ViPNet · Помощь и типовые ошибки

00 Для чего эта страница

Короткая помощь именно под наш стенд: 9 узлов, 4 LAN Segment, координаторы ViPNet HW-VA, SQL на Net1-Open, ЦУС/УКЦ на Net1-AdminCA и отдельная сеть Net3 для межсетевого взаимодействия.

Главное правило: если что-то не работает, сначала проверяй физическую виртуальную сеть: LAN Segment, IP, маску, шлюз, firewall. ViPNet настраивается только после того, как базовая связность уже понятна.

01 Памятка по маскам и диапазонам

Сегмент	Подсеть	Маска	Доступные адреса	Broadcast	Наши адреса
Сеть "Internet"	10.8.248.0/24	255.255.255.0	10.8.248.1–10.8.248.254	10.8.248.255	.11, .12, .13
Net1 Certification Authority	172.16.224.224/27	255.255.255.224	172.16.224.225–172.16.224.254	172.16.224.255	.225, .226, .227, .228
Net2 Филиал	10.10.20.128/25	255.255.255.128	10.10.20.129–10.10.20.254	10.10.20.255	.129, .130
Net3 Межсеть	192.168.88.64/26	255.255.255.192	192.168.88.65–192.168.88.126	192.168.88.127	.65, .66, .67

Нельзя назначать:
адрес сети и broadcast. Например, в Net1 нельзя брать 172.16.224.224 и 172.16.224.255.

Шлюз:
на Windows-узлах — IP своего координатора. На координаторах HW-VA шлюз в нашем стенде не указываем.

DNS:
не равен координатору. Если работаем по IP, DNS можно не указывать. Координатор — это шлюз, а не DNS-сервер.

Типичная ошибка:
маска /24 вместо /27 или /26. Из-за этого машина думает, что чужая сеть находится рядом, и не отправляет пакет через шлюз.

02 Команды ping: Windows и ViPNet Coordinator HW-VA

Важно: ViPNet Coordinator HW-VA — это не обычный Windows и не обычный Linux. В нём команда ping вводится через раздел inet.

Windows-машины

ping 172.16.224.225 ping 172.16.224.228 ping 10.10.20.129 ping 192.168.88.65 ipconfig /all arp -a route print

Координаторы ViPNet HW-VA

login: user password: пароль_пользователя_узла enable password: пароль_администратора_узла inet ping 10.8.248.12 inet ping 10.8.248.13 inet ping 172.16.224.226 inet ping 172.16.224.227 inet ping 172.16.224.228

Откуда проверяем	Что проверяем	Команда
Net1-CoordCA	связь с координаторами через Internet	inet ping 10.8.248.12 inet ping 10.8.248.13
Net1-CoordCA	связь с машинами Net1	inet ping 172.16.224.226 inet ping 172.16.224.227 inet ping 172.16.224.228
Net2-Coord	связь с Net2-Client и Net1-CoordCA	inet ping 10.10.20.130 inet ping 10.8.248.11
Net3-Coord-HWVA	связь с Net3 и Net1-CoordCA	inet ping 192.168.88.66 inet ping 192.168.88.67 inet ping 10.8.248.11

03 Типовые ошибки по симптомам

Ping не идёт между машинами одного LAN Segment

Проверка: обе машины должны быть в одном LAN Segment, например обе в Net1 Certification Authority. Проверь галочки Connected и Connect at power on.
Команды Windows:

ipconfig /all netsh advfirewall set allprofiles state off netsh advfirewall show allprofiles

Причина: чаще всего включён firewall Windows, выбран не тот LAN Segment или неправильно введена маска.

Ping идёт в одну сторону, а обратно нет

Обычно это firewall на той машине, которая не отвечает на входящий ICMP. Если координатор HW-VA пингует Windows-машину, а Windows-машина не пингует координатор, это может быть локальная политика firewall координатора. Для отчёта достаточно показать, что координатор видит узлы своей сети.

Destination host unreachable

Машина не знает, куда отправить пакет. Проверь шлюз. Для Windows-узлов:

Net1-AdminCA / Net1-OperCA / Net1-Open → шлюз 172.16.224.225 Net2-Client → шлюз 10.10.20.129 Net3-Admin / Net3-Open → шлюз 192.168.88.65

На координаторах HW-VA шлюз в нашем стенде не указываем.

ЦУС не подключается к SQL Server на Net1-Open

Проверить с Net1-AdminCA: доступен ли 172.16.224.228. На Net1-Open должен быть включён TCP/IP для SQL Server, порт 1433, FILESTREAM и перезапущена служба SQL Server (MSSQLSERVER).

SQLServerManager12.msc SQL Server Network Configuration → Protocols for MSSQLSERVER → TCP/IP → Enable IPAll → TCP Dynamic Ports: пусто IPAll → TCP Port: 1433

После изменения обязательно перезапустить службу SQL Server.

FILESTREAM включён не полностью

Нужно включить два уровня: через SQL Server Configuration Manager и через sqlcmd.

sqlcmd -S 127.0.0.1 -E EXEC sp_configure filestream_access_level, 2; GO RECONFIGURE; GO exit

После этого перезапустить SQL Server (MSSQLSERVER).

Не входит в консоль координатора HW-VA

До установки ключей обычно используется user / user. После установки ключей пароль уже тот, который был задан при формировании дистрибутива ключей в УКЦ. Для режима администратора вводится команда enable, затем пароль администратора узла.

Не путать с Windows-паролем, SQL-паролем и паролем пользователя ЦУС.

Путаются команды координатора: почему не работает обычный ping?

Потому что это ViPNet Coordinator HW-VA. Он похож на Linux внешне, но команды сетевых функций идут через раздел inet.

неправильно: ping 10.8.248.12 правильно: inet ping 10.8.248.12

Если не знаешь команду, введи раздел без параметров:

inet firewall firewall local

Так CLI покажет доступные подпункты.

Красные узлы в ViPNet Client / ЦУС

Проверяй по порядку: координатор инициализирован, ключевой дистрибутив установлен на правильную машину, время на машинах совпадает, связи пользователей созданы по таблице, обновления справочников разосланы. Статусы могут обновляться не мгновенно — подожди 1–2 минуты и обнови монитор.

Дистрибутив ключей не принимается: неверный пароль

Вводится пароль, заданный в УКЦ при формировании дистрибутива для конкретного пользователя сетевого узла. Например, для Net2-Client используется дистрибутив пользователя Rem_Client, а не AdminS и не Windows-пароль.

Письмо или текстовое сообщение не доходит

Сначала проверь, что узлы зелёные и есть связь AdminS ↔ Rem_Client. Для задания 2.6 нужны скриншоты отправителя, получателя и журнала IP-пакетов на координаторах, через которые прошло письмо.

Межсетевое взаимодействие Net1 ↔ Net3 не работает

Проверь, что обе сети по отдельности работают. Затем проверь обмен межсетевой информацией в обе стороны, асимметричные межсетевые ключи, связи «все со всеми», обновления справочников и доступность координаторов через Internet 10.8.248.0/24.

04 Мини-чеклист, если всё сломалось

Проверить, что у всех VM выбран именно LAN Segment, а не Custom/VMnet/NAT.
Проверить IP и маски по таблице из части 1.
На Windows временно выключить firewall.
Проверить ping внутри каждого сегмента.
Проверить inet ping между координаторами по сети Internet.
Проверить SQL Server, TCP/IP, порт 1433 и FILESTREAM.
Проверить создание узлов, пользователей, связей и ключевых дистрибутивов.
После изменений в ЦУС/УКЦ разослать обновления и сделать скриншот результата.

ГБПОУ КДПИ имени Карла Фаберже