VPN - brak dostępu do programu z serwera 192.168.1.10 w drugiej siedzibie

Witam
Mam następujący problem - Posiadamy VPN pomiędzy dwoma firmami. W jednej firmie jest adresacja 192.168.1.1-255 w drugiej 192.168.2.1-255.
Gdy jestem w firmie w której jest adresacja 192.168.1.1-255 skrót do programu któy jest na serwerze o adresie 192.168.1.10 działa. Gdy natomiast jestem w firmie z adresacją 192.168.2.1-255 ten sam skrót do programu już nie działa. Mimo, że gdy go pinguję ping 192.168.1.10 leci i wszystko jest ok. Co może być tego przyczyną? Może muszę zmapować dysk? Kiedy trzeba mapować dyski?

Jaki VPN zestawiasz ?

Wklej co jest w opisanym skrócie.

Właśnie chodzi o to że nie wiem bo nie mam dostępu do routera... wiem że router jest rvs4000 cisco

ewenement22 napisał:

Co może być tego przyczyną? Może muszę zmapować dysk? Kiedy trzeba mapować dyski?

No to juz zalezy od konkretnych wymagan programu. Co uruchamia skrot? Jesli uruchamiany program lezy na zdalnym (za VPNem) dysku to moze to wymagac zamapowania dysku do literki. Zajrzyj do jego wlasciwosci skrotu.

marcin

skrót uruchamia aplikacje *.exe
skrót wygląda podobnie do
\\zzz\xxx\ccc\vvv\bbb.exe

ewenement22 napisał:

skrót uruchamia aplikacje *.exe
skrót wygląda podobnie do
\\zzz\xxx\ccc\vvv\bbb.exe

Czyli do litery zadnego dysku nie potrzebujesz mapowac.
Rozumiem, ze "zzz" sie pinguje?

marcin

Tak jest pinguje się

ewenement22 napisał:

Tak jest pinguje się

A \\zzz\xxx\ccc\vvv w eksplorerze sie otwiera?
Firewall na tym komputerze moze cos blokowac. Jest jesli wlaczony to go na probe wylacz.

marcin

jak wpiszę w uruchom \\zzz\xxx\ccc\vvv to się otwiera w eksplorerze jeszcze nie sprawdzałem ale pewnie też się otworzy folder. Gdy z pulpitu otwieram skrót \\zzz\xxx\ccc\vvv\bbb.exe wyskakuje info że skót nie istnieje czy nie ma do niego dostępu już dokładnie nie pamiętam. Jakbym wyłączył zaporę i nadal byłoby to samo to co dalej robić?

ewenement22 napisał:

jak wpiszę w uruchom \\zzz\xxx\ccc\vvv to się otwiera w eksplorerze jeszcze nie sprawdzałem ale pewnie też się otworzy folder. Gdy z pulpitu otwieram skrót \\zzz\xxx\ccc\vvv\bbb.exe wyskakuje info że skót nie istnieje czy nie ma do niego dostępu już dokładnie nie pamiętam. Jakbym wyłączył zaporę i nadal byłoby to samo to co dalej robić?

No to sprawdz czy sie ten folder otwiera (bez bbb.exe)
Jak nie to wylacz firewall;a i sprawdz raz jeszcze.
Jak nie to sprawdzic na komputerze na ktorym to dziala (nawet na drugim koncu VPNa) co tam stoi w skrocie do uruchamiania programu. Moze na twoim komputerze jest zly link do programu.

marcin

po wyłączeniu firewalla ruszył program... jak teraz dowiedzieć się jakie port trzeba dodać do wyjątków żeby nie wyłączać całęgo firewalla?a

Zapytac admina na jakich portach skonfigurowal usluge vpn.

Rozumiem, że VPN jest zestawiany przez routery brzegowe/bramy dostępowe, a nie przez komputery? Jeśli tak to wystarczy dodać regułę dopuszczającą nieograniczony ruch do zdalnej sieci w obu kierunkach, oczywiście można ją zawęzić do portu TCP 445 i/lub tylko do IP na którym "stoi" serwer z którego jest uruchamiany ten program.

Powyższy problem na razie zostawiam, ponieważ dopiero jak pojadę do firmy 2 wtedy pobawię się z zaporą i portami.
Mam natomiast jeszcze jeden dziwny problem.
Chcę udostępnić drukarkę komputera w firmie 1 dla serwera (Windows Serwer 2003) który jest w firmie 2 lecz mam dziwny problem.
Gdy puszczam ping z serwera firmy2 do nowego komputera w firmie1 nawet nie chce mi pingować a z resztą komputerów w firmie 1 pinguję bez problemu.
Gdy pinguję ten nowy komputer z innego komputera w firmie 1 wszystko jest ok lecz gdy pinguję z serwera w firmie 2 jest info że host nieosiągalny.
Co może być tego przyczyną?

Ponownie firewall - nie odpowiada na pakiety ICMP spoza sieci lokalnej (nie masz NATu na VPNie więc hosty "widzą" swoje rzeczywiste lokalne adresy IP w nagłówkach odbieranych pakietów).

Dlaczego w takim razie serwer w firmie2 pinguje z innymi komputerami w firmie2 i w firmie1 a z tym jednym nowym w firmie1 nie?

Dodano po 1 [godziny] 27 [minuty]:

Co dziwne to zapora systemu windows jest wyłączona na tym serwerze.

Czy nowy komputer w "firmie 1 "odpowiada na ping z jakiegokolwiek innego komputera w "firmie 2"? Czy ten nowy komputer w "firmie 1" jest w stanie spingować serwer w "firmie 2"?
Istotne jest też to czy te pingi dochodzą a nie mogą wrócić czy w ogóle nie dochodzą.

jak sprawdzić czy dochodzą

Analizatorem pakietów (np. Wireshark) uruchomionym na tym hoście. Z innego komputera logujesz się na komputer w drugiej firmie i wysyłasz z niego pinga do problematycznego komputera z uruchomionym analizatorem pakietów.

Mam już dostęp do routerów więc co mam teraz sprawdzić?

Dodano po 4 [minuty]:

Teraz mam taki problem, że gdy chcę wejść na stronę konfiguracyjną AP będą w firmie o adresacji 192.168.1.1-250 na AP który ma adres 192.168.2.102 to nie mogę... natomiast jeśli jestem w firmie o adresaci 192.168.2.1-250 bez problemu mogę wejść na tego AP. Dlaczego?

Zapewne dlatego, że AP są tak skonfigurowane, że dostęp do ich panelu administracyjnego jest tylko z poziomu sieci lokalnej, a nie masz NATu na VPN, który by mapował adresy z jednej sieci, na adresy w drugiej sieci (wykonalne ale rzadko stosowane).

Wina leży raczej po stronie AP czy po stronie routerów czy samego VPNa? Mój VPN to IPSec. Jeśli AP to czy można to zmienić?

Nie jestem w stanie odpowiedzieć na Twoje pytania w oparciu o informacje jakie przedstawiłeś. Właściwym adresatem tych pytań jest administrator docelowej sieci. Nie wiem czy ruch VPN idzie przez NAT czy nie, nie wiem jakie tam są AP, ani jak są skonfigurowane.

Mam pytanko jeszcze. Jak teraz postawie sobie WLAN pomiędzy firmami (jednej jest adresacja 192.168.1.1-192.168.1.250 i drugiej 192.168.2.1-192.168.1.255) nie będzie mi już potrzebny VPN i jak zrobić etap przejścia? Wystarczy jak wypnę jeden router z sieci i zmienię maskę na 255.255.0.0? Nie chcę zmieniać teraz IP na wszystkich sprzętach. Chcę, żeby przejście było jak najszybsze i jak najmniej odczuwalne dla użytkowników.

WLAN to skrót od WirelessLAN, więc nie wiem co miałeś na myśli. Normalnym VPNem na IPSecu bez problemu łączysz dwie sieci lokalne o różnych adresach, możesz ale nie musisz robić NAT (czyli mapować 1:1 adresy z jednej sieci na adresy w drugiej sieci). Wystarczy zrobić routing i upewnić się, że konfiguracja firewalli nie blokuje adresów prywatnych ze zdalnej sieci (domyślnie większość firewalli będzie to blokować). Oczywiście VPN najlepiej stawiać na urządzeniach brzegowych obu sieci - czyli na routerach pełniących funkcję bram do Internetu.

Chyba, że obie firmy są w jednej lokalizacji i nie musisz ich łączyć przez Internet, wtedy można je obsłużyć na jednym routerze i VLANach z odpowiednim routingiem pomiędzy nimi.

Firmy są od siebie około 1,2-1,5 km i dlatego chcę zrobić WLAN. Chciałbym je obsłużyć na jednym routerze i VLANach z odpowiednim routingiem pomiędzy nimi ale jak to zrobić?
Można obsłużyć je na 2 routerach? W obydwóch lokalizacjach mam aktualnie połączenie z internetem i wtedy jedno łącze zostanie bezużyteczne.

Albo mieszasz pojęcia albo czegoś nie rozumiem - VLAN, WLAN i VPN to 3 różne rzeczy.

ewenement22 napisał:

Firmy są od siebie około 1,2-1,5 km (...) W obydwóch lokalizacjach mam aktualnie połączenie z internetem

No więc połącz je tunelem VPN przez Internet i będzie problem załatwiony - każda z firm zachowa swoją wewnętrzną adresację IP i swój router. Minus takiego rozwiązania to szybkość połączenia pomiędzy lokalizacjami będzie ograniczona do szybkości połączenia internetowego, a komunikacja LAN-LAN będzie obciążać to łącze.

Opcja numer dwa to bezpośrednie połączenie światłowodowe pomiędzy oboma sieciami, sieci mogą pozostać niezależne z routingiem pomiędzy nimi poprzez dedykowane łącze, ale każda z nich zachowa wyjście do Internetu przez własne łącze.

Wreszcie ostatnia opcja - czyli połączenie obu sieci w jeden LAN, z jednym łączem Internetowym.

W żadnym ze scenariuszy nie ma potrzeby stosowania VLANów, gdyż one służą do podziału, a nie do łączenia sieci.

Tunel VPN IPsec mam a chcę zrobić WLAN w celu polepszenia szybkości i mimo, że nie będzie internetu to połączenie pomiędzy firmami będzie.

ewenement22 napisał:

Tunel VPN IPsec mam a chcę zrobić WLAN w celu polepszenia szybkości i mimo, że nie będzie internetu to połączenie pomiędzy firmami będzie.

Ja sie przylaczam to niezrozumienia. Jak WLAN ma pomoc na predkosc??

Czyli chcesz zestawić dodatkowe połączenie po WiFi pomiędzy firmami? Jeśli tak, będzie to działało dokładnie tak jak obecny VPN, tylko, żeby to miało sens routery po obu stronach muszą mieć co najmniej 3 niezależne interfejsy sieciowe - LAN, Internet, WiFi. Pozostanie tylko kwestia routingu pomiędzy sieciami przez połączenie WiFi (ono będzie tworzyło oddzielną sieć). W takim rozwiązaniu dobrze powinny się sprawdzić urządzenia Mikrotik, np. na bazie RB433.