Principales respuestas
Enrutamiento con ISA SERVER

Pregunta
-
La estructura de red de mi empresa es conforme se detalla:
En la Sede Central : un Servidor de Dominio con Windows 2003 Server R2 con Active Directory, DNS Y WINS, un Servidor Windows 2003 Server R2 Web y Correo, un servidor Windows 2003 Server R2 con Oracle Aplication Server y un Servidor Windows 2003 Server R2 con Oracle Database. Tambien un Servidor Windows 2003 Server R2 con ISA SERVER 2006 con FW y Proxy. Tengo 2 Router CISCO 800 Series, una con el IP 192.168.1.1 para Internet, Web y Correos y otra con el IP 192.168.2.1 para conexion en VPN instalada por mi proveedor de Internet.
En la Sede central el rango de mi LAN Interna es 10.0.x.x
Tenemos 8 Filiales en distintas sedes. Para interconectarse contamos con Router CISCO 800 Series en cada una de ellas. Cada Router tiene asignado el IP 192.168.3.1, 192.168.4.1 y asi sucesivamente.
Desde una maquina conectada directamente al router 192.168.2.1 de la sede central puede hacer ping a cada uno de los routers de filiales sin problemas e incluso a las PC conectadas a routers de filial. Pero no se que es lo que tengo que hacer para lograr conectar mis equipos de filiales con los de mi lan interna de la sede central para que puedan accesar a mis aplicativos en linea.
Mi servidor ISA tiene tres tarjetas: una conectada a la interna, otra al router externo (192.168.1.1) y otra conectada al router de VPN (192.168.2.1)
Soy novato en cuanto a ISA Server. La salida a internet, a web y correo seguro de mi empresa funciona sin problemas, pero no se que hacer para los equipos de mi lan interna y los de las filiales se comuniquen sin problemas.
También les coloco los siguientes archivos:
1. El resultado del comando route print del Equipo ISA SERVER 2006 (routeisa.txt)
2. El resultado de un equipo cliente del lado de la VPN con Ipconfig /all (ipclientevpn.txt)
3. El resultado del servidor de Oracle con Ipconfig /all (ipsvroracle.txt)
Estos archivos están en la siguiente dirección:
https://skydrive.live.com/?cid=45e8baa2fc0642b2#cid=45E8BAA2FC0642B2&id=45E8BAA2FC0642B2%21136
Agradezco anticipadamente sus respuestas. Jimcesse, si estas por ahi, agradeceria tambien tus comentarios al respecto.
Desarrollador
- Editado Leo Santillan jueves, 23 de febrero de 2012 21:45
Respuestas
-
Hola Leo
Por aqui ando :) solo que con mas trabajo que nunca (Gracias a Dios) pero bueno veamos un poco tu caso...
Lo mas importante acá es que tegas bien claro algunas cosas:
1. Las sub redes de las filiales (sitios remotos) las debes declarar en la tarjeta de red que conectas directamente al Router VPN (a la que llamas Filiales) declara una a una las redes por ejemplo: 192.168.2.0 a la 192.168.2.255 y 192.168.9.0. a la 192.168.9.255 claro esta que los rangos se pueden modificar y usar los que necesites, yo estoy partiendo de que tienes una red de 24 bits en el sitio remoto.
2. Efectivamente debes crear una relacion de entre la red interna y la red que represente a las VPNs pero esa relación debe ser ROUTE y no NAT aunque no esta mal, NAT debemos usarlo solo si vamos hacia Internet y como este no es el caso yo recomendaria usar Route.
3. Luego debes crear rutas estaticas (como menciona GregoJ) con el comando Route por ejemplo: Imaginemos que la IP que tiene el Router A (segun el diagrama que mencionas arriba) es 172.16.20.1 entonces las rutas quedarian algo asi:
route add -p 192.168.2.0 mask 255.255.255.0 172.16.20.1 metric 1
route add -p 192.168.9.0 mask 255.255.255.0 172.16.20.1 metric 1
4. Por ultimo pero no menos importante, debes asegurarte que haya una regla de acceso que permita el trafico que quieras pasar entre ambas redes de lo contrario nada de lo anterior funcionaria.
Revisa los puntos que mencionas y dejame saber si te podemos ayudar en algo mas... Estare pendiente.
Saludos,
Jimcesse Mi Blog: http://jimcesse.wordpress.com/
- Propuesto como respuesta Ismael Borche miércoles, 29 de febrero de 2012 16:32
- Marcado como respuesta Ismael Borche jueves, 1 de marzo de 2012 16:55
-
Hola Leo,
Vayamos por partes, primero si desde las filiales llegas al ISA, y no a la LAN el tema ha de ser de configuración del ISA. El trafico tanto entre filiales y LAN central como a la inversa debe ser enrutado y no "NATeado", verifica que esto es así y que tus reglas permiten el trafico entre las diferentes redes.
Segundo, lo que me deja un poco atónito es el tracert que has enviado desde la filial al equipo de la central 10.0.0.4, ten en cuenta que cuando tu proveedor diseño el enrutamiento entre sedes tu sede central era 192.168.2.0/24 ruta que todos los routers conocian, al meter el ISA entre medias, tu LAN local de la central paso a ser 10.0.0.0/24, el router de la central 192.168.2.1, ahora que tu proveedor, por fin ha añadido la ruta, ya sabe enrutar el trafico que le llega hacia la 10.0.0.0/24 a través del ISA, pero ten encuenta que cada router en las delegaciones debería conocer también esta ruta, es decir, desde todas las delegaciones cualquier petición dirigida a la LAN central 10.0.0.0/24, debería enviarse hacia el router de la central 192.168.2.1, las trazas hacia la IP interna del ISA 10.0.0.1, como al servidor web 10.0.0.3, me hacen suponer que tu proveedor a tenido en cuenta esto y a configurado correctamente el resto de routers, pero el tracert hacia la 10.0.0.4 me hace sospechar que existe algún problema en este sentido, deberías consultar a tu proveedor para verificar este punto, fíjate que cuando la traza se completa el penúltimo salto corresponde a la IP 10.111.0.106, sin embargo cuando falla pasa al 10.111.1.129 y aqui se pierde, algo ilógico ya que esta petición debería seguir la misma ruta, y si fuera el ISA el que cortara la petición el último salto deberia ser el 10.111.0.106, en este caso solo tu proveedor puede verificar que los routers tienen la configuración correcta, consúltale.
Por último veo que el ISA llega sin problemas a los equipos y routers de las filiales, los equipos de la LAN central deberían por tanto hacer lo propio, por lo que el problema de nuevo puede estar en la configuración del ISA, revisa las reglas y el tema del NAT, recuerda que entre redes de tu propia intranet el NAT no debería estar activado y todo el tráfico entre ellas debería ser enrutado.
Ya contaras como va el tema. Suerte.
Un saludo
GregoJ.
"Saber que se sabe lo que se sabe y que no se sabe lo que no se sabe; he aquí el verdadero saber." Confucio
- Editado GregoJ jueves, 15 de marzo de 2012 11:49
- Marcado como respuesta JimcesseModerator jueves, 22 de marzo de 2012 22:32
Todas las respuestas
-
Hola Leo,
Todo parece ser un tema de enrutamiento,
Primero en el ISA Server debes definir una ruta estatica que enrute el trafico a tus delegaciones por el router VPN (192.168.2.1). Por ejemplo:
router add 192.168.0.0 mask 255.255.0.0 192.168.2.1
Por otra parte no se como tendras configuradas las delegaciones, pero en cada router deberias tener una ruta estatica que enrutara la red LAN de la central 10.0.0.0/24 hacia el router VPN de la central (192.168.2.1) y ademas en el router de la central una ruta estatica hacia la red LAN de la central a traves del interfaz 192.168.2.56 del ISA. (ip route 10.0.0.0 255.255.255.0 192.168.2.56).
Realizando estas tareas todo deberia funcionar correctamente. Bueno no te olvides de definir una regla para permitir el trafico desde las redes de las delegaciones a la LAN de la central en tu ISA.
Suerte
Un saludo
GregoJ
"Saber que se sabe lo que se sabe y que no se sabe lo que no se sabe; he aquí el verdadero saber." Confucio
- Propuesto como respuesta Ismael Borche lunes, 27 de febrero de 2012 14:08
-
Gregoj:
No logro enrutar correctamente. A ver si puedes ayudarme con estos datos:
MI SERVIDOR ISA TIENE TRES TARJETAS CONFIGURADAS DE LA SIGUIENTE FORMA:
TARJETA DE RED INTERNA
DIRECCION IP : 10.0.0.1
MASCARA DE SUB RED : 255.255.255.0
PUERTA DE ENLACE :
SERVIDOR DNS PREFERIDO : 10.0.0.2TARJETA DE RED EXTERNA
DIRECCION IP : 192.168.1.42
MASCARA DE SUB RED : 255.255.255.0
PUERTA DE ENLACE : 192.168.1.1
SERVIDOR DNS PREFERIDO : LOS DE MI ISPTARJETA DE RED FILIALES
DIRECCION IP : 192.168.2.56
MASCARA DE SUB RED : 255.255.255.0
PUERTA DE ENLACE :
SERVIDOR DNS PREFERIDO :
EN LA CONFIGURACION DEL ISA SERVER, EN REDES, APARTE DE LA INTERNA Y EXTERNA, HE AGREGADO UNA RED FILIALES CON EL INTERVALO DE DIRECCIONES: 192.168.2.0 - 192.168.9.25.
EN REGLAS DE RED, HE CONFIGURADO UNA REGLA DONDE REDES DE ORIGEN: INTERNA, FILIALES, REDES DE DESTINO: INTERNA FILIALES Y TRADUCCION DE REDES: NAT
EN DIRECTIVAS DE FIREWALL CREE UNA REGLA, DONDE ACCION: PERMITIR, PROTOCOLOS: TODO EL TRAFICO SALIENTE; DE: INTERNA, FILIALES; A: INTERNA, FILIALES; USUARIOS: TODOS.
YA HICE UN ROUTE ADD -P 192.168.0.0 MASK 255.255.255.0 192.1968.2.1
Y DESPUES DE TODO ESTO, SIGO SIN PODER CONECTARME, HAGO UN PING DESDE EL PROXY ISA A EL IP 192.168.2.53 Y NO RESPONDE. TAMPOCO RESPONDE LOS IP DE LOS ROUTERS: 192.168.3.1, 192.168.4.1, ETC.
SIN EMBARGO, SI HAGO PING A LOS ROUTERS 192.168.2.1, 192.168.3.1, 192.168.4.1, ETC. DESDE LA MAQUINA CON IP 192.168.2.53, ESTOS RESPONDEN CON NORMALIDAD, INCLUSO A LAS MAQUINAS CUYA IPS ESTAN EN LOS RANGO DE SUS ROUTERS.
TE RECUERDO QUE LA VPN LA CONECTO EL PROVEEDOR DE INTERNET Y TODAS LAS OFICINAS CUENTA CON UN ROUTER CISCO 800 SERIES.
ESPERO TU RESPUESTA.
Desarrollador
- Editado Leo Santillan lunes, 27 de febrero de 2012 21:48
-
Hola Leo
Por aqui ando :) solo que con mas trabajo que nunca (Gracias a Dios) pero bueno veamos un poco tu caso...
Lo mas importante acá es que tegas bien claro algunas cosas:
1. Las sub redes de las filiales (sitios remotos) las debes declarar en la tarjeta de red que conectas directamente al Router VPN (a la que llamas Filiales) declara una a una las redes por ejemplo: 192.168.2.0 a la 192.168.2.255 y 192.168.9.0. a la 192.168.9.255 claro esta que los rangos se pueden modificar y usar los que necesites, yo estoy partiendo de que tienes una red de 24 bits en el sitio remoto.
2. Efectivamente debes crear una relacion de entre la red interna y la red que represente a las VPNs pero esa relación debe ser ROUTE y no NAT aunque no esta mal, NAT debemos usarlo solo si vamos hacia Internet y como este no es el caso yo recomendaria usar Route.
3. Luego debes crear rutas estaticas (como menciona GregoJ) con el comando Route por ejemplo: Imaginemos que la IP que tiene el Router A (segun el diagrama que mencionas arriba) es 172.16.20.1 entonces las rutas quedarian algo asi:
route add -p 192.168.2.0 mask 255.255.255.0 172.16.20.1 metric 1
route add -p 192.168.9.0 mask 255.255.255.0 172.16.20.1 metric 1
4. Por ultimo pero no menos importante, debes asegurarte que haya una regla de acceso que permita el trafico que quieras pasar entre ambas redes de lo contrario nada de lo anterior funcionaria.
Revisa los puntos que mencionas y dejame saber si te podemos ayudar en algo mas... Estare pendiente.
Saludos,
Jimcesse Mi Blog: http://jimcesse.wordpress.com/
- Propuesto como respuesta Ismael Borche miércoles, 29 de febrero de 2012 16:32
- Marcado como respuesta Ismael Borche jueves, 1 de marzo de 2012 16:55
-
Hola Leo,
Vamos a ver yo creo que el problema esta en el router VPN de la central, pero vamos por partes.
Desde el ISA no puedes hacer ping al 192.168.2.53 por que este equipo tiene como gateway el router VPN 192.168.2.1, quitale el router por defecto, añadele la ruta estatica route add -p 192.168.0.0 mask 255.255.255.0 192.168.2.1 y conectalo en el tramo que tienes el ISA deberia ser capaz de seguir haciendo ping a las sucursales y el ISA deberia ser capaz de alcanzarle.
Lo que no entiendo es porque no llegas desde el ISA a las sucursales, por favor haz un tracert desde el ISA a cualquier router de las delegaciones, igualmente repitelo desde el equipo 192.168.2.53, después de haber hecho los cambios que te he comentado antes y envia los resultados por si aclaran algo.
Por otra parte seria importante verificar que el router VPN (192.168.2.1) de la central tenga una ruta a la LAN de la central que utilize como gateway la "pata" del ISA en ese tramo (192.168.2.56).
Otro tema importante com te ha indicado Jimcesse es la relacion entre la red interna y delegaciones que como él indica deberia ser de tipo ROUTE.
Una cosa mas indicas que has añadido la ruta:
ROUTE ADD -P 192.168.0.0 MASK 255.255.255.0 192.1968.2.1
no se si sera un gazapo me imagino que si pero la mascara deberia ser 255.255.0.0 y no 255.255.255.0.
Por cierto si puedes manda la tabla de enrutamiento del ISA que seguro aclara muchas cosas:
C:> Route print
Un saludo
GregoJ
"Saber que se sabe lo que se sabe y que no se sabe lo que no se sabe; he aquí el verdadero saber." Confucio
- Editado GregoJ jueves, 1 de marzo de 2012 9:07
-
GREGOJ, JIM:
ANTE TODO, GRACIAS POR SU AYUDA, MONTAR SERVIDORES VPN Y FIREWALL NO ES MI ESPECIALIDAD, PERO EN ESTOS MOMENTOS DEBO SOLUCIONAR ESTOS TEMAS A COMO DE LUGAR.
LES COMENTO QUE, YA PUEDO HACER PING DESDE EL ISA (192.168.2.56) A TODAS LAS FILIALES (192.168.3.1, 192.168.4.1, ETC) O CUALQUIER EQUIPO DE FILIAL (1492.168.7.42, 192.168.2.51, ETC.), DESPUES DE CREAR LOS RUTAS PERSISTENTES EN EL ISA. ASIMISMO TODAS LAS FILIALES PUEDEN HACER PING AL ISA (192.168.2.56)
PERO EL SALTO HACIA EL 10.0.0.1 (IP DEL ISA INTERNO) O IP 10.0.0.4 (SERVIDOR1) NO LO PUEDE HACER. VALE DECIR, NO PUEDO LLEGAR DESDE UN EQUIPO DE LA FILIA A UNUN EQUIPO DE LA LAN INTERNA Y VICEVERSA.
EN ANTERIOR CORREO, GERGOJ ME HABLO DE QUE “SERIA IMPORTANTE VERIFICAR QUE EL ROUTER VPN (192.168.2.1) DE LA CENTRAL TENGA UNA RUTA A LA LAN DE LA CENTRAL QUE UTILIZE COMO GATEWAY LA "PATA" DEL ISA EN ESE TRAMO (192.168.2.56)”.
MI PREGUNTA ES ¿CÓMO HAGO O VERIFICO PARA QUE ESTO SEA ASI?
NUEVAMENTE GRACIAS POR SU VALIOSA AYUDA
Desarrollador
-
Hola 4esteban,
Por lo que comentas es esta ruta la que falta, para verificarlo realiza primero un tracert hacia el ISA desde un equipo de una delegación,
C:> tracert 192.168.2.56
y seguidamente desde el mismo equipo haces un tracer hacia un equipo de la central
C:> tracert 10.0.0.4 (Por ejemplo)
Compara los resultados y veras que en el primer caso la traza se completa sin errores y en el segundo caso que llega hasta el router VPN de la central pero no pasa, esto indica que el router no sabe donde enviar el paquete.
Si no tienes acceso al router de la central solicita a tu proveedor de servicios que añada la ruta. Como ya te indique la ruta a añadir seria:
ip route 10.0.0.0 255.255.255.0 192.168.2.56
Despues de realizar esta tarea todo te tiene que funcionar sin problemas.
Suerte.
Un saludo
GregoJ
"Saber que se sabe lo que se sabe y que no se sabe lo que no se sabe; he aquí el verdadero saber." Confucio
- Editado GregoJ lunes, 5 de marzo de 2012 10:39
-
Gregoj, Jim:
Luego de varios días de infructuosa insistencia, ya el proveedor de ISP agrego la ruta persistente al Router VPN de la Sede Central.
Después de agregar esta ruta, si realizo un ping y un tracert de cualquier equipo de filial al equipo ISA la traza se completa. Pero aun no puedo llegar a ningún equipo de mi red interna, excepto al servidor web que es el único con el que se completa la traza.
Pero de forma inversa, ningún equipo de mi red interna (incluido el servidor web) llega a ningún equipo o router de filial, la traza solo se completa con el IP 192.168.2.56 (ip del ISA para la tarjeta de Red Filiales) mas no con el IP del router VPN 192.168.2.1
Les envió el link para acceder a los archivos con la muestra de los tracert, ipconfig e router print de los equipos filial, isa y servidor web.
https://skydrive.live.com/#cid=45E8BAA2FC0642B2&id=45E8BAA2FC0642B2%21136
A ver si después de una lectura de los mismos, me pueden ayudar y acabar con este tema.
LEO
Desarrollador
-
Hola Leo,
Vayamos por partes, primero si desde las filiales llegas al ISA, y no a la LAN el tema ha de ser de configuración del ISA. El trafico tanto entre filiales y LAN central como a la inversa debe ser enrutado y no "NATeado", verifica que esto es así y que tus reglas permiten el trafico entre las diferentes redes.
Segundo, lo que me deja un poco atónito es el tracert que has enviado desde la filial al equipo de la central 10.0.0.4, ten en cuenta que cuando tu proveedor diseño el enrutamiento entre sedes tu sede central era 192.168.2.0/24 ruta que todos los routers conocian, al meter el ISA entre medias, tu LAN local de la central paso a ser 10.0.0.0/24, el router de la central 192.168.2.1, ahora que tu proveedor, por fin ha añadido la ruta, ya sabe enrutar el trafico que le llega hacia la 10.0.0.0/24 a través del ISA, pero ten encuenta que cada router en las delegaciones debería conocer también esta ruta, es decir, desde todas las delegaciones cualquier petición dirigida a la LAN central 10.0.0.0/24, debería enviarse hacia el router de la central 192.168.2.1, las trazas hacia la IP interna del ISA 10.0.0.1, como al servidor web 10.0.0.3, me hacen suponer que tu proveedor a tenido en cuenta esto y a configurado correctamente el resto de routers, pero el tracert hacia la 10.0.0.4 me hace sospechar que existe algún problema en este sentido, deberías consultar a tu proveedor para verificar este punto, fíjate que cuando la traza se completa el penúltimo salto corresponde a la IP 10.111.0.106, sin embargo cuando falla pasa al 10.111.1.129 y aqui se pierde, algo ilógico ya que esta petición debería seguir la misma ruta, y si fuera el ISA el que cortara la petición el último salto deberia ser el 10.111.0.106, en este caso solo tu proveedor puede verificar que los routers tienen la configuración correcta, consúltale.
Por último veo que el ISA llega sin problemas a los equipos y routers de las filiales, los equipos de la LAN central deberían por tanto hacer lo propio, por lo que el problema de nuevo puede estar en la configuración del ISA, revisa las reglas y el tema del NAT, recuerda que entre redes de tu propia intranet el NAT no debería estar activado y todo el tráfico entre ellas debería ser enrutado.
Ya contaras como va el tema. Suerte.
Un saludo
GregoJ.
"Saber que se sabe lo que se sabe y que no se sabe lo que no se sabe; he aquí el verdadero saber." Confucio
- Editado GregoJ jueves, 15 de marzo de 2012 11:49
- Marcado como respuesta JimcesseModerator jueves, 22 de marzo de 2012 22:32
-
GREGOJ, JIM:
Ya esta todo ok, en cuanto a comunicación entre mi Red Lan Interna y mis filiales. Gracias por los tips y sus respuestas de ayuda.
Solo me que queda algo por solucionar:
Tengo un aplicativo web http://svroracle.leo.com.pe que ejecuta desde la maquina con IP 10.0.0.4.
¿Que debo hacer para que las maquinas de filial pueden ejecutar el aplicativo si por ahora solo reconocen las DIRECCIONES Y NO LOS NOMBRES?
Saludos y nuevamente gracias....
LEO
Desarrollador
-
Hola Leo,
Me alegro de que por fin se hayan solucionado todos tus problemas de comunicaciones.
Desconozco cual es la estructura de tu DNS y tus filiales en cuanto a la integración con el AD de tu central, pero por lo que puedo imaginar creo que los equipos de tu central resuelven bien el nombre en cuestion, por lo que una opción es establecer la misma configuración DNS de los equipos de la central en los equipos de las filiales.
Tambien si no son muchos los equipos de las filiales que necesitan este acceso podrias utilizar el fichero host (no tiene extensión), de estos clientes, este archivo se encuentra en la ubicación c:\windows\system32\drivers\etc, deberias añadir una linea como la siguiente:
10.0.0.4 svroracle svroracle.leo.com.pe
Esto permitira a los equipos en cuestion acceder a tu aplicativo via:
http://svroracle o http://svroracle.leo.com.pe
Suerte
Un saludo
GregoJ
"Saber que se sabe lo que se sabe y que no se sabe lo que no se sabe; he aquí el verdadero saber." Confucio
- Editado GregoJ jueves, 22 de marzo de 2012 21:38
-
Hola Leo
Que excelente noticia que tu problema ya esta resuelto y sientete en confianza de regresar cuando sea necesario... Muchas gracias a GregoJ por los excelentes aportes que nos dio en este tema (igualmente bienvenido a colaborar en el foro)
Saludos,
Jimcesse Mi Blog: http://blogs.itpro.es/jimcesse