Registrován: 18.05.2009
Příspěvků: 9

Mám problem s VPN přes Cisco u jedné lekarny která je připojena přes mou síť. Je to routovana síť kompletně postavena na routerboardech s mikrotikem. Jde to před 2 maškarady 1 je na centralnim routeru 2 je na te lékarně . Lekarna je samozřejmě na neverejných adresách. Potřebuji aby mikrotik nedropoval fragmentované pakety potřebuji propouštět IPSec. Nevím si s tím vůbec rady můžete poradit řešil někdo tenhle problém ?

Registrován: 12.09.2005
Příspěvků: 82

to nebude kompletne routovana sit ale spis kompletne natovana
sice nevim kterym smerem to dela problemy ale ty dva naty by mohli bejt problem

Registrován: 18.05.2009
Příspěvků: 9

Jenže to samé to dělá i když to dám přímo za hlavní router přes tu jednu maskaradu a to jsem i zkusil forwardovat porty udp 500,4500 a tcp 10000 . Chlapek s netprosys co provozujou ty VPN řekl že nam síť dropuje fragmentované pakety proto že to nejede že musi byt IPSec passthrough.

Registrován: 30.10.2002
Příspěvků: 733

2 NATy zasebou jsou svinstvo uz z principu. Vyhod vsechny nadbytecne naty, subnet v lekarne normalne naroutuj do svoji site, nastav tam vhodny firewall a pak res dalsi veci.

Zdenek

__________________

Registrován: 18.05.2009
Příspěvků: 9

Ja to zkoušel i přes jeden NAT hned za hlavni router co ma veřejnou adresu a ani tak to nešlo.

Registrován: 30.10.2002
Příspěvků: 733

__________________

Registrován: 22.12.2002
Příspěvků: 227

__________________

Registrován: 18.05.2009
Příspěvků: 9

Právě že bych potřeboval zjistit kde se to dropování pokud ho mam nastavené vypíná u mikrotiku ?

Registrován: 22.12.2002
Příspěvků: 227

Mam za to, ze neco takoveho by si nedovolili ani Mikrotici nastavit jako default, takze bud sis to nastavil sam nekde ve firewallu, nebo je problem jinde.
V IP mas taky flag Don't Fragment, ktery obcas tunely nastavuji, coz souvisi prave s Path MTU Discovery. Pokud blokujes ICMP Fragmentation Needed, tak ti to nebude fungovat. Odblokuj ICMP nebo udelej mangling a zrus DF flag.

__________________

Naposledy upravil wondra 21.05.2009 v 10:11

Registrován: 12.01.2003
Příspěvků: 125

Registrován: 18.05.2009
Příspěvků: 9

ping neprochazi jinak k foru se dostanu pres den jen občas nemám možnost internetu na cestach tak proto takové prodlevy.

Registrován: 30.10.2002
Příspěvků: 733

__________________

Registrován: 18.05.2009
Příspěvků: 9

Ještě jsem s tim pingem laboroval a tak velky mi neprojde ani na mou bránu co mám doma.

Registrován: 18.05.2009
Příspěvků: 9

Registrován: 12.02.2003
Příspěvků: 493

Na linuxu lze zkusit program tracepath

__________________

Registrován: 18.05.2009
Příspěvků: 9