Форум по информационной безопасности: обсуждение продуктов Смарт-Софт

User

28.11.2006 09:34:00

Настроен ВПН сервер и добавлена учетная запись локально на сервере с ТИ, по инструкции. Из удаленного офиса ВПН соединением производится коннект и все работает (на первый взгляд, час как поделано, ещё не вник). Одно но, чтобы из удаленного офиса юзать ресурсы этой сети, происходит запрос на ввод логина и пароля для той машины, ресурсы которой хотим юзать.

1. Имеется ли возможность для ВПН соединения использовать учетную запись не локальной машины, а домена?

2. Можно ли какнибудь ограничить ВПН коннект по ИП удаленной машины (чтобы соединение с ВПН сервером можно было установить только с конкретных реальных ИП)?

Olymp User	#2 0 29.11.2006 09:25:00 Неужели никто не использует ВПН между подразделениями?

Constantin User	#3 0 29.11.2006 10:31:00 я пользую, но я не понял что тебе нуна...... 1 - хз не заморачивался с доменом 2 на фаере это дело решается в 5 сек

Olymp

User

01.12.2006 11:52:00

Цитата

2 на фаере это дело решается в 5 сек

каким образом? я хотел ограничить доступ по ВПН из вне по ИП адресам подключающихся. Тобишь, есть в инете машина с реальным ИП например 85.140.42.49, она конектится через ВПН в мою сеть и если такому ИП разрешено коннектится, то пожалста, иначе облом.

Constantin

User

01.12.2006 13:37:00

вот и пиши во внешнем фаере правило что с этого адреса разрешено то то и то то, или просто разрешено все

для каждого адреса пишется правило, если это не сеть конечно, на сеть можно одно правило и написать

исходя из логики что не разрешено то запрещено...если фаерволл включен

Constantin39052.5683680556

ZAN

User

01.12.2006 14:42:00

Цитата

я хотел ограничить доступ по ВПН из вне по ИП адресам подключающихся. Тобишь, есть в инете машина с реальным ИП например 85.140.42.49, она конектится через ВПН в мою сеть и если такому ИП разрешено коннектится, то пожалста, иначе облом.

Это можно сделать, указав в политике удаленного доступа в качестве условия IP адрес клиента.

SSALX User	#7 0 02.12.2006 17:32:00 1. Да. 2. Включите сетевой экран, разрешите доступ к порту 1723 только с определенных адресов.

Olymp

User

09.02.2007 09:28:00

Выдалось ещё пару часиков поковырять ету тему

Цитата

1. Да. 2. Включите сетевой экран, разрешите доступ к порту 1723 только с определенных адресов.

1. Подскажите пожалста, что дополнительно нада подкрутить, чтобы учетка проверялась на контроллере домена (не машина с ТИ). Повторюсь, если учетка на машине с ТИ, все работает, если на контроллере домена - нет. При коннекте с удаленной машины, при вводе имени и пароля (учетная запись на машине с ТИ), в поле домен я указываю имя машины с ТИ, что в поле домен нужно указать при использовании учетной записи домена, имя домена или так же имя машины с ТИ?

2. Когда догоню коннект с нужной учеткой, обязательно попробую, но мне кажется, что ИП уже будет не удаленной машины, а назначенный из пула RRAS, или я чтото не понял?

Olymp

User

09.02.2007 10:41:00

наподкручивался , теперь нет коннекта ни по той, ни по той учетке, в логе следующее:

Пользователь "SERVER-TI\VPN_User", подключен с 85.103.135.15, но не прошел проверку подлинности, поскольку При попытке подключения не удовлетворена политика удаленного доступа.

Учетные данные пользователя "\SERVER-TI\VPN_User", подключенного к порту "VPN3-14", не имеют прав удаленного доступа. Линия была отключена.

Подозрение на то, что удалил политику удаленного доступа из RRAS. У меня их было 2, оставил ту, что описана в документации: https://www.smart-soft.ru/?page=vpnser Напрасны ли мои подозрения? ели нет, то подскажите, что нужно добавить.

Olymp User	#10 0 10.02.2007 07:09:00 Начну поновой, чтоб не запутать. Ситуация на сегодня следующая: Сервер №1 - Контроллер домена (W2K). На нем заведена учетка User1, во входящих звонках выбрано следующее: Разрешить доступ, ответный вызов не выполняется, статический ИП адрес 192.168.2.10 Сервер №2 - Шлюз с Интернет (W2K3). ТИ 197 (это думаю не важно). Заведена учетка User2, во входящих звонках: разрешить доступ, ответный вызов не выполняется, статический ИП адрес 192.168.2.14 Настройка VPN сервера произведена в точности по инструкции https://www.smart-soft.ru/?page=vpnser Удаленная точка W2K3, создано 2 идентичных VPN соединения, за разницей в Имени и Домене. В учетной записи User1 прописан домен mydomen.ru (имя домена), а у User2 - server-ti (имя машины с ТИ). Конектимся под User1, смотрим лог "Система" на сервере ТИ: Пользователь "MYDOMEN.RU\User1" подключился, но не прошел проверку подлинности на порте "VPN3-14". Связь была отключена. Делаем вывод, что саму учетку в домене он видит, но на всякий случай для убедительности проверяем, отключив учетку и получаем в логе следующую запись: Произошла ошибка в модуле протокола точка-точка (PPP), Порт: VPN3-14, Имя пользователя: "MYDOMEN.RU\User1" Учетная запись отключена. Коннектимся под User2, коннект успешный. Что я не доностроил для User1? Думаю ситуацию описал более чем подробно.

Форум компании Смарт-Софт