Diwrnod da i bawb!
Mae'n digwydd ein bod ni yn ein cwmni wedi bod yn newid yn raddol i sglodion Mikrotik dros y ddwy flynedd ddiwethaf. Mae'r prif nodau wedi'u hadeiladu ar CCR1072, tra bod pwyntiau cysylltu cyfrifiadurol lleol ar ddyfeisiau symlach. Wrth gwrs, rydym hefyd yn cynnig integreiddio rhwydwaith trwy dwneli IPSEC; yn yr achos hwn, mae'r gosodiad yn eithaf syml a syml, diolch i'r doreth o adnoddau sydd ar gael ar-lein. Fodd bynnag, mae cysylltiadau cleientiaid symudol yn cyflwyno rhai heriau; mae wici'r gwneuthurwr yn esbonio sut i ddefnyddio Shrew soft. VPN cleient (mae'r gosodiad hwn yn ymddangos yn hunanesboniadol), a dyma'r cleient a ddefnyddir gan 99% o ddefnyddwyr mynediad o bell, a'r 1% sy'n weddill yw fi. Doeddwn i ddim yn gallu trafferthu nodi fy mewngofnod a'm cyfrinair bob tro, ac roeddwn i eisiau profiad tatws soffa mwy hamddenol a mwy cyfforddus gyda chysylltiadau cyfleus â rhwydweithiau gwaith. Doeddwn i ddim yn gallu dod o hyd i unrhyw gyfarwyddiadau ar gyfer ffurfweddu Mikrotik ar gyfer sefyllfaoedd lle mae wedi'i leoli nid hyd yn oed y tu ôl i gyfeiriad preifat, ond y tu ôl i un sydd wedi'i restru'n llwyr, ac efallai hyd yn oed gyda nifer o NATs ar y rhwydwaith. Felly roedd yn rhaid i mi fyrfyfyrio, ac awgrymaf eich bod chi'n edrych ar y canlyniadau.
Ar gael:
- CCR1072 fel prif ddyfais. fersiwn 6.44.1
- CAP c fel pwynt cyswllt cartref. fersiwn 6.44.1
Prif nodwedd y lleoliad yw bod yn rhaid i'r PC a Mikrotik fod ar yr un rhwydwaith gyda'r un cyfeiriad, a gyhoeddir gan y prif 1072.
Gadewch i ni symud ymlaen i'r gosodiadau:
1. Wrth gwrs rydym yn troi Fasttrack ymlaen, ond gan nad yw fasttrack yn gydnaws â vpn, mae'n rhaid i ni dorri ei draffig.
/ip firewall mangle
add action=mark-connection chain=forward comment="ipsec in" ipsec-policy=
in,ipsec new-connection-mark=ipsec passthrough=yes
add action=mark-connection chain=forward comment="ipsec out" ipsec-policy=
out,ipsec new-connection-mark=ipsec passthrough=yes
/ip firewall filter add action=fasttrack-connection chain=forward connection-mark=!ipsec
2. Ychwanegu rhwydwaith ymlaen o / i gartref a gwaith
/ip firewall raw
add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=
10.7.76.0/24
add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=
10.7.98.0/24
add action=accept chain=prerouting disabled=yes dst-address=192.168.55.0/24
src-address=10.7.78.0/24
add action=accept chain=prerouting dst-address=10.7.76.0/24 src-address=
192.168.33.0/24
add action=accept chain=prerouting dst-address=10.7.77.0/24 src-address=
192.168.33.0/24
add action=accept chain=prerouting dst-address=10.7.98.0/24 src-address=
192.168.33.0/24
add action=accept chain=prerouting disabled=yes dst-address=10.7.78.0/24
src-address=192.168.55.0/24
add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=
10.7.77.0/24
3. Creu disgrifiad cysylltiad defnyddiwr
/ip ipsec identity
add auth-method=pre-shared-key-xauth notrack-chain=prerouting peer=CO secret=
общий ключ xauth-login=username xauth-password=password
4. Creu Cynnig IPSEC
/ip ipsec proposal
add enc-algorithms=3des lifetime=5m name="prop1" pfs-group=none
5. Creu Polisi IPSEC
/ip ipsec policy
add dst-address=10.7.76.0/24 level=unique proposal="prop1"
sa-dst-address=<white IP 1072> sa-src-address=0.0.0.0 src-address=
192.168.33.0/24 tunnel=yes
add dst-address=10.7.77.0/24 level=unique proposal="prop1"
sa-dst-address=<white IP 1072> sa-src-address=0.0.0.0 src-address=
192.168.33.0/24 tunnel=yes
6. Creu proffil IPSEC
/ip ipsec profile
set [ find default=yes ] dpd-interval=disable-dpd enc-algorithm=
aes-192,aes-128,3des nat-traversal=no
add dh-group=modp1024 enc-algorithm=aes-192,aes-128,3des name=profile_1
add name=profile_88
add dh-group=modp1024 lifetime=4h name=profile246
7. Creu cyfoedion IPSEC
/ip ipsec peer
add address=<white IP 1072>/32 local-address=<ваш адрес роутера> name=CO profile=
profile_88
Nawr am ychydig o hud syml. Gan nad oeddwn wir eisiau newid y gosodiadau ar bob dyfais ar fy rhwydwaith cartref, roedd yn rhaid i mi hongian DHCP ar yr un rhwydwaith rywsut, ond mae'n rhesymol nad yw Mikrotik yn caniatáu ichi hongian mwy nag un pwll cyfeiriadau ar un bont, felly fe wnes i ddod o hyd i ateb, sef ar gyfer gliniadur, rydw i newydd greu DHCP Lease gyda pharamedrau llaw, a chan fod gan netmask, porth a dns hefyd rifau opsiwn yn DHCP, fe wnes i eu nodi â llaw.
Opsiynau 1.DHCP
/ip dhcp-server option
add code=3 name=option3-gateway value="'192.168.33.1'"
add code=1 name=option1-netmask value="'255.255.255.0'"
add code=6 name=option6-dns value="'8.8.8.8'"
prydles 2.DHCP
/ip dhcp-server lease
add address=192.168.33.4 dhcp-option=
option1-netmask,option3-gateway,option6-dns mac-address=<MAC адрес ноутбука>
Ar yr un pryd, mae gosodiad 1072 yn ymarferol sylfaenol, dim ond wrth roi cyfeiriad IP i gleient yn y gosodiadau y nodir y dylid rhoi'r cyfeiriad IP a gofnodwyd â llaw, ac nid o'r pwll, iddo. Ar gyfer cleientiaid PC rheolaidd, mae'r is-rwydwaith yr un fath â ffurfwedd Wiki 192.168.55.0/24.
Mae gosodiad o'r fath yn caniatáu ichi beidio â chysylltu â'r PC trwy feddalwedd trydydd parti, ac mae'r twnnel ei hun yn cael ei godi gan y llwybrydd yn ôl yr angen. Mae llwyth y cleient PAC cerrynt eiledol bron yn fach iawn, 8-11% ar gyflymder o 9-10MB / s yn y twnnel.
Gwnaed yr holl leoliadau trwy Winbox, er gyda'r un llwyddiant gellir ei wneud trwy'r consol.
Ffynhonnell: hab.com
