяшиеся по другую сторону VPN. т.к. адресные пространства этих сетей накладываются друг на друга. смысл тогда вообще в VPN? только чтоб соеденить сервера?

з.ы. поднимаю 4-ре сервера и две станции, для эмуляции твоей сети. если время будет то в эти выходные посмотрю что к чему.

[g0ga]

- а тот факт что обе локальные сети с диапозоном 192.168.1.0 255.255.255.0 на это закрыть глаза?..) в так настроенной сети ПК из одной локальной сети, находящейся по одно сторону VPN, никогда не смогут установить связь с ПК в другой локальной сети, находяшиеся по другую сторону VPN. т.к. адресные пространства этих сетей накладываются друг на друга. смысл тогда вообще в VPN? только чтоб соеденить сервера?
Слушай, уже да :) Именно что сервера. Так как уже выяснилось, что два сервера в одной локальной сети прекрасно подцепляются по VPN друг к другу одновременно именно при таких сетевых настройках.
А первоначальный смысл VPN, конечно, потерян, но не мной. Либо я делаю как мне навяливают, либо убедительно доказываю, что это невозможно.

[El Scorpio]

Итак, оба сервера живут в своих сетях, 192.168.1.0/255.255.255.0 »
:o
Вообще-то если речь идёт о локальных сетях филиалов одной большой организации, то прежде всего каждому филиалу централизовано в административном порядке назначается отдельная подсеть.
Просто я к тому, что связь между серверами работать будет, а вот передача информации между клиентскими компьютерами даже при работающем VPN окажется невозможна