God dag alle sammen!
Det har desværre vist sig, at vores virksomhed i løbet af de sidste to år stille og roligt har skiftet over til MikroTik. De primære noder er bygget på CCR1072, mens de lokale forbindelsespunkter til computere er på lidt enklere enheder. Selvfølgelig er der også sammenkobling af netværk via IPSEC tunnel, og i dette tilfælde er opsætningen ret enkel og forårsager ingen vanskeligheder, heldigvis findes der mange materialer online. Men med mobilforbindelse til kunder er der visse vanskeligheder; producentens wiki viser, hvordan man bruger Shrew soft VPN client (angående denne opsætning er alt tydeligt), og netop denne klient bruges af 99% af de brugere, der har fjernadgang, mens 1% er mig. Jeg blev simpelthen træt af at skulle indtaste brugernavn og adgangskode hver gang i klienten og ønskede at slappe af på sofaen med nem forbindelse til arbejdsgnetværkene. Jeg fandt ikke instruktioner til opsætning af MikroTik til situationer, hvor den ikke befinder sig bag en grå adresse, men helt bag en sort, og måske endda bag flere NAT i netværket, så jeg måtte improvisere, og derfor foreslår jeg at se på resultatet.
Der er:
- CCR1072 som hovedenhed. version 6.44.1
- CAP ac som hjemmeforbindelsespunkt. version 6.44.1
Hovedtrækkende ved opsætningen er, at PC'en og MikroTik skal befinde sig i samme netværk med samme adressering, hvilket også tildeles af CCR1072.
Lad os gå videre til opsætningen:
1. Selvfølgelig tænder vi for Fasttrack, men da Fasttrack ikke er kompatibelt med VPN, må vi skære trafik fra det.
/ip firewall mangle
add action=mark-connection chain=forward comment="ipsec in" ipsec-policy=
in,ipsec new-connection-mark=ipsec passthrough=yes
add action=mark-connection chain=forward comment="ipsec out" ipsec-policy=
out,ipsec new-connection-mark=ipsec passthrough=yes
/ip firewall filter add action=fasttrack-connection chain=forward connection-mark=!ipsec
2. Tilføj netværks-ombukninger fra/til hjemme- og arbejdsnetværket
/ip firewall raw
add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=
10.7.76.0/24
add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=
10.7.98.0/24
add action=accept chain=prerouting disabled=yes dst-address=192.168.55.0/24
src-address=10.7.78.0/24
add action=accept chain=prerouting dst-address=10.7.76.0/24 src-address=
192.168.33.0/24
add action=accept chain=prerouting dst-address=10.7.77.0/24 src-address=
192.168.33.0/24
add action=accept chain=prerouting dst-address=10.7.98.0/24 src-address=
192.168.33.0/24
add action=accept chain=prerouting disabled=yes dst-address=10.7.78.0/24
src-address=192.168.55.0/24
add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=
10.7.77.0/24
3. Opret en beskrivelse af brugerforbindelsen
/ip ipsec identity
add auth-method=pre-shared-key-xauth notrack-chain=prerouting peer=CO secret=
общий ключ xauth-login=username xauth-password=password
4. Opret IPSEC Proposal
/ip ipsec proposal
add enc-algorithms=3des lifetime=5m name="prop1" pfs-group=none
5. Opret IPSEC Policy
/ip ipsec policy
add dst-address=10.7.76.0/24 level=unique proposal="prop1"
sa-dst-address=<white IP 1072> sa-src-address=0.0.0.0 src-address=
192.168.33.0/24 tunnel=yes
add dst-address=10.7.77.0/24 level=unique proposal="prop1"
sa-dst-address=<white IP 1072> sa-src-address=0.0.0.0 src-address=
192.168.33.0/24 tunnel=yes
6. Opret IPSEC profil
/ip ipsec profile
set [ find default=yes ] dpd-interval=disable-dpd enc-algorithm=
aes-192,aes-128,3des nat-traversal=no
add dh-group=modp1024 enc-algorithm=aes-192,aes-128,3des name=profile_1
add name=profile_88
add dh-group=modp1024 lifetime=4h name=profile246
7. Opret IPSEC peer
/ip ipsec peer
add address=<white IP 1072>/32 local-address=<ваш адрес роутера> name=CO profile=
profile_88
Og nu lidt simpel magi. Da jeg ikke rigtig ønskede at ændre indstillingerne på alle enhederne i mit hjemmenetværk, måtte jeg finde en måde at tilslutte DHCP til det samme netværk. Det er rimeligt, at MikroTik ikke tillader mere end én adressepulje på en enkelt bro, så jeg fandt en alternativ løsning; jeg oprettede simpelthen en DHCP Lease til min laptop med manuelle indtastninger af parametre, og da netmaske, gateway og DNS også har nummererede muligheder i DHCP, angav jeg dem manuelt.
1. DHCP Option
/ip dhcp-server option
add code=3 name=option3-gateway value="'192.168.33.1'"
add code=1 name=option1-netmask value="'255.255.255.0'"
add code=6 name=option6-dns value="'8.8.8.8'"
2. DHCP Lease
/ip dhcp-server lease
add address=192.168.33.4 dhcp-option=
option1-netmask,option3-gateway,option6-dns mac-address=<MAC адрес ноутбука>
Indstillingen 1072 er praktisk talt grundlæggende; når en IP-adresse tildeles til kunden, angives det i indstillingerne, at den tildelte IP skal være den, der indtastes manuelt, og ikke fra poolen. For almindelige kunder med personlige computere er subnettet det samme som i konfigurationen med Wiki 192.168.55.0/24.
Denne indstilling gør det muligt for PC'en ikke at oprette forbindelse gennem tredjepartssoftware, da tunnelen automatisk oprettes af routeren efter behov. Belastningen på klientens CAP ac er praktisk talt minimal, 8-11% ved en hastighed på 9-10 MB/s i tunnelen.
Alle indstillinger blev udført via Winbox, selvom det også kan gøres med samme succes via konsollen.
Kilde: habr.com
