CISCO VPN + MULTIWAN + bridge WAN1 LAN - IMPOSIBLE??



  • Buenas noches, agradezco vuestro tiempo y consejos.
    Tengo un problema con esta configuración:
    WAN - VDSL: IP ADDRESS: 192.168.AAA.200 - GATEWAY:192.168.AAA.1 - 30mb/2MB

    WAN 1 - ROUTER CISCO CON VPN A MÚLTIPLES SUBREDES: IP ADDRESS: 192.168.BBB.200 - GATEWAY: 192.168.BBB.100 - 1MB SIMETRICO

    LAN BRIDGE CON WAN1: IP 192.168.BBB.200

    FIREWALL CON LAS SIGUIENTES REGLAS:

    LAN:
    ICMP         LAN net *                Subnets *                 192.168.BBB.100

    TCP/UDP LAN net 3389 (MS RDP) Subnets 3389 (MS RDP) 192.168.BBB.100

    TCP/UDP LAN net 5900 (VNC) Subnets 5900 (VNC) 192.168.BBB.100

    • LAN net *             ! CISCOyVDSL       *          LOADBALANCE

    • LAN net *                  VDSL       *                   *

    • LAN net *                  Cisco       *         192.168.BBB.100

    • LAN net *                       *       *                    *  
      Ahora mismo y para evitarme complicaciones en WAN y WAN1 todo abierto
      WAN:192.168.AAA.1

    • *         *                       *       *                     *

    WAN1:192.168.BBB.100

    • *         *                       *       *                     *
      MULTIWAN todo online:
      LOADBALANCE gateway         wan          192.168.AAA.1            balancing
                              (balance)         opt1          192.168.BBB.100

    WANFailWAN1       gateway         opt1          192.168.BBB.100         WAN1 -> WAN falla
                            (failover)         wan           192.168.AAA.1

    WAN1FailWAN gateway         wan           192.168.AAA.1           WAN -> WAN1 falla
                            (failover)         opt1           192.168.BBB.100

    Lo tengo asi porque estoy obligado a mantener el CISCO con VPN por la linea mas lenta y queria balancear el trafico que no fuera 3389 5900 y ICMP por la otra linea

    Navego de maravilla.
    Me responden las Subnets (192.168.CCC.0/24)/192.168.DDD.0/24)  al ping, a traves del CISCO pero no me conecta con el VNC,
    ni puedo conectarme por rdp a todos los servidores, solo a algunos. Me deja a uno, a otro no, al cabo de un rato me deja al que no me dejaba y no me deja al que me dejaba…..
    en fin me estoy volviendo loco.

    Puede ser un tema de ancho de banda?
    porque me responde al ping todo y no me deja conectarme?
    alguna brillante idea de los "sabios del lugar"?
    Por supuesto todo funciona si conecto todo asi:
    CISCO - SWITCH - LAN
    Gracias por vuestra colaboracion. Espero haberme explicado



  • ¡Hola!

    Las reglas

    TCP/UDP    LAN net    3389 (MS RDP)  Subnets    3389 (MS RDP)    192.168.BBB.100           
    TCP/UDP    LAN net    5900 (VNC)  Subnets    5900 (VNC)    192.168.BBB.100

    me parecen "conceptualmente" erróneas.

    Las aplicaciones abren, por regla general, un puerto dinámico en origen. Y van al puerto de destino correspondiente al servicio.
    Además, RDP y VNC operan (pienso) sólo en modo TCP.
    O sea que yo pondría:

    TCP    LAN net    *  Subnets    3389 (MS RDP)    192.168.BBB.100           
    TCP    LAN net    *  Subnets    5900 (VNC)    192.168.BBB.100

    A ver si es esto…

    Saludos,

    Josep Pujadas



  • Hola ! Gracias por tu tiempo y asesoramiento Josep

    No es que no haya leido el consejo antes sino que llevo varios dias probando. Solo puedo a partir de las 20:00, estan trabajando y no puedo cortar para hacer pruebas.
    He cambiado lo que apuntabas, desde luego no tenia claro el concepto, los stats lo reflejan asi. Un puerto aleatorio –> una conexion al 3389 por TCP.

    El resultado aun asi es extraño, desde mi equipo conecto a todos los servidores de la subnet de maravilla tanto a rdp como por VNC, en mi equipo todo perfect!.
    Desde cualquier otro equipo me conecta de maravilla a todos los servidores excepto a 3!! en concreto, y ahora siempre a los mismos...
    He desmontado el load balance y me pasa lo mismo, modificando las rules de LAN (permitido todo)
    O sea esta asi ahora mismo - ROUTER CISCO ---- PFSENSE BRIDGE --- SWITCH --- LAN
    Lo que mas me mosquea es que en cuanto quito el pfsense conecta sin problema desde cualquier equipo a cualquier servidor.
    Sigo probando.

    Gracias por la ayuda



  • Desde cualquier otro equipo me conecta de maravilla a todos los servidores excepto a 3!! en concreto, y ahora siempre a los mismos…

    ¿No tendrán estos servidores un software de cortafuegos activo que esté filtrando las conexiones?



  • No, Firewall de windows desactivado y no hay software de ningun tipo.
    Lo extraño es lo que te comentaba, que sin el PF no hay ningun tipo de problema, se conectan simultaneamente unos 25 usuarios y la unica restriccion que tienen es la de tiempo de inactividad que los desconecta.

    Gracias de nuevo



  • Que no dependa del MTU…

    Ajuste del MTU de las placas de red
    Necesario en algunos casos (por ejemplo, para correo Outlook con adjuntos)
    http://forum.pfsense.org/index.php/topic,21812.msg113545.html#msg113545



  • ehhhhhhhhhhh Impresionante!!!!!!!!!!!!!!!!!!!!!!!  ;D ;D ;D ;D
    Perfecto todo
    MTU máximo 1272
    Genial
    No sabes lo que te lo agradezco
    Muchisimas gracias



  • Ahora lo vuelvo a montar con Balance y ya me muero. jejeje
    Gracias de nuevo por tu tiempo y apoyo. Bestial !!!
    Un saludo



  • Por cierto creo que todos los chips de esta empresa son realtek y no exagero….  :D


Log in to reply