Giúp đỡ cách khắc phục sự cố VPN

[sontht]

Mình có mô hình kết nối remote access VPN sau:

LAN--(10.0.0.1)---VPN Server-----(Internet)-----ADSL Router ----(10.0.0.1)----Remote User

Với mô hình này khi kết nối vào VPN Server, server sẽ cấp ip thuộc mạng 10.0.0.0 cho Remote user. Kết nối thành công, nhưng mình không thể truy cập tài nguyên trong LAN đằng sau VPN Server.

Tuy nhiên, khi mình đổi IP lớp mạng giữa ADSL Router và Remote User thành lớp mạng khác, chẳng hạn 192.168.1.0. Thì mọi chuyện ok (kết nối và truy cập tài nguyên được)

Theo các bạn là với mô hình này (mạng 10.0.0.0 ở cả 2 bên) thì truy cập tài nguyên được không? Tại sao được và tại sao không?

Thanks

[vicnhan]

Về nguyên tắc, cái modem ADSL đó chẳng ảnh hưởng gì đến quá trình này. Bạn thử xem lại DHCP của mạng xem.

[anhchangvuive]

Mi`nh có cách nào khắc phục nếu cả 2 đầu trùng IP ??? Giống như hiện tượng ở trên...

[sontht]

Không có ai gặp problem này để chia sẻ kinh nghiệm sao?

[anhchangvuive]

Hi`nh như Forums quá nhiều toppic, không thể kiểm tra hết được thì phải???
Nhiều bài trùng nhau cũng không thấy ai trả lời, và xóa topic trùng??????

[kingloc2000]

Tui cũng gặp phải tình trạng như vậy, cả hơn một năm nay rồi. Cũng hỏi và đọc sách tùm lum nhưng đa số trả lời là chỉ có một cách là đổi ip ở một đầu thành địa chỉ khác thôi.
Kiến thức tôi hạn hẹp nên cũng có thể giải thích một cách quê mùa lý do không được là:
- giả sử bạn ở mạng bên ngoài và máy bạn nhận ip address là: 10.0.0.2.
- Khi bạn kết nối vpn thành công có nghĩa là về logical bạn đang ở trong mạng LAN công ty bạn.
- Giả sử mail server của công ty bạn có địa chỉ là 10.0.0.1.
- mặc dù là bạn kết nối vpn thành công, và bạn ping mail server thì tại máy của bạn đang ở mạng bên ngoài nó hiểu 10.0.0.1 là ập một máy nào có có ở phía ngoài mạng, chứ không phải làm mail server nên cho dù kết nối vpn thành công rồi cũng không làm được gì.
*** Tôi đã rất cố gắng tìm kiếm giải pháp nào đó khắc phục tình trạng này nhưng không thể. Mong có ai đó có thể chỉ giúp cách khắc phục hoặc khẳng định là hoàn toàn không thể làm được.
***Tôi cũng nhận thấy khi một số bạn hỏi về vấn đề rất thực tế và cần thiết thì ít có ai trả lời, mà đa số là chỉ thích trả lời vấn để chung chung chung thì phải

[mon_hy]

Tui cũng gặp phải tình trạng như vậy, cả hơn một năm nay rồi. Cũng hỏi và đọc sách tùm lum nhưng đa số trả lời là chỉ có một cách là đổi ip ở một đầu thành địa chỉ khác thôi.
Kiến thức tôi hạn hẹp nên cũng có thể giải thích một cách quê mùa lý do không được là:
- giả sử bạn ở mạng bên ngoài và máy bạn nhận ip address là: 10.0.0.2.
- Khi bạn kết nối vpn thành công có nghĩa là về logical bạn đang ở trong mạng LAN công ty bạn.
- Giả sử mail server của công ty bạn có địa chỉ là 10.0.0.1.
- mặc dù là bạn kết nối vpn thành công, và bạn ping mail server thì tại máy của bạn đang ở mạng bên ngoài nó hiểu 10.0.0.1 là ập một máy nào có có ở phía ngoài mạng, chứ không phải làm mail server nên cho dù kết nối vpn thành công rồi cũng không làm được gì.
*** Tôi đã rất cố gắng tìm kiếm giải pháp nào đó khắc phục tình trạng này nhưng không thể. Mong có ai đó có thể chỉ giúp cách khắc phục hoặc khẳng định là hoàn toàn không thể làm được.
***Tôi cũng nhận thấy khi một số bạn hỏi về vấn đề rất thực tế và cần thiết thì ít có ai trả lời, mà đa số là chỉ thích trả lời vấn để chung chung chung thì phải

Tôi thấy thế này:
ADSL của phía Remote User là một router do đó nếu Remote user nhận đc địa chỉ thuộc 10.0.0.x địa chỉ này trùng với dải địa chỉ mạng LAN mà ADSL đã cấp hoặc bạn cấu hình ở phía Remote User do đó ADSL sẽ không chuyển gói tin của Remote user đến các máy thuộc mạng 10.0.0.x ra mạng ở xa ngoài cty.

Do vậy địa chỉ LAN của Remote user và địa chỉ LAN của cty (cái mà VPN server cấp) phải khác nhau.

[hoangngocdon]

-Bạn thử gán range IP ra xa hơn. Ví dụ mạng của bạn đang dùng có range 10.0.0.1-10.0.0.200. Sau đó bạn tạo một Pool address để gán cho client từ 10.0.0.200-254. Khi tạo một range để gán cho client là 10.0.0.200-254 thì ASA sẽ tự động tạo một rule Exemption (Trong mục nat của ASDM), mục đích của rule này là các packet đi tới range 200-254 sẽ không NAT (vì đi qua tunneling của VPN).
-Do đó khi VPN giữa nhiều site với nhau thì các local lan của client sẽ khác nhau vì trên VPN center sẽ config các exemption rule này khác nhau.

[trainingit]

Với mô hình này, bạn vẫn kết nối được VPN nhưng không truy cập được tài nguyên VPN bởi vì

- vpn connection : được cấp địa chỉ IP là 10.0.0.x

- địa chỉ IP của modem ADSL : 10.0.0.1 : địa chỉ này chính là default gateway của mạng LAN

Mạng LAN là một miền quảng bá (broadcast domain) : mặc định các máy trong cùng một subnet sẽ trao đổi dữ liệu với nhau mà không cần router hoặc thiết bị có 2 giao tiếp (trong trường hợp này là modem ADSL, có IP LAN là 10.0.0.1 và IP WAN do nhà cung cấp dịch vụ ISP cấp cho bạn), các máy trong cùng subnet IP sẽ không gửi dữ liệu ra gateway để chuyển đến subnet khác.

Trong trường hợp này, lúc chưa kết nối VPN, các PC (cũng có địa chỉ 10.0.0.x) kết nối qua modem ADSL đến VPN server, và được VPN server cấp cho VPN connection một dải địa chỉ trùng với dải địa chỉ 10.0.0.x (trùng với IP LAN của các máy kết nối VPN). Vì vậy những vpn connection này cũng không thể nào gửi dữ liệu qua gateway 10.0.0.1 của modem ADSL để sử dụng tài nguyên bên subnet của VPN server, vì nó nghĩ là cùng subnet LAN với các máy phía bên subnet của modem ADSL.

theo mình nghĩ thì là như vậy, bạn nên dùng 2 dải IP khác nhau.

:32::32::X:X:106::106:

[tripto]

Cảm ơn bác trainingit

Với mô hình này, bạn vẫn kết nối được VPN nhưng không truy cập được tài nguyên VPN bởi vì

- vpn connection : được cấp địa chỉ IP là 10.0.0.x

- địa chỉ IP của modem ADSL : 10.0.0.1 : địa chỉ này chính là default gateway của mạng LAN

Mạng LAN là một miền quảng bá (broadcast domain) : mặc định các máy trong cùng một subnet sẽ trao đổi dữ liệu với nhau mà không cần router hoặc thiết bị có 2 giao tiếp (trong trường hợp này là modem ADSL, có IP LAN là 10.0.0.1 và IP WAN do nhà cung cấp dịch vụ ISP cấp cho bạn), các máy trong cùng subnet IP sẽ không gửi dữ liệu ra gateway để chuyển đến subnet khác.

Trong trường hợp này, lúc chưa kết nối VPN, các PC (cũng có địa chỉ 10.0.0.x) kết nối qua modem ADSL đến VPN server, và được VPN server cấp cho VPN connection một dải địa chỉ trùng với dải địa chỉ 10.0.0.x (trùng với IP LAN của các máy kết nối VPN). Vì vậy những vpn connection này cũng không thể nào gửi dữ liệu qua gateway 10.0.0.1 của modem ADSL để sử dụng tài nguyên bên subnet của VPN server, vì nó nghĩ là cùng subnet LAN với các máy phía bên subnet của modem ADSL.

theo mình nghĩ thì là như vậy, bạn nên dùng 2 dải IP khác nhau.

:32::32::X:X:106::106:

cảm ơn bác trainingit đúng như bác nói nếu 2 lan đặt cùng lớp mạng thì sẽ không truy xuất đc dữu liệu của LAN đằng sau VPN server
cụ thể
LAN có VPN server nên đặt như sau
gateway : 10.0.1.1
IP: 10.0.1.x

còn LAN có client VPN đặt là
gateway :10.0.0.1
IP:10.0.0.x

khi VPN client kết nối đến nó sẽ đươc cấp ip :10.0.1.x do đó sẽ truy xuất đc dữu liệu trên LAN có VPN server