Сурков Л.В. - Построение виртуальных частных сетей VPN в сетевой среде Windows Server 2008 или 2003 (1075631), страница 10
Текст из файла (страница 10)
Для этого воспользуйтесь командой net localgroup «Pre-Windows 2000Compatible Access». В случае отрицательного результата введите команду netlocalgroup «Pre-Windows 2000 Compatible Access» everyone /add на контроллере доменаи перезагрузите его;19. Если VPN-сервер под управлением Windows NT 4.0 с Service Pack 3 и ниже являетсячленом домена Windows 2008 смешанного режима, убедитесь, что группе Everyoneпредоставлены права на перечисление содержимого (list contents), чтение всех свойств(read all properties) и чтение (read) до корневого узла Вашего домена и всехподобъектов (sub-objects) корневого домена;20.
В случае аутентификации через RADIUS проверьте, взаимодействует ли компьютерVPN-сервера с сервером RADIUS;21. В случае РРТР-соединения с использованием MS-CHAP vl и МРРЕ с 40-битнымключом убедитесь, что длина пароля не превышает 14 символов.Запрос на соединение принимается, хотя должен быть отклонен1. Убедитесь, что данные параметры соединения запрещены в политиках удаленногодоступа. Чтобы запрос на соединение отклонялся, его параметры должны бытьзапрещены одним из двух способов: в свойствах учетной записи выберитепереключатель либо Deny access, либо Control access through Remote Access Policy. Нов последнем случае разрешение на удаленный доступ в первой политике удаленногодоступа, соответствующей параметрам запроса на соединение, укажите как Denyremote access permission.Адреса за VPN-сервером недостижимы1.
Убедитесь, что LAN-протоколы, используемые VPN-клиентами, либо поддерживаютмаршрутизацию, либо позволяют обращаться к сети, к которой подключен VPNсервер.2. Проверьте настройки распределения IP-адресов VPN-сервером.Если VPN-сервер настроен на использование статического пула IP-адресов,проверьте, достижимы ли адреса из этого пула хостами и маршрутизаторамиМГТУ им. БауманаКафедра ИУ-642Сурков Л.В.Корпоративные сетиПрактикум «Построение виртуальных частных сетей VPNв сетевой среде Windows Server 2008/2003» Rev. 2010интрасети. Если нет, добавьте на маршрутизаторы интрасети IP-маршрут,соответствующий статическому пулу IP-адресов VPN-сервера (пул определяется по IPадресу и маске диапазона), или включите на VPN-сервере подходящий протоколмаршрутизации.
Если маршруты к подсетям VPN-клиентов удаленного доступаотсутствуют, эти клиенты не смогут получать трафик из интрасети. Маршруты кподсетям указываются либо статически, либо определяются протоколоммаршрутизации (OSPF или IP).Если VPN-сервер настроен на выделение IP-адресов через DHCP, a DHCP-сервернедоступен, VPN-сервер выделяет адреса из диапазона 169.254.0.1-169.254.255.254,зарезервированного для автоматического назначения частных IP-адресов (APIPA).Функция APIPA применима к VPN-клиентам удаленного доступа только в том случае,если в сети, к которой подключен VPN-cepвep, тоже используются адреса,назначаемые APIPA.Если VPN-сервер использует APIPA при доступном DHCP-сервере, проверьте,правильно ли выбран адаптер для получения IP-адресов от DHCP-сервера.
Поумолчанию VPN-сервер выбирает такой адаптер случайным образом. Если накомпьютере имеется несколько сетевых адаптеров, служба маршрутизации иудаленного доступа может выбрать сетевой адаптер, через который DHCP-сервернедоступен, Вы можете сами выбрать подходящий сетевой адаптер на вкладке IP вокне свойств сервера удаленного доступа (через оснастку Routing and Remote Access).Если диапазон IP-адресов статического пула является подмножеством диапазона IPадресов сети, к которой подключен VPN-сервер, убедитесь, что диапазоны IP-адресовиз статического пула не назначаются другим ТСР/IР-хостам ни статически, ни черезDHCP.3.
В случае VPN-соединений между маршрутизаторами убедитесь, что на обеих сторонахтакого VPN-соедипения имеются маршруты, обеспечивающие двухсторонний обментрафиком.В отличие от VPN-соединения удаленного доступа VPN-соединение междумаршрутизаторами не приводит к автоматическому созданию маршрута поумолчанию. Вы должны сами создать соответствующие маршруты на обеих сторонахVPN-соединения между маршрутизаторами, чтобы можно было перенаправлятьтрафик, передаваемый другой стороне соединения или принимаемый от нее.Вы можете добавлять статические маршруты в таблицу маршрутизации либовручную, либо через протоколы маршрутизации. В последнем случае для постоянныхVPN-соединений можно использовать OSPF или RIP, а для VPN-соединений потребованию — механизм автостатических обновлений.4. В случае VPN-соединения между маршрутизаторами, инициируемого любой из сторон(two-way initiated router-to-router VPN connection), убедитесь, что оно невоспринимается VPN-сервером как соединение удаленного доступа.Если имя пользователя из удостоверений вызывающего маршрутизаторапоявляется в папке Remote Access Clients (Клиенты удаленного доступа) оснасткиRouting and Remote Access, значит, VPN-сервер считает вызывающий маршрутизаторклиентом удаленного доступа.
Убедитесь, что имя пользователя в удocтоверенияхвызывающего маршрутизатора совпадает с именем интерфейса соединения потребованию на VPN-сервере.5. В случае межмаршрутизаторного VPN-соединения по требованию, инициируемоготолько одной из сторон (one-way initiated router-to-router VPN connection), убедитесь,что маршруты интрасети вызывающего маршрутизатора сконфигурированы какстатические (в параметрах входящих звонков в свойствах пользовательской учетнойзаписи, применяемой этим маршрутизатором).МГТУ им.
БауманаКафедра ИУ-643Сурков Л.В.Корпоративные сетиПрактикум «Построение виртуальных частных сетей VPNв сетевой среде Windows Server 2008/2003» Rev. 20106. Убедитесь, что фильтры TCP/IP-пакетов в профиле политики удаленного доступа наVPN-сервере не препятствуют передаче или приему необходимого TCP/IP-трафика.Учтите, что эти фильтры могут быть сконфигурированы на сервере RADIUS, еслииспользуется служба проверки подлинности в Интернете (IAS).7. В случае VPN-соединений по требованию проверьте, не установлены ли наинтерфейсах соединений по требованию вызывающего и отвечающегомаршрутизаторов фильтры пакетов, препятствующие передаче или приему нужноготрафика.Не удается создать туннель1.
Убедитесь, что фильтрация пакетов на интерфейсе маршрутизатора между VPNклиентом и сервером не препятствует пересылке трафика протокола туннелирования.На VPN-сервере Windows 2008 фильтрация IP-пакетов настраивается в окнедополнительных параметров TCP/IP и в оснастке Routing and Remote Access.Проверьте оба этих места — возможно, какие-то фильтры блокируют трафик VPNсоединения.2. Убедитесь, что на VPN-клиенте не работает клиент Winsock Proxy.
Если он активен,вызовы API-функций Winsock, используемые, в частности, для создания туннелей ипередачи туннелированных данных, перехватываются и перенаправляютсясконфигурированному прокси-серверу. Компьютер с прокси-сервером позволяеторганизации получать доступ к специфическим типам Интернет-ресурсов (обычноWeb и FTP) без прямого подключения к Интернету. При этом организация используетвыделяемые InterNIC идентификаторы частных сетей (например, 10.0.0.0/8).Прокси-серверы обычно применяются для того, чтобы пользователи внутриорганизации могли обращаться к общедоступным Интернет-ресурсам так, будто онинапрямую подсоединены к Интернету. В то же время VPN-соединения, как правило,предназначены для того, чтобы авторизованные пользователи из Интернета моглиобращаться к ресурсам частной сети организации так, будто они напрямуюподключены к этой сети.
Единственный компьютер может выступать и в роли проксисервера (для пользователей частной сети), и в роли VPN-сервера (для авторизованныхпользователей из Интернета).Средства диагностикиС Windows 2008 поставляются средства диагностики, позволяющие собиратьдополнительную информацию об источниках проблем с VPN.Причина недостижимостиЕсли установить соединение по требованию не удается, интерфейс соединения потребованию остается в недостижимом состоянии. Служба маршрутизации и удаленногодоступа Windows 2008 регистрирует причину, по которой не удалось установитьсоединение, в параметре Unreachability reason (Причина недостижимости).Информация, указанная в этом параметре, поможет Вам локализовать источникпроблем.Протоколирование событийПа вкладке Event logging (Журнал событий) окна свойств VPN-сервера предлагаетсячетыре уровня протоколирования.
Выберите переключатель Log the maximum amount ofinformation (Вести журнал всех событий) и повторите попытку соединения. Как толькопопытка закончится неудачей, проверьте, какие события были зарегистрированы вМГТУ им. БауманаКафедра ИУ-644Сурков Л.В.Корпоративные сетиПрактикум «Построение виртуальных частных сетей VPNв сетевой среде Windows Server 2008/2003» Rev. 2010системном журнале при попытке соединения.
Просмотрев события, выберите на вкладкеEvent logging переключатель Log errors and warnings (Вести журнал ошибок ипредупреждений).ТрассировкаСредства трассировки записывают последовательность вызываемых функций вфайл. Разрешите применение трассировки для записи детальной информации о процессах,выполняемых при установлении соединений удаленного доступа и компонентами VPN.Закончив трассировку и просмотрев нужную информацию, верните параметрамтрассировки исходные значения.Трассировочная информация может оказаться сложной и очень летальной. Часть ееполезна только инженерам службы технической поддержки Microsoft или сетевымадминистраторам, имеющим большой опыт работы со службой маршрутизации иудаленного доступа. Трассировочную информацию можно сохранить в видефайлов и послать в службу технической поддержки Microsoft для анализа.Network MonitorNetwork Monitor (Сетевой монитор) — это программа для захвата пакетов и иханализа, которая позволяет наблюдать за трафиком, передаваемым между VPN-сервером иVPN-клиентом в процессе установления VPN-соединения и при передаче данных.
![](https://s.studizba.com/z.php?f=/templates/si/i/noavatar.png&w=100&h=100&t=1"){kind=avatar}
