Road Runner J
Junior Member | Редактировать | Профиль | Сообщение | Цитировать | Сообщить модератору
Windows 2003, ISA 2006 Site-To-Site VPN Static IP Pool Problem L2TP PSK
Товарищи, вполне возможно что уже ктони-будь сталкивался, есть два сайта, голова и типа филиал, между ними isa site-to-site vpn со cтатическим выделением ипишников для vpn подключений, в голове внутр. сеть 192.168.0.0/24, vpn ip pool 10.0.0.1-10.0.0.254, в филиале внутр. сеть 192.168.1.0/24, vpn ip pool 10.1.1.1-10.1.1.254, собственно вот что глаз мозолит: в закладке Alerts в обоих isa постоянно выскакивают предупреждения типа:
Description: ISA Server detected routes through the network adapter hq that do not correlate with the network to which this network adapter belongs. When networks are configured correctly, the IP address ranges included in each array-level network must include all IP addresses that are routable through its network adapters according to their routing tables. Otherwise valid packets may be dropped as spoofed. The following ranges are included in the network's IP address ranges but are not routable through any of the network's adapters: 10.0.0.2-10.0.0.2,10.1.1.3-10.1.1.3;. Note that this event may be generated once after you add a route, create a remote site network, or configure Network Load Balancing and may be safely ignored if it does not re-occur.
Жалуется на те самые статические ипишники и пинги при этом не ходят (в логах пишет Connection denied), с DHCP нормально работает без Alert-ов и пинги ходят и ваще всё в ажуре, но хочется статику.
Шиндер по этому поводу писАл:
If you use a static address pool, you might want to consider using off-subnet IP addresses. There is no problem with this, but you must make your routing infrastructure aware that in order to reach the network ID used for the VPN clients network that they must forward those connections to the ISA firewall interface from which the connection was received. In a simple dual NIC configuration, this would be the Internal interface.
Если вы используете статические адреса, подумайте об использовании IP-адресов другой подсети. С этим проблем не будет, только инфраструктура маршрутизации должна знать, что для перехода к сети VPN-клиентов нужно переадресовывать соединения на тот интерфейс ISA-сервера, с которого они были получены. В обычной схеме с двумя сетевыми картами это будет внутренний интерфейс.
только что это значит мине не ясно, кто шарит подскажите, а то в резюме написано что isa знаю, а на деле... |
Я вообщем разобрался в чем затык был, автодискавери действительно не мешает. Затык был в SQL Reporting Services который остался от удаленного bandwidth splitter. Всем спасибо за отлики!