MorePC

[аникейщик]

Помогите настроить VPN-шлюз D-Link DFL-900. Точнее, не настроить — он-то настроен — а реализовать подключение к нему в обход программного шлюза Kerio WinRoute Firewall.

[Samsonov]

Имеется в виду, что вы изнутри сети, защищённой Kerio WinRoute Firewall, пытаетесь создать VPN-туннель к внешнему шлюзу DFL-900? Или, наоборот, пытаетесь извне соединиться с корпоративным VPN-шлюзом, стоящим позади WinRoute? Из вашего описания, если честно, вообще ничего не понятно о конфигурации сетей и поставленных целях.

Если правильно понимаю, VPN-терминаторы серии DFL поддерживают только PPTP- и L2TP-туннели. Второе не пробовал, а вот PPTP функционирует с помощью протокола GRE — такого же безсеансового транспорта, как и UDP, а потому такого же проблемного для NAT. Хотя у WinRoute в списке инспекторов протоколов вроде маячит GRE, у меня так и не получилось связаться с внешним PPTP-сервером через местный Kerio.


Дополнение

А вот насчёт L2TP знакомый говорит, что у него всё получилось, но подробностей не помнит. Что-то там такое было с подменой порта: по умолчанию, когда NAT создаёт новый пакет, то меняет номер порта отправителя на первый свободный. Соответственно, надо заставить Kerio не менять source port у исходящих (да и входящих) пакетов с соответствующим номером порта. Делается это в настройках правил форвардинга; правда, я не помню, чтобы там была возможность управлять номером порта отправителя (с портом получателя — никаких проблем, разумеется). К сожалению, у меня сейчас нет WinRoute под рукой, так что точнее сказать не могу.

Возможно даже, что у меня с PPTP не получилось по той же самой причине — из-за подмены номера порта, который должен оставаться фиксированным.

Одна только загвоздка видится: если порт отправителя не подменяется на первый свободный, то NAT не может различить туннели разных клиентов, то есть выходить за пределы NAT будет допустимо только кому-то одному (администратору, к примеру). Выходов два.

1. Туннель правильнее прокладывать с самого шлюза, а не изнутри сети. Тем более, если туннелированная связь нужна нескольким пользователям.
2. Коли нужно позволить каждому пользователю свободно подключаться к внешним VPN, следует использовать дружественные к NAT туннели — на основе обычных SSL-соединений.

Что касается последнего, то за примером далеко ходить не надо: собственный SSL VPN встроен в сам WinRoute, и клиент можно установить отдельно на любую Windows-систему. Более открытая технология — OpenVPN (на основе библиотеки OpenSSL). Неудобство одно: клиенты SSL VPN не встроены в Windows, то есть их надо устанавливать дополнительно.

[Гость]

По пути от меня к Интернету, сначала стоит WinRoute, затем DFL-900. Хочу узнать, как добавить в DFL-900 исключение на мой IP-адрес, чтобы выходить в Интернет, минуя Kerio.

DFL-900 имеет веб-интерфейс настройки, и там наверняка есть такая функция, просто я не знаю, в каком разделе.

[Samsonov]