Přeji všem hezký den!
Náhodou se stalo, že naše společnost v posledních dvou letech pomalu přechází na Mikrotiky. Hlavní uzly jsou postaveny na CCR1072 a místní připojovací body počítačů na jednodušších zařízeních. Samozřejmě také existuje spojení sítí přes IPSEC tunel, v tomto případě je nastavení poměrně jednoduché a nenabízí žádné obtíže, protože existuje spousta materiálů na internetu. Co se však týká mobilního připojení klientů, tam již nastávají určité obtíže, wiki výrobce radí, jak používat Shrew soft VPN client (toto nastavení vypadá jasně) a právě tento klient používá 99 % uživatelů vzdáleného přístupu, a 1 % jsem já. Prostě se mi už nechtělo pokaždé zadávat uživatelské jméno a heslo do klienta, chtěl jsem si pohodlně lehnout na pohovku a mít snadné připojení k pracovním sítím. Nenašel jsem žádné instrukce pro nastavení Mikrotiku pro situace, kdy se nachází za černou adresou a může být i za několika NAT v síti. Takže jsem musel improvizovat, a proto nabízím, abyste se podívali na výsledek.
Mám:
- CCR1072 jako hlavní zařízení. verze 6.44.1
- CAP ac jako domácí přístupový bod. verze 6.44.1
Hlavní vlastností nastavení je, že PC a Mikrotik musí být ve stejné síti se stejnou adresací, což je dáno hlavním 1072.
Přejděme k nastavení:
1. Samozřejmě zapneme Fasttrack, ale protože s VPN není Fasttrack kompatibilní, musíme vyříznout jeho provoz.
/ip firewall mangle
add action=mark-connection chain=forward comment="ipsec in" ipsec-policy=
in,ipsec new-connection-mark=ipsec passthrough=yes
add action=mark-connection chain=forward comment="ipsec out" ipsec-policy=
out,ipsec new-connection-mark=ipsec passthrough=yes
/ip firewall filter add action=fasttrack-connection chain=forward connection-mark=!ipsec
2. Přidáváme porty sítí z/do domácí a pracovní
/ip firewall raw
add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=
10.7.76.0/24
add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=
10.7.98.0/24
add action=accept chain=prerouting disabled=yes dst-address=192.168.55.0/24
src-address=10.7.78.0/24
add action=accept chain=prerouting dst-address=10.7.76.0/24 src-address=
192.168.33.0/24
add action=accept chain=prerouting dst-address=10.7.77.0/24 src-address=
192.168.33.0/24
add action=accept chain=prerouting dst-address=10.7.98.0/24 src-address=
192.168.33.0/24
add action=accept chain=prerouting disabled=yes dst-address=10.7.78.0/24
src-address=192.168.55.0/24
add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=
10.7.77.0/24
3. Vytváříme popis připojení uživatele
/ip ipsec identity
add auth-method=pre-shared-key-xauth notrack-chain=prerouting peer=CO secret=
общий ключ xauth-login=username xauth-password=password
4. Vytváříme IPSEC Proposal
/ip ipsec proposal
add enc-algorithms=3des lifetime=5m name="prop1" pfs-group=none
5. Vytváříme IPSEC Policy
/ip ipsec policy
add dst-address=10.7.76.0/24 level=unique proposal="prop1"
sa-dst-address=<white IP 1072> sa-src-address=0.0.0.0 src-address=
192.168.33.0/24 tunnel=yes
add dst-address=10.7.77.0/24 level=unique proposal="prop1"
sa-dst-address=<white IP 1072> sa-src-address=0.0.0.0 src-address=
192.168.33.0/24 tunnel=yes
6. Vytváříme IPSEC profily
/ip ipsec profile
set [ find default=yes ] dpd-interval=disable-dpd enc-algorithm=
aes-192,aes-128,3des nat-traversal=no
add dh-group=modp1024 enc-algorithm=aes-192,aes-128,3des name=profile_1
add name=profile_88
add dh-group=modp1024 lifetime=4h name=profile246
7. Vytváříme IPSEC peer
/ip ipsec peer
add address=<white IP 1072>/32 local-address=<ваш адрес роутера> name=CO profile=
profile_88
A teď trochu jednoduché magie. Protože se mi nechtělo měnit nastavení na všech zařízeních v domácí síti, musel jsem nějak pověsit DHCP na tu samou síť. Ale je rozumné, že Mikrotik neumožňuje připojit více než jednu adresní pool na jeden bridge, takže jsem našel obcházející možnost, a to tak, že jsem pro notebook jednoduše vytvořil DHCP Lease s ručně zadanými parametry, a protože netmask, gateway & dns také mají čísla voleb v DHCP, tak jsem je uvedl také ručně.
1. DHCP Option
/ip dhcp-server option
add code=3 name=option3-gateway value="'192.168.33.1'"
add code=1 name=option1-netmask value="'255.255.255.0'"
add code=6 name=option6-dns value="'8.8.8.8'"
2. DHCP Lease
/ip dhcp-server lease
add address=192.168.33.4 dhcp-option=
option1-netmask,option3-gateway,option6-dns mac-address=<MAC адрес ноутбука>
Nastavení 1072 je prakticky základní. Při přidělení IP adresy klientovi se však v nastavení uvede, že mu bude přidělena IP adresa zadaná ručně, nikoli z poolu. Pro běžné klienty s osobními počítači je podsíť stejná jako v konfiguraci s Wiki 192.168.55.0/24.
Toto nastavení umožňuje, aby se na PC nepřipojovalo přes externí software, a tunel se automaticky vytváří routerem podle potřeby. Zátěž klientského CAP ac je prakticky minimální, 8-11 % při rychlosti 9-10 MB/s v tunelu.
Veškerá nastavení byla provedena pomocí Winboxu, i když je možné je provádět i prostřednictvím konzole.
Zdroj: habr.com
