kirilloff
-
Posts
2 -
Joined
-
Last visited
Content Type
Profiles
Forums
Gallery
Downloads
Blogs
Events
Posts posted by kirilloff
-
-
Добрый день,
помогите пожалуйста с такой ситуацией:
есть два keenetic dsl на прошивке 2.11.D.4.0-0
согласно статье настроена связь через ipsec между подсетями двух кинетиков
все - ок, есть пинги как с кинетиков в обе стороны, так и устройств в подсетях
но мне нужно чтобы было только связь между подсетями, а интернета ни у кого не было - поэтому ставлю галку "Запретить доступ в интернет незарегистрированным устройствам" после чего ничего не пингуется даже при активном туннеле,
настраиваю правила межсетевого экрана
для сервера разрешаю для интерфейса home все входящие с подсети 192.168.2.0/24 в подсеть 192.168.1.0/24 по протоколу IP
для клиента разрешаю для интерфейса home все входящие с подсети 192.168.1.0/24 в подсеть 192.168.2.0/24 по протоколу IP
теперь я могу пинговать и заходить в веб интерфейс с одного роутера на другой в любом направлении, но устройства из подсетей за роутерами друга друга не видят
(с компьютеров в подсетях вижу только "свой" ближайший роутер, который прописан как шлюз и ничего за ним)
файрволы устройств в подсетях клиента и сервера отключены \ настроены на прием всего с соотв. подсетей
подскажите что нужно еще настроить чтобы при включенной настройке "Запретить доступ в интернет незарегистрированным устройствам" подсети видели друг друга или как по другому решить проблему с закрытием доступа в интернет?
заранее спасибо
IPSec VPN + Запретить доступ в интернет + правила firewall
in Обмен опытом
Posted
решил вопрос благодаря службе поддержки -
необходимо было настроить разрешающие исходящие правила на интерфейсах с интернетом через CLI
для сервера что то типа
access-list MY_VPN_LIST permit ip 192.168.1.0 255.255.255.0 192.168.2.0 255.255.255.0
interface ISP ip access-group MY_VPN_LIST out
system configuration save
для клиента соотв.
access-list MY_VPN_LIST permit ip 192.168.2.0 255.255.255.0 192.168.1.0 255.255.255.0
interface ISP ip access-group MY_VPN_LIST out
system configuration save
интерфейсы и подсети подставить по необходимости
может кому пригодится