Крик души! Теперь не поднимается впн туннель по PPTP напрямую между роутерами DI-804HV и DI-704P! Ниже приведено подробное описание. Если кому-то лениво читать всё спуститесь до очередного жирного выделения.


Всем здравствуйте.

Начнём с того, что я не профессиональный админ, а просто продвинутый пользователь (профессиональный вебмастер). Так же в решении нижеследующей задачи принимали участие (владельцы компьютеров для которых решалась задача) - мой отец - профессиональный программист и мой младший брат - студент института по специальности информатика и вычислительная техника. К чему я это пишу? Да к тому, чтобы уважаемые участники имели представление о том, на какие вопросы мы можем дать ответы, а на какие нет. В общем, у нас нет никаких проблем с нажатием на клавиши и т.д. Но что-то глобальное в организации роутинга мы, конечно, можем упустить. Предвидя вопросы о том, что мне здесь никто не должен отвечать и рассказывать как всё должно работать, мол для этого есть небесплатные курсы - отвечу, что ИМХО оборудование класса SOHO должно быть всётаки более-менее доступно в настройке для вышеописанных категорий пользователей, а так же в решении моей задачи (пока безуспешно) принимает участие техподдержка D-link, к ней в общем-то, в основном, и адресовано данное сообщение.. В дальнейшем всё описанное проверялось всеми тремя неоднократно.

Итак, история следующая:

Имею:
1. DI-804HV, DI-704P, DSL-500T
2. Две квартиры имеющие доступ в районную локальную сеть (в сети статичные ip + запрет на любое оконечное оборудование + тьма кулхацкеров):
2.1. В первой квартире один комп + вышеописанная сеть + стрим
2.2. Во второй квартире два компа + вышеописанная сеть + сеть между этими двумя компами (в одном из компов 2 сетевые карты) + техническая невозможность подключения интернета посредством ADSL.

Глобальная задача - обеспечить всем трём компам:
1. защиту от непрошенных гостей из городской локалки
2. защиту от непрошенных гостей из инета
3. доступ в городскую локалку внезависимости от включённости любого из компов
4. доступ в инет через стрим внезависимости от включённости любого из компов
5. (опционально, не обсуждается) иметь доступ в инет через локалку (дорого).

Особенности подключения: локальная районная сеть может быть воткнута только в WAN порт у обоих роутеров. Все компы и ADSL модем включаются в LAN порты роутеров.

Что сделано и понято (начало решения задачи Вс Фев 13, 2005 10:46 pm):
1. Изначально был только DI-704P (достался с работы, но не бесплатно), надеясь получить решение вышеописанно глобальной задачи был докуплен DSL-500T вместо штатного стримовского USB ацтоя. Здесь, к слову сказать, у меня получилось реализовать задачу, но при условии своего постоянно работающего компьютера, на котором установил прокси сервер, да и защита в данном случае была посредственной.
2. После неудачных попыток настроить такую конфигурацию было перелопачено много факов, доков, оставлены сообщения в данном форуме ( http://www.dlink.ru/phorum/viewtopic.php?t=8832 ), поняты ошибки, ещё сообщение в форуме ( http://www.dlink.ru/phorum/viewtopic.php?t=8993 ), далее разговор с суппортами перешёл в асю, где мне просто и понятно объяснили, что данная задача на моём оборудовании не решается принципиально. Оптимальным решением будет покупка роутера DI-804HV, поднятия между DI-804HV и WinXP, или WinXP+SPII (последнее - естественно операционки компов в квартире 2) VPN тунеля работая через который оба удалённых компьютера имели бы и выход в инет через стрим и в локалку. Вариант без VPN суппорты предложили не рассматривать по причине слабой защищённости, да и я себе слабо представляю как тогда строить запрос удалённым машинам и кто будет работать проксёй.
3. Сказано - сделано, докупили DI-804HV и вооружившись факом ( http://www.dlink.ru/technical/faq_vpn_19.php , http://www.dlink.ru/technical/faq_vpn_18.php ) попытались реализовать задачу (DI-704P в это время мирно лежал выключенный). VPN не поднимается ( http://www.dlink.ru/phorum/viewtopic.php?t=9104 ), так же интересными были сообщения geran2004, до сих пор оставшиеся без комментариев тех. поддержки ( http://www.dlink.ru/phorum/viewtopic.php?t=9146 ). В общем, дальше следовали консультации по icq с техподдержкой. Исправления, сборка соединения как в жизни, через районную сеть, так и на столе, причём пробовали с любой из трёх машин (отключения брэндмауэров, снос фаерволов и т.д.) - всё безрезультатно. Делаем всё по факу - пинги не проходят.
4. Техподдержка предложила привезтироутер к ним в офис! Большое спасибо, что не кидаете! В 10 утра 25 февраля я был в московском офисе D-linka, захватил с собой DI-804HV, DSL-500T и свой системный блок (до последнего правда руки не дошли и он так и остался не включённым). В результате 6(!!!) часов, действий согласно факу, а так же без него технической поддержке в лице Романа Михневича и консультаций с другими специалистами не удалось добиться требуемого!!! При этом роль WinXP играл ноутбук техподдержки. Точнее некоторые сдвиги всё же произошли VPN через IPSec поднять всё же вроде бы удалось, т.к. со стороны ноутбука стал пинговаться лановский порт роутера, но остальные лан порты так и не пинганулись. При этом мой DI-804HV меняли на другой - безрезультатно. Вместо WinXP ставили юникс - всё работало. В общем-то без комментариев... Так же пробовали настроить VPN через PPTP, после чего суппорты сообщили, что WinXP не может быть клиентов PPTP... В общем я немного в шоке...
5. Просидев таким образом 6 часов в офисе D-Linka мне предложили поднять VPN по PPTP между DI-804HV (сервер) и DI-704P (клиент). Это конечно не так шифрованно, как по IPSec, но для моих нужд вполне достаточно + никакой связи с операционкой, в общем всё круто. Да и нстраивается вроде бы элементарно. Сказано - сделано. Приехал домой, всё настроил у себя, пошёл в квартиру 2, настроил - ничего не работает...
6. Принёс DI-804HV во вторую квартиру и собрал туже схему но в пределах одной квартиры. Итак есть два компа, один воткнут в лан порт DI-804HV и соответственно им управляет, другой воткнут в лан порт DI-704P и соответственно им управляет. Ван порты роутеров соединенены крестовым патч-кордом. Ван порты роутеров заведены в одну подсеть и соединенены крестовым патч-кордом, хотя в жизни в районной сетке они в разных сегментах. Лан порты тоже в одной подсети. До настроек впн - всё пингуется, как положено. ВПН не поднимается...
Вот скриншоты (названия говорят сами за себя).
http://tasselhoff.narod.ru/vpn/DI-804HV ... _stats.gif
http://tasselhoff.narod.ru/vpn/DI-804HV_status_log.gif
http://tasselhoff.narod.ru/vpn/DI-804HV ... e_info.gif
http://tasselhoff.narod.ru/vpn/DI-804HV_home_wan.gif
http://tasselhoff.narod.ru/vpn/DI-804HV ... n_pptp.gif
http://tasselhoff.narod.ru/vpn/DI-804HV_home_vpn.gif
http://tasselhoff.narod.ru/vpn/DI-804HV_home_lan.gif
http://tasselhoff.narod.ru/vpn/DI-804HV_home_dhcp.gif
http://tasselhoff.narod.ru/vpn/DI-704P_status_log.gif
http://tasselhoff.narod.ru/vpn/DI-704P_ ... e_info.gif
http://tasselhoff.narod.ru/vpn/DI-704P_home_wan.gif
http://tasselhoff.narod.ru/vpn/DI-704P_home_lan.gif
Добавить мне практически нечего... За исключением того, что сначала делаешь всё, как положено - не работает, потом начинаешь как мартышка перебирать все возможные комбинации настороек. Ситуация ещё усугубляется тем, что в логах ситуация иногда меняется, но такое ощущение, что внезависимости от введённых настроек...

Прошу помощи по (в моём понимании) простой задаче - установка впн тунеля между двумя роутерами.

Так же хочется отметить - когда я был в офисе д-линка и мы пытались всё это настроить - мимо проходил другой сотрудник техподдержки и вскользь кинул - мол что вы хотите от оборудования ценой в 70$? Мне есть что на это ответить. Я не пытаюсь заставить его работать незадокументированными способами. Я понимаю если бы я к нему подключил бы 100 компов и у меня начались глюки. Но у меня впн не поднимается две недели, с участием официальной техподдержки всего между двумя компами!
Причём у меня нет претензий к самой техподдержке - вы реально пытались мне помочь и надеюсь поможете всё же добить задачу... Но вот к оборудованию данной марки...

Кстати про оборудование: так и не удалось установить какие параметры применяются после кнопки применить, какие только после перезагрузки, а какие после выключения/включения устройств (касается всех описанных в посте). Так же с прошивками - отдельная песня. Ладно, что ничего нормально не работает на заводских прошивках. Прошивка на DI-804HV обновилась до последней с первого раза, правда работоспособности ему это не прибавило, зато прибавило несколько кнопок и галок, которые нигде не описаны. Ладно, что DSL-500T то конектится, то нет. Но с DI-704P вообще прикол - изначально на нём стояла древняя HW:B3 FW:2.73, так из всех прошивок, упомянутых на вашем сайте ( ftp://ftp.dlink.ru/pub/Router/DI-704P/Firmware/ ) на него установилась только V2.75b3, причём до её установки все остальные прошивки ругались на инвалидный файл апдейта, а после кричали что нераспознанный запрос. Лишь улыбку опять же вызывает редми по вышеописанной ссылке в котором говорится о прошивках, которых вообще нет на фтпишнике.

Поймите, пожалуйста, я не ругаюсь, ни на кого не наезжаю. Но право, это уже дело принципа. Мне крайне жалко всего свободного времени за последние 2 недели. Мне жалко уже почти 200$ потраченных на оборудование (кстати я его ранее брал, договариваясь о возврате, но теперь прошло уже много времени и думаю назад у меня его уже никто не возьмёт). Мне так же крайне жалко, что предупредив на работе о задержке в час я задержался на 6 часов. Еслиб мы знали заранее чем это кончится - даже не начинали бы. Помогите, пожалуйста, это всётаки настроить. Что мне теперь делать? Теперь два роутера к Вам вести? Отпрашиваться с работы на неопределённый срок без каких-либо гарантий? Может быть сообщить ещё какие-то данные, упущенные в данном сообщении?

--------
С уважением Константин

Знаешь, тут у тебя столько всего навалено что разобраться даже со стаканом нереально.
Сразу по поводу твоей тестовой схемы- лан порты роутеров т.е. удаленные подсети должны иметь РАЗНУЮ адресацию.
Вот ты пишешь
А должны быть в разных подсетях!
То что техподдержка не справилась с настройкой и тестированием VPN
это нормальное явление- ты ждал чего-то другого? И не жди никогда ибо там сидят такие же горячие парни и им недосуг всерьез разбирать каждую жалобу. Если не шли пинги (ты забыл написать как пинговали)
то такое бывает часто. нужен другой софт для надежного пинга. Впрочем если пинговался лан порт роутера то значит впн поднялся? осталось только зайти и убедиться что в статус впн написано IKE established и пошло время жизни в следующем окне. Значит впн работало? Почему не пинговались другие узлы...? Ну скажем потому что на них не был прописан шлюз по умолчанию как адрес лан порта длинк. могут быть и другие причины, но кажется эта самая распространенная. Потом как создавался туннель? Если между ХР и лан портом длинк то это тоже неверно. удаленная подсеть указывается как например 192.168.1.0/255.255.255.0
а для ХР указывается например 192.168.2.1/255.255.255.255
В этом случае ты через туннель будешь видеть всю подсеть 192.168.1.0 а любой комп их этой подсети сможет увидеть тебя на ХР.

Вообще пока я не забыл о чем читал доложу свое видение "схемы"
квартира где два компа через рутер 704 подключается к лок сети.
Рутер 704 не рассчитан на подъем впн поэтому сомнительно что с него канал пойдет. Нужно проверять эту модель испеользовать или прямое подключение в местную локалку или рутер 804hv. На другой стороне стоит рутер 804hv и должен поднимать впн канал.
модем правильно, и должен подключатсья к одному из лан портов рутера. Вот тут есть загвоздка. этот порт ты должен будешь указать как шлюз в инет для удаленной пары компов. Но если та пара компов будет работать через свой рутер то она уже будет иметь шлюз в виде его лан адреса. Единственное что приходит в голову- для этого рутера надо будет прописать правило статической маршрутизации на твой удаленный шлюз в инет. Если комп будет один и без рутера (с этого компа поднимается впн) то в его сетевой интерфейс прописывается адрес шлюза в виде адреса твоего удаленного модема, т.е. шлюз будет из другой подсети.
Как я понял ты хочешь гнать интернет двум компам через поднятый впн канал. При этом они будут иметь локалку и будут иметь инет. т.е. только один комп по описанным причинам. а чтоб было два компа нужно тогда уже два 804hv иметь и между ними поднимать туннель, а в том что с двумя компами прописывать правило статической маршрутизации чтоб получать инет из другой подсети.

Если второй рутер будет 704 то я не уверен что будет работать- надо проверять. локалка будет у обоих компов, но туннель будет устанавливаться только от одного к тебе. стало быть второй комп получить инет сможет только через расшаривание канала первого компа. Ну как видишь гимор множится.
Поэтому предлагаю писать мне на мыло rtgeran@mail.ru чтоб не сильно засорять топик рабочими моментами.
А вообще хотелось бы получить ясную картину топологии сети для начала и не громоздить все друг на друга. читатель вряд ли станет вникать во все тонкости ибо это грузит. Так что давай по порядку разберемся мож и наладим твою сетку.
Еще могу добавить что фирмваре 804hv должно быть не менее 1,37 чтоб работал рртр сервер. У меня поначалу было 1.34 и он не работал.
также сомнительно фирмваре 140 b4- лучше уж просто 1.40

Вот только щас до меня дошло как именно ты расставил компоненты
значит на точке 2 рутер служитдля защиты одного из компов (того где две сет карты) от непрошенных гостей. впн ты предполагал поднимать с него, а со вторым компом делиться уже с помощью расшарки соединения. Но тогда второй комп не сможет никуда попасть пока выключен первый. Чтобы все всюду попадали нужно избавляться от расшарки соединения и от второй сет карты, а оба компа втыкать в рутер равноправно. И даже в этом случае есть шанс что все получится.
ты можешь ведь поднять не один, а два туннеля, от каждого из компов. тогда каждый пользователь будет самостоятельно управлять своим туннелем и иметь локалку. Вот видишь-это еще один плюс ipsec.
рртр сервер у тебя всего один!

Ты спрашивал- как съэмулировать инет для проверки впн. Но локалка это как раз и есть тот самый эмулятор!
счас вот почитал faq_18 и выходит что у тебя все может реально получится. В моем случае было бы труднее-т.к. адрес промежуточного маршрутизатора у меня динамический, а у тебя статический и поэтому тебе проще, тебе не нужен динамический днс!

Кстати вопрос к саппорту-
зачем в faq http://www.dlink.ru/technical/faq_vpn_18.php указывается что нужно делать проброс порта 500 если на клиенте винХР открытый порт 500 не находится-т.е. он не присутствует? Ведь проброс делают для некоего сервера, который открывает порт наружу для связи? Я открытых портов 500 не находил нигде-их просто нет. И соответственно пробовал открыть его (пробросить) и закрыть. На работоспособность канала это не влияло. Ведь если винХР- есть клиент, то какие открытые порты могут быть у клиента? вот у клиента рртр порт 1723 закрыт ибо он не сервер, а клиент- так и в этом случае, по моему. Но если тогда di-804hv считать сервером то на нем тоже нет никаких открытых портов 500.
Хороший вопрос?

2 geran2004

начал писать Вам письмо

2 техподдержка

очень хочу услышать и ваше мнение

2 Geran2004:
проброс порта не требуется если VPN устанавливается только со стороны винды. Иначе куда будет транзитный маршрутизатор девать пакеты IKE?

2 tasselhoff: Если не трудно, пришлите мне схему сети (рисованную, лучше в JPEG-формате) на е-мейл. Я никак не разберу что и как у вас подключено, где и как проброшены линки и прочее. Возможно вашу проблему можно решить и без ВПН.

_________________
С уважением -- Александр Шебаронин.

Спасибо за ответ. Сегодня ночью обязательно пришлю рисунок. Сейчас на работе, к сожалению, некогда.

А задача - да, должна решаться 3 различными способами - без впн, с впн по IPSec и c впн по PPTP... Проблема в том, что я никак не могу настроить ни одно соединение. Видимо где-то постоянно ошибаюсь. Но не могу найти где.

Ещё вопрос к техподдержке.
Пока я рисую схему поясните пожалуйста по прошивкам (ближе к концу большой темы описал).
Интересует:
1. какая прошивка оптимальна для 804 роутера (я залил последнюю, т.е. v1.40b04)
2. что мне делать с прошивками для 704 (изначально на нём стояла древняя HW:B3 FW:2.73, так из всех прошивок, упомянутых на вашем сайте ( ftp://ftp.dlink.ru/pub/Router/DI-704P/Firmware/ ) на него установилась только V2.75b3, причём до её установки все остальные прошивки ругались на инвалидный файл апдейта, а после кричали что нераспознанный запрос.)

1. 1.40x - последняя прошивка для DI-804HV
2. для DI-704P HW b3 последняя прошивка 2.75b3

_________________
С уважением, Карагезов Владислав

Вот схема ( http://tasselhoff.narod.ru/vpn/shema.gif ) её мы уже пробоавли. Ничего не получается.

Необходимо существующую конфигурацию изменить для достижения следующего:
1. Все три ПК должны иметь доступ к ресурсам районной сети.
2. Все три ПК должны иметь выход в Интернет через СТРИМ
3. Подключение к СТРИМ ПК№1 и №2 не должно требовать включения ПК№3.
4. Можно подключать ПК№2 не непосредственно к DI-704P, а через вторую сетевую карту (на рис. не показана, но имеется) ПК№1
5. Администраторы районной сети не должны обнаруживать наличие роутеров 704 и 804
6. Должна обеспечиваться надежная (разумная) защита всех трех ПК и доступа к каналу СТРИМ от хакеров районной сети

В вышеописанной конфигурации получается как надо настроить только третий компьютер. Остальным же в лучшем случае не доступен стримовский инет.

P.S. Мне подсказали, что локальные подсети должны быть разные, т.е. теперь планирую попробовать всё тоже самое, только теперь лан порту 704 роутера, первому компу и второму компу назначу адреса 192.168.1.100, 192.168.1.101, 192.168.1.102 соответственно.

Интересуют два рабочих момента:

1) Есть ли у провайдера локалки привязка к MAC-адресам ?
( Бывает, что и есть ), то есть, "маки" железок надо изменить в соответствии с "маками" карточек. Это если по обе стороны сегментов локалка не видна вообще.
2) Если пропинговать WAN-порты одной _железкой_ другую ( встроенные функции у них есть) через локалку - пинг идет ? В свое время я тоже попарился с поднятием впн ( даже сюда писал ), оказалось, что просто один из провайдеров не "расшаривал" наш адрес, закрывая его своим шлюзом.

Интересуют два рабочих момента:

1) Есть ли у провайдера локалки привязка к MAC-адресам ?
( Бывает, что и есть ), то есть, "маки" железок надо изменить в соответствии с "маками" карточек. Это если по обе стороны сегментов локалка не видна вообще.
2) Если пропинговать WAN-порты одной _железкой_ другую ( встроенные функции у них есть) через локалку - пинг идет ? В свое время я тоже попарился с поднятием впн ( даже сюда писал ), оказалось, что просто один из провайдеров не "расшаривал" наш адрес, закрывая его своим шлюзом.

И кстати, вот сейчас только обратил внимание: на WAN портах роутеров стоит маска 255.255.255.0

Вы уверены, что в локалке она не 255.255.0.0 ? Ибо в противном случае, получается, что у Вас вместо одной локалки 192.168.0.0 две разных 192.168.19.0 и 192.168.25.0