Доступ К Защищенной Сети За Координатором

[archi]

Добрый день!

Не силен в Vip Net...

Имеется следующая ситуация:

есть ПК с установленным Vip Net client 3.2 (на пк 2 сетевые карты: одна - 192.168.1.2 /24 (инет), вторая 10.0.12.66 /29 (локалка))

есть координатор (3.2, назовем его координатор 1) на виндовом сервере (2 сетевых интерфейса: один - 10.0.12.65 /29(локалка), второй 10.0.12.2 /29 (сеть к главному координатору))

клиент находится за координатором 1 ( настройки:сервер ип - координатор 2, использовать МЭ, тип - координатор, координатор - координатор 1)

координатор настроен на "вышестоящий" координатор 2

между координаторами прямая видимость (ethernet 100 Mbit/s )

между клиентом и координатором 1 - тоже локалка.

Проблема:

когда на клиенте работает инет, с клиента "видно" узлы в защищенной сети за координатор 1, когда инет выключаю, клиент не видит ничего, что за координатором 1.( По плану должен работать по локалке).

Маршрутизация на координаторе вкл, в журнале ничего заблокированного нет. В настройках ип и МЭ все вроде нормально

В чем может быть причина?

[slavanchuk]

Остальные-то клиенты у Вас в Интернете или локалке? Может, подойдёт настройка "отправлять все пакеты через координатор" (принудительно отправлять защищённый трафик через координатор без оптимизации по прямому доступу. Хотя, это, скорее всего не Ваш случай. Тут возможна другая ситуация. У Вас координатор 2 виден с клиента при отключении Интернет? Доступ к компьютерам защищённой сети происходит по реальным или виртуальным адресам? Судя по всему, в марштуах где-то засада. Если клиенты находятся в локалке, то он должен их и без всякого координатора видеть. Вышестоящий координатор имеет доступ в Интернет?

[archi]

У Вас координатор 2 виден с клиента при отключении Интернет?

нет, только координатор 1

Доступ к компьютерам защищённой сети происходит по реальным или виртуальным адресам?

клиент и координатор 1 - по реальным, остальные узлы защищенной сети и координаторы по виртуальным (в т.ч и доступ к координатору 2)

Вышестоящий координатор имеет доступ в Интернет?

да

Если клиенты находятся в локалке, то он должен их и без всякого координатора видеть

координатор 2 - это сервер ip адресов координатора 1.

с клиента пингуется коорднитор 1

с координатора 1 - пингуется координатор 2

в маршрутах где-то засада

как выяснить где именно?

Очень смутно представляю принципы маршрутизазии vip net .

[slavanchuk]

Получается, всё-таки, что клиент с координатором общаются только через Интернет и, следовательно, по каким-то причинам не может получить доступ к координатору 2 по локальной сети. Возможно, следует изменить приоритеты в маршрутизации (метрики) на клиенте (в свойствах координатора 2) для того, чтобы с ним доступ был, преимущественное, через внутреннюю сеть. И на координаторе 1 (аналогичный образом).

[AnTonN(c)]

Думаю, что дело в маршрутах. Шлюз стоит на инет. Отключаем - шлюз падает. Маршрутизация остается только на свою подсеть. Это не настройки ViPNet, а стандартная маршрутизация.

[archi]

Всем спасибо за помощь.

Вы правы. Шлюзы прописаны на обоих сетевых интерфейсах через route add, вот поэтому я и подумал на vip net. Как только удалил все маршруты и прописал ип шлюза в свойтсвах тсп/ип интерфейса, смотрящего на координатор, все заработало. Как сделать так, чтобы при падении лвс, клиент подключался к защищенной сети через инет, без ручных манипуляций и дополнительного маршрутизатора? Возможно такое?

[AnTonN(c)]

Прописать адреса доступа в ЦУС для координатора и разослать обновления.

[slavanchuk]

Да, и указать метрики, какие каналы использовать преимущественно.

[AnTonN(c)]

Метрики можно и не устанавливать. При таймауте соединения клиент/координатор разошлет пакеты по списку всех известных ему адресов. И от какого адреса придет ответ первым, тот и будет адрес доступа.

[archi]

Предыдущая проблема решена. Спасибо.

Теперь хочу сделать полутуннель от координатора 1 - к хосту , но на координаторе 1 в фильтрах туннелированых адресов кнопка "ip адреса" недоступна (серым цветом)!Служба маршрутизации и удаленного доступа включена. Лицензии вроде как есть. В чем может быть причина?

[AnTonN(c)]

В ЦУС пропишите максимальное возможное количество туннелируемых адресов Службы - Групповая регистрация - Сервер ip-адресов, кнопка Туннель. Конечно же потом выслать обновления на координатор и проконтролировать прохождение.

[slavanchuk]

И ещё добавлю - прямо в ЦУСе можно и прописать необходимые туннели через директиву "S:1.2.3.4"