Доброго Вам времени суток!

Дано:
1. DFL-860E выходит в интернет через сеть BeeLine посредством L2TP, порт wan1.
2. На интерфейсе BeeLineVPN в интернете висит белый статический IP.
3. Ресурс внутри локальной сети за DFL`кой с ip 192.168.0.3.
4. Прошивка WW 2.60.

Нужно:
настроить L2tp-сервер для подключения извне используя L2tp over IPSec.

Делал по этой инструкции:
Мой мануал по созданию L2TP сервера на NetDefendOS

Проблема:
Подключение проходит, сессия есть, доступа к внутренним ресурсам нет.
Не пингуется ни ip l2tp сервера, ни ip lan интерфейса, ни ресурсы внутри сети.

Что я делаю не так?

PS Форум курил, думал сам, для решения вопроса привлек на помощь еще одного человека - ну "не выходит каменный цветок"(с)...

Настройки

Настройки

Настройки

Политики

И последняя пачка скринов.

Прошу прощения за кучу сообщений, но до меня с трудом дошло, что можно закинуть в сообщение более одного рисунка.

Если кто согласиться оказать помощь в настройке, то я готов обсудить материальное вознаграждение.

дропы в логах, при попытках доступа к внутренним ресурсам, есть?
адресация сетей (внутренней за дфл, впн интерфейс, сеть клиента) простая, т.е. все разные?
если клиент подключается и в логах дропы есть, то значит впн настроен правильно, и надо сделать правила на дфл и проверить маршрутизацию на клиенте, выкладывай схему сетей с адресами сетей, типа локальная---впн---клиент, поможем
там все просто, в логах пишет от куда-куда не хватает правил, соответственно делаешь такое правило

Нету у меня дропов. WareShark`ом тоже смотрел на клиенте - пакеты исправно уходят и теряются.


Да, сети не пересекаются.

Картинку со схемой выкладываю.

route print с клиента при подключенном впн и без него, в студию

значит что-то с маршрутизацией на клиенте, у него без впн, доступа к сети с такой-же адресацией (192.168.1.0) нет?
например шлюз клиента имеет маршрут на такую сеть

при правильной настройке клиента должны появится дропы с ip_vpn_client в качестве IP источника (ну или все заработает, если правила в порядке)
так же (на всякий случай, вдруг со стороны клиента все работает) еще надо посмотреть status/connection, есть ли там нужные соединения ( ip_vpn_client---- ip_vpn_dfl или ip_vpn_client---192.168.1.x), естественно - при пинге

не совсем понятна схема, если на дфл адрес впн интерфейса 10.0.1.20, то у клиента должен быть 10.0.1.xx, какой ip получает при подключении? (status/User Authentication можно посмотреть, или на клиенте)

См картинку с клиента с подключенным vpn.


Нет. Я подключаюсь через телефон на Андроиде в качестве точки доступа.

Сеть:
1. которую выдает Ведроид - 192.168.10.0/24
2. домашняя сетка за DFL`кой - 192.168.1.0/24
3. сетка для VPN`а - 10.0.1.0/29
4. IP сервера 10.0.1.1
5. внешний белый IP 92.242.180.111


Клиент - машина на win 7, галку "использовать как шлюз" в настройках снимал и ставил - ничего не поменялось.
Более там настраивать нечего.


Картинка уже есть, 6я сверху.


Нет.
Я смотрел конекшены в таблице пока был запущен пинг, там нет соединений типа 192.168.1.х - 192.168.10.х.

Хотя странность одна есть. На интерфейсе DFL`ки lan висит IP 192.168.1.1. Так вот он то пингуется, то не пингуется.

Вот картинка с маршрутами, когда vpn не подключен.

В логах есть такое:
Warning RULE 6000051 Default_Rule ICMP l2tp-serv 10.0.1.5 192.168.1.1 ruleset_drop_packet drop

Это если я пытаюсь что-то пропинговать во внутренней сети.

Какое из правил поправить?

важное замечание: маршрут на сеть l2tp-ip_pool, на интерфейсе ipsec туннеля, не нужен, его надо удалить, в настройках ipsec туннеля галки: advansed/Add route dynamically, Add route statically, снять
при подключении клиента поднимется динамический маршрут, причем не на интерфейс туннеля, а на интерфейс l2tp сервера, это можно глянуть в status/routes



это и есть "дроп", он означает, что со стороны клиента все правильно настроено, пакеты от него идут, но правил для его обработки нет, поэтому срабатывает Default_Rule
в "дропе" все что надо, написано:
сервис: ICMP
интерфейс источника: l2tp-serv
сеть источника: l2tp-ip_pool
интерфейс назначения: core (т.к. 192.168.1.1 это адрес дфл, а для пинга IP в лок сети, интерфейс - lan)
сеть назначения: 192.168.1.1 (а для пинга IP в лок сети, сеть - lannet)

вот такое правило и делай
action: allow

таких соединений не будет, при пинге с подключенного клиента, будут l2tp-ip_pool - 192.168.1.х