Есть несколько географически распределенных офисов, связь между ними строится на IPSec туннелировании между D-Link DFL 1660. Доступ в интернет есть только (по политике безопасности) с рабочих станций головного офиса - офис А (в основном посредством NAT на D-Link).
Сейчас появилась еще одна площадка - офис В, соединенная так же по IPSec, на которой паре рабочих станций нужен интернет ЧЕРЕЗ головной офис, а не напрямую. При этом активное сетевое оборудование офиса В (сеть 172. .. . ..) мы не администрируем (это чужая организация), а имеем полные права лишь на самих компах.
У себя на D-Link создаем правило, что интернет доступен для сети офиса B, пришедшей к нам из IPSec, а так же создаем правило NAT для выхода в интернет сети офиса B. Но данные настройки не дают результат.
Админы чужой организации говорят, что на их шлюзе все разрешено в нашу сторону.
В чем может быть затык?

В маршрутах и метрике.

_________________
С уважением, Matrox.
DFL, HPE, QNAP, Netgear и прочее железо...

_________________
Своим вопросом Вы загоняете меня в ГУГЛ.....
DFL-210 -архив образов
Меня можно найти в боте Телеграмма @MyKingdombot когда РКН перестанет заниматься ерундой :-)
Готовыe платить - пишите
Прикуплю неисправные девайсы ради корпусов ....-> в личку

Сделали как в статье, туннель работает между локалками. Но из удаленного офиса в наш интернет не ходит. Скрины:

viewtopic.php?f=3&t=29666
Серия DFL: Пример настройки PBR от пользователя YuriAM

PBR забыли

_________________
Своим вопросом Вы загоняете меня в ГУГЛ.....
DFL-210 -архив образов
Меня можно найти в боте Телеграмма @MyKingdombot когда РКН перестанет заниматься ерундой :-)
Готовыe платить - пишите
Прикуплю неисправные девайсы ради корпусов ....-> в личку

День добрый.
Вот такое правило.

Vladimir22, что еще могли упустить?((

альтернативную таблицу маршрутизации

_________________
Своим вопросом Вы загоняете меня в ГУГЛ.....
DFL-210 -архив образов
Меня можно найти в боте Телеграмма @MyKingdombot когда РКН перестанет заниматься ерундой :-)
Готовыe платить - пишите
Прикуплю неисправные девайсы ради корпусов ....-> в личку

Добрый день.
Что то не выходит. Настроены следующие правила:
Правило для ipsec


Вот его вкладка advanced


Маршрут для ipsec


Правила хождения трафика ipsec


Альтернативная таблица. Предполагается что удаленный офис будет выходить в Интернет через резервный канал(wan2)


Правило маршрутизации для выхода в Интернет через головной офис


Разрешающее правило для выхода в Интернет через головной офис

запускайте трассировку и ищите куда заворачивается .

_________________
Своим вопросом Вы загоняете меня в ГУГЛ.....
DFL-210 -архив образов
Меня можно найти в боте Телеграмма @MyKingdombot когда РКН перестанет заниматься ерундой :-)
Готовыe платить - пишите
Прикуплю неисправные девайсы ради корпусов ....-> в личку

Правила разрешающие для трасировки из удаленного офиса в Интернет:

Значение TTL min = 1
Для сервиса all_icmp стоит Pass returned ICMP error messages from destination

Сложность в том, что мы не администрируем шлюз на "той" стороне IPSec. С рабочей станции трасировка интернета выглядит так:


Вопрос: каким-то образом можно отследить на DFL 1660, что по IPSec ICMP пакет до нас вообще доходит?
Имеющимся Packet Capture с помощью WireShark смотрим дамп:
ICMP пакетов в Интернет не видим, только между локалками. Они должны быть видны в явном виде, или могут быть зашифрованы TLS-ом?

запустите бесконечный пинг на удаленной машине - и смотрите в статус - соединения
отсортируйте по интерфейсу

_________________
Своим вопросом Вы загоняете меня в ГУГЛ.....
DFL-210 -архив образов
Меня можно найти в боте Телеграмма @MyKingdombot когда РКН перестанет заниматься ерундой :-)
Готовыe платить - пишите
Прикуплю неисправные девайсы ради корпусов ....-> в личку

Так мы так и делаем - запускаем пинг и смотрим сборщик пакетов на соответствующем интерфесе IPSec. Вопрос в том, что если на той стороне отправили пинг, почему его сборщик тут не видит?
В голову приходит только то, что пакет до нашего d-link не приходит, т.е. на той стороне что-то его не пускает...

ну я вам не могу сказать . Удаленная сторона вам не подконтрольна там можно гадать только .

_________________
Своим вопросом Вы загоняете меня в ГУГЛ.....
DFL-210 -архив образов
Меня можно найти в боте Телеграмма @MyKingdombot когда РКН перестанет заниматься ерундой :-)
Готовыe платить - пишите
Прикуплю неисправные девайсы ради корпусов ....-> в личку

А что за группа интерфейсов под названием INTERNET, присутствующая в правилах и маршрутах на удаленном офисе? Из кого состоит?

_________________
С уважением, Matrox.
DFL, HPE, QNAP, Netgear и прочее железо...