mikroik ક્લાયન્ટ તરીકે NAT પાછળ IPSEC vpn

દરેકને શુભ દિવસ!

એવું બને છે કે અમારી કંપનીમાં, અમે છેલ્લા બે વર્ષથી ધીમે ધીમે Mikrotik ચિપ્સ પર સ્વિચ કરી રહ્યા છીએ. મુખ્ય નોડ્સ CCR1072 પર બનેલા છે, જ્યારે સ્થાનિક કમ્પ્યુટર કનેક્શન પોઈન્ટ સરળ ઉપકરણો પર છે. અલબત્ત, અમે IPSEC ટનલ દ્વારા નેટવર્ક એકીકરણ પણ પ્રદાન કરીએ છીએ; આ કિસ્સામાં, સેટઅપ એકદમ સરળ અને સીધું છે, ઓનલાઇન ઉપલબ્ધ સંસાધનોની વિપુલતાને કારણે. જો કે, મોબાઇલ ક્લાયંટ કનેક્શન ચોક્કસ પડકારો રજૂ કરે છે; ઉત્પાદકનું વિકિ સમજાવે છે કે શ્રુ સોફ્ટનો ઉપયોગ કેવી રીતે કરવો. વીપીએન ક્લાયન્ટ (આ સેટઅપ સ્વયં સ્પષ્ટ લાગે છે), અને આ ક્લાયન્ટ 99% રિમોટ એક્સેસ વપરાશકર્તાઓ દ્વારા ઉપયોગમાં લેવાય છે, અને બાકીના 1% હું છું. મને દર વખતે મારું લોગિન અને પાસવર્ડ દાખલ કરવાની તકલીફ પડતી નહોતી, અને હું કાર્ય નેટવર્ક્સ સાથે અનુકૂળ કનેક્શન સાથે વધુ આરામદાયક, વધુ આરામદાયક કોચ પોટેટો અનુભવ ઇચ્છતો હતો. મને એવી પરિસ્થિતિઓ માટે Mikrotik ને ગોઠવવા માટે કોઈ સૂચનાઓ મળી નથી જ્યાં તે ખાનગી સરનામાંની પાછળ પણ નહીં, પરંતુ સંપૂર્ણપણે બ્લેકલિસ્ટેડ સરનામાંની પાછળ સ્થિત હોય, અને કદાચ નેટવર્ક પર બહુવિધ NAT હોય. તેથી મારે ઇમ્પ્રુવાઇઝ કરવું પડ્યું, અને હું સૂચન કરું છું કે તમે પરિણામો પર એક નજર નાખો.

ઉપલબ્ધ:

1. મુખ્ય ઉપકરણ તરીકે CCR1072. સંસ્કરણ 6.44.1
2. હોમ કનેક્શન પોઈન્ટ તરીકે CAP ac. સંસ્કરણ 6.44.1

સેટિંગની મુખ્ય વિશેષતા એ છે કે PC અને Mikrotik એ સમાન સરનામાં સાથે સમાન નેટવર્ક પર હોવા જોઈએ, જે મુખ્ય 1072 દ્વારા જારી કરવામાં આવે છે.

ચાલો સેટિંગ્સ પર આગળ વધીએ:

1. અલબત્ત આપણે ફાસ્ટટ્રેક ચાલુ કરીએ છીએ, પરંતુ ફાસ્ટટ્રેક vpn સાથે સુસંગત ન હોવાથી, અમારે તેનો ટ્રાફિક કાપવો પડશે.

/ip firewall mangle
add action=mark-connection chain=forward comment="ipsec in" ipsec-policy=
    in,ipsec new-connection-mark=ipsec passthrough=yes
add action=mark-connection chain=forward comment="ipsec out" ipsec-policy=
    out,ipsec new-connection-mark=ipsec passthrough=yes
/ip firewall filter add action=fasttrack-connection chain=forward connection-mark=!ipsec

2. ઘર અને કાર્યાલયથી નેટવર્ક ફોરવર્ડિંગ ઉમેરો

/ip firewall raw
add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=
    10.7.76.0/24
add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=
    10.7.98.0/24
add action=accept chain=prerouting disabled=yes dst-address=192.168.55.0/24 
    src-address=10.7.78.0/24
add action=accept chain=prerouting dst-address=10.7.76.0/24 src-address=
    192.168.33.0/24
add action=accept chain=prerouting dst-address=10.7.77.0/24 src-address=
    192.168.33.0/24
add action=accept chain=prerouting dst-address=10.7.98.0/24 src-address=
    192.168.33.0/24
add action=accept chain=prerouting disabled=yes dst-address=10.7.78.0/24 
    src-address=192.168.55.0/24
add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=
    10.7.77.0/24

3. વપરાશકર્તા જોડાણ વર્ણન બનાવો

/ip ipsec identity
add auth-method=pre-shared-key-xauth notrack-chain=prerouting peer=CO secret=
    общий ключ xauth-login=username xauth-password=password

4. IPSEC દરખાસ્ત બનાવો

/ip ipsec proposal
add enc-algorithms=3des lifetime=5m name="prop1" pfs-group=none

5. IPSEC પોલિસી બનાવો

/ip ipsec policy
add dst-address=10.7.76.0/24 level=unique proposal="prop1" 
    sa-dst-address=<white IP 1072> sa-src-address=0.0.0.0 src-address=
    192.168.33.0/24 tunnel=yes
add dst-address=10.7.77.0/24 level=unique proposal="prop1" 
    sa-dst-address=<white IP 1072> sa-src-address=0.0.0.0 src-address=
    192.168.33.0/24 tunnel=yes

6. IPSEC પ્રોફાઇલ બનાવો

/ip ipsec profile
set [ find default=yes ] dpd-interval=disable-dpd enc-algorithm=
    aes-192,aes-128,3des nat-traversal=no
add dh-group=modp1024 enc-algorithm=aes-192,aes-128,3des name=profile_1
add name=profile_88
add dh-group=modp1024 lifetime=4h name=profile246

7. IPSEC પીઅર બનાવો

/ip ipsec peer
add address=<white IP 1072>/32 local-address=<ваш адрес роутера> name=CO profile=
    profile_88

હવે કેટલાક સરળ જાદુ માટે. હું ખરેખર મારા હોમ નેટવર્ક પરના તમામ ઉપકરણો પર સેટિંગ્સ બદલવા માંગતો ન હોવાથી, મારે કોઈક રીતે સમાન નેટવર્ક પર DHCP અટકી જવું પડ્યું, પરંતુ તે વાજબી છે કે Mikrotik તમને એક બ્રિજ પર એક કરતાં વધુ સરનામાં પૂલને લટકાવવાની મંજૂરી આપતું નથી, તેથી મને એક વર્કઅરાઉન્ડ મળ્યો, એટલે કે લેપટોપ માટે, મેં ફક્ત મેન્યુઅલ પેરામીટર્સ સાથે DHCP લીઝ બનાવ્યું, અને નેટમાસ્ક, ગેટવે અને dns પાસે પણ DHCP માં વિકલ્પ નંબરો હોવાથી, મેં તેમને મેન્યુઅલી સ્પષ્ટ કર્યા.

1.DHCP વિકલ્પો

/ip dhcp-server option
add code=3 name=option3-gateway value="'192.168.33.1'"
add code=1 name=option1-netmask value="'255.255.255.0'"
add code=6 name=option6-dns value="'8.8.8.8'"

2.DHCP લીઝ

/ip dhcp-server lease
add address=192.168.33.4 dhcp-option=
    option1-netmask,option3-gateway,option6-dns mac-address=<MAC адрес ноутбука>

તે જ સમયે, સેટિંગ 1072 વ્યવહારીક રીતે મૂળભૂત છે, જ્યારે સેટિંગ્સમાં ક્લાયંટને IP સરનામું જારી કરવામાં આવે ત્યારે જ તે સૂચવવામાં આવે છે કે IP સરનામું મેન્યુઅલી દાખલ કરવામાં આવે છે, અને પૂલમાંથી નહીં, તેને આપવું જોઈએ. નિયમિત પીસી ક્લાયન્ટ્સ માટે, સબનેટ વિકી રૂપરેખાંકન 192.168.55.0/24 જેવું જ છે.

આવી સેટિંગ તમને તૃતીય-પક્ષ સૉફ્ટવેર દ્વારા પીસી સાથે કનેક્ટ ન થવા દે છે, અને ટનલ પોતે જ રાઉટર દ્વારા જરૂરિયાત મુજબ ઊભી કરવામાં આવે છે. ક્લાયંટ CAP ac નો લોડ લગભગ ન્યૂનતમ છે, ટનલમાં 8-11MB/s ની ઝડપે 9-10%.

બધી સેટિંગ્સ વિનબોક્સ દ્વારા કરવામાં આવી હતી, જો કે તે જ સફળતા સાથે તે કન્સોલ દ્વારા કરી શકાય છે.

સોર્સ: www.habr.com