🥇 ሚክሮክ IPSEC vpn ከ NAT በስተጀርባ እንደ ደንበኛ

መልካም ቀን ለሁሉም!

ልክ በድርጅታችን ውስጥ ባለፉት ሁለት ዓመታት ውስጥ ቀስ በቀስ ወደ ማይክሮቲክስ እየተቀየርን ነበር. ዋናዎቹ አንጓዎች በ CCR1072 ላይ የተገነቡ ናቸው, እና በመሳሪያዎች ላይ ለኮምፒዩተሮች የአካባቢያዊ ግንኙነት ነጥቦች ቀላል ናቸው. በእርግጥ በ IPSEC ዋሻ በኩል የአውታረ መረቦች ጥምረትም አለ ፣ በዚህ ሁኔታ ፣ በአውታረ መረቡ ላይ ብዙ ቁሳቁሶች ስላሉ ማዋቀሩ በጣም ቀላል እና ምንም ችግር አይፈጥርም። ነገር ግን በደንበኞች የሞባይል ግንኙነት ላይ አንዳንድ ችግሮች አሉ ፣የአምራች ዊኪ Shrew soft VPN ደንበኛን እንዴት እንደሚጠቀሙ ይነግርዎታል (በዚህ ቅንብር ሁሉም ነገር ግልፅ ይመስላል) እና 99% የርቀት መዳረሻ ተጠቃሚዎች የሚጠቀሙት ይህ ደንበኛ ነው። , እና 1% እኔ ነኝ, እኔ እያንዳንዱ በጣም ሰነፍ ነበርኩ በደንበኛው ውስጥ መግቢያ እና የይለፍ ቃል ብቻ አስገባ እና በሶፋው ላይ ሰነፍ ቦታ እና ከስራ አውታረ መረቦች ጋር ምቹ ግንኙነት እፈልጋለሁ. ሚክሮቲክን ከግራጫ አድራሻ ጀርባ ካልሆነ ግን ሙሉ በሙሉ ከጥቁር ጀርባ እና ምናልባትም በኔትወርኩ ላይ በርካታ ኤንኤቲዎችን ለማዋቀር መመሪያዎችን አላገኘሁም። ስለዚህ, ማሻሻል ነበረብኝ, እና ስለዚህ ውጤቱን ለመመልከት ሀሳብ አቀርባለሁ.

ይገኛል፡

CCR1072 እንደ ዋና መሣሪያ። ስሪት 6.44.1
CAP ac እንደ የቤት ግንኙነት ነጥብ። ስሪት 6.44.1

የቅንጅቱ ዋና ገፅታ ፒሲ እና ሚክሮቲክ በዋናው 1072 የተሰጠ ተመሳሳይ አድራሻ ያለው በአንድ አውታረ መረብ ላይ መሆን አለባቸው።

ወደ ቅንጅቶቹ እንሂድ፡-

1. በእርግጥ Fasttrackን እናበራለን, ነገር ግን ፋስትትራክ ከ vpn ጋር ተኳሃኝ ስላልሆነ ትራፊክን መቁረጥ አለብን.

/ip firewall mangle
add action=mark-connection chain=forward comment="ipsec in" ipsec-policy=
    in,ipsec new-connection-mark=ipsec passthrough=yes
add action=mark-connection chain=forward comment="ipsec out" ipsec-policy=
    out,ipsec new-connection-mark=ipsec passthrough=yes
/ip firewall filter add action=fasttrack-connection chain=forward connection-mark=!ipsec

2. ከ / ወደ ቤት እና ስራ የኔትወርክ ማስተላለፍን መጨመር

/ip firewall raw
add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=
    10.7.76.0/24
add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=
    10.7.98.0/24
add action=accept chain=prerouting disabled=yes dst-address=192.168.55.0/24 
    src-address=10.7.78.0/24
add action=accept chain=prerouting dst-address=10.7.76.0/24 src-address=
    192.168.33.0/24
add action=accept chain=prerouting dst-address=10.7.77.0/24 src-address=
    192.168.33.0/24
add action=accept chain=prerouting dst-address=10.7.98.0/24 src-address=
    192.168.33.0/24
add action=accept chain=prerouting disabled=yes dst-address=10.7.78.0/24 
    src-address=192.168.55.0/24
add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=
    10.7.77.0/24

3. የተጠቃሚ ግንኙነት መግለጫ ይፍጠሩ

/ip ipsec identity
add auth-method=pre-shared-key-xauth notrack-chain=prerouting peer=CO secret=
    общий ключ xauth-login=username xauth-password=password

4. የ IPSEC ፕሮፖዛል ይፍጠሩ

/ip ipsec proposal
add enc-algorithms=3des lifetime=5m name="prop1" pfs-group=none

5. የ IPSEC ፖሊሲ ይፍጠሩ

/ip ipsec policy
add dst-address=10.7.76.0/24 level=unique proposal="prop1" 
    sa-dst-address=<white IP 1072> sa-src-address=0.0.0.0 src-address=
    192.168.33.0/24 tunnel=yes
add dst-address=10.7.77.0/24 level=unique proposal="prop1" 
    sa-dst-address=<white IP 1072> sa-src-address=0.0.0.0 src-address=
    192.168.33.0/24 tunnel=yes

6. የ IPSEC መገለጫ ይፍጠሩ

/ip ipsec profile
set [ find default=yes ] dpd-interval=disable-dpd enc-algorithm=
    aes-192,aes-128,3des nat-traversal=no
add dh-group=modp1024 enc-algorithm=aes-192,aes-128,3des name=profile_1
add name=profile_88
add dh-group=modp1024 lifetime=4h name=profile246

7. የ IPSEC እኩያ ይፍጠሩ

/ip ipsec peer
add address=<white IP 1072>/32 local-address=<ваш адрес роутера> name=CO profile=
    profile_88

አሁን ለአንዳንድ ቀላል አስማት. በቤቴ አውታረመረብ ላይ በሁሉም መሳሪያዎች ላይ ቅንጅቶችን መለወጥ ስለማልፈልግ በሆነ መንገድ DHCP ን በተመሳሳይ አውታረ መረብ ላይ ማንጠልጠል ነበረብኝ ፣ ግን ሚክሮቲክ ከአንድ በላይ የአድራሻ ገንዳ በአንድ ድልድይ ላይ እንዲሰቅሉ የማይፈቅድልዎ ምክንያታዊ ነው ። , ስለዚህ መፍትሄ አገኘሁ ማለትም ለላፕቶፕ የ DHCP Leaseን በእጅ መለኪያዎች ፈጠርኩ እና ከኔትማስክ ጀምሮ ጌትዌይ እና ዲ ኤን ኤስ በDHCP ውስጥ አማራጭ ቁጥሮች ስላሏቸው እኔ እጄ ገለጽኳቸው።

1.DHCP አማራጮች

/ip dhcp-server option
add code=3 name=option3-gateway value="'192.168.33.1'"
add code=1 name=option1-netmask value="'255.255.255.0'"
add code=6 name=option6-dns value="'8.8.8.8'"

2.DHCP ኪራይ

/ip dhcp-server lease
add address=192.168.33.4 dhcp-option=
    option1-netmask,option3-gateway,option6-dns mac-address=<MAC адрес ноутбука>

በተመሳሳይ ጊዜ 1072 ማቀናበር በተግባር መሰረታዊ ነው ፣ በቅንብሮች ውስጥ ለደንበኛው የአይፒ አድራሻ ሲሰጥ ብቻ ፣ የአይፒ አድራሻው በእጅ የገባው እንጂ ከመዋኛ ገንዳው ውስጥ እንዳልሆነ ይጠቁማል ። ለመደበኛ ፒሲ ደንበኞች፣ ሳብኔት ከዊኪ ውቅር 192.168.55.0/24 ጋር ተመሳሳይ ነው።

እንዲህ ዓይነቱ ቅንብር በሶስተኛ ወገን ሶፍትዌር በኩል ከፒሲ ጋር እንዳይገናኙ ያስችልዎታል, እና ዋሻው ራሱ እንደ አስፈላጊነቱ በራውተር ይነሳል. የደንበኛ CAP ac ጭነት ከሞላ ጎደል ዝቅተኛ ነው፣ 8-11% በ9-10MB / ሰ ፍጥነት በዋሻው ውስጥ።

ሁሉም ቅንብሮች በዊንቦክስ በኩል ተደርገዋል, ምንም እንኳን ተመሳሳይ ስኬት በኮንሶል በኩል ሊከናወን ይችላል.

ምንጭ: hab.com

ሚክሮክ IPSEC vpn ከ NAT በስተጀርባ እንደ ደንበኛ

አስተያየት ያክሉ ምላሽ መሰረዝ