🥇मिक्रोइक. क्लाइंट के रूप में NAT के पीछे IPSEC वीपीएन

सभी को शुभ दिन!

ऐसा हुआ कि हमारी कंपनी में पिछले दो वर्षों में हम धीरे-धीरे माइक्रोटिक्स पर स्विच कर रहे हैं। मुख्य नोड्स CCR1072 पर बनाए गए हैं, और उपकरणों पर कंप्यूटर के लिए स्थानीय कनेक्शन बिंदु सरल हैं। बेशक, आईपीएसईसी सुरंग के माध्यम से नेटवर्क का एक संयोजन भी है, इस मामले में, सेटअप काफी सरल है और इससे कोई कठिनाई नहीं होती है, क्योंकि नेटवर्क पर बहुत सारी सामग्रियां हैं। लेकिन ग्राहकों के मोबाइल कनेक्शन के साथ कुछ कठिनाइयां हैं, निर्माता का विकी आपको बताता है कि श्रू सॉफ्ट वीपीएन क्लाइंट का उपयोग कैसे करें (इस सेटिंग के साथ सब कुछ स्पष्ट प्रतीत होता है) और यह वह क्लाइंट है जिसका उपयोग 99% रिमोट एक्सेस उपयोगकर्ताओं द्वारा किया जाता है , और 1% मैं हूं, मैं क्लाइंट में लॉगिन और पासवर्ड दर्ज करने में बहुत आलसी था और मैं सोफे पर एक आलसी स्थान और कार्य नेटवर्क के लिए सुविधाजनक कनेक्शन चाहता था। मुझे उन स्थितियों के लिए मिकरोटिक को कॉन्फ़िगर करने के निर्देश नहीं मिले जब यह एक ग्रे पते के पीछे भी नहीं है, लेकिन पूरी तरह से एक काले पते के पीछे है और शायद नेटवर्क पर कई NAT भी हैं। इसलिए, मुझे सुधार करना पड़ा, और इसलिए मैं परिणाम को देखने का प्रस्ताव करता हूं।

उपलब्ध:

मुख्य उपकरण के रूप में CCR1072। संस्करण 6.44.1
घरेलू कनेक्शन बिंदु के रूप में सीएपी एसी। संस्करण 6.44.1

सेटिंग की मुख्य विशेषता यह है कि पीसी और मिकरोटिक को समान एड्रेसिंग के साथ एक ही नेटवर्क पर होना चाहिए, जो मुख्य 1072 द्वारा जारी किया जाता है।

चलिए सेटिंग्स पर चलते हैं:

1. बेशक हम फास्टट्रैक चालू करते हैं, लेकिन चूंकि फास्टट्रैक वीपीएन के साथ संगत नहीं है, इसलिए हमें इसके ट्रैफिक में कटौती करनी होगी।

/ip firewall mangle
add action=mark-connection chain=forward comment="ipsec in" ipsec-policy=
    in,ipsec new-connection-mark=ipsec passthrough=yes
add action=mark-connection chain=forward comment="ipsec out" ipsec-policy=
    out,ipsec new-connection-mark=ipsec passthrough=yes
/ip firewall filter add action=fasttrack-connection chain=forward connection-mark=!ipsec

2. घर और कार्यस्थल से/तक नेटवर्क अग्रेषण जोड़ना

/ip firewall raw
add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=
    10.7.76.0/24
add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=
    10.7.98.0/24
add action=accept chain=prerouting disabled=yes dst-address=192.168.55.0/24 
    src-address=10.7.78.0/24
add action=accept chain=prerouting dst-address=10.7.76.0/24 src-address=
    192.168.33.0/24
add action=accept chain=prerouting dst-address=10.7.77.0/24 src-address=
    192.168.33.0/24
add action=accept chain=prerouting dst-address=10.7.98.0/24 src-address=
    192.168.33.0/24
add action=accept chain=prerouting disabled=yes dst-address=10.7.78.0/24 
    src-address=192.168.55.0/24
add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=
    10.7.77.0/24

3. उपयोगकर्ता कनेक्शन विवरण बनाएं

/ip ipsec identity
add auth-method=pre-shared-key-xauth notrack-chain=prerouting peer=CO secret=
    общий ключ xauth-login=username xauth-password=password

4. एक आईपीएसईसी प्रस्ताव बनाएं

/ip ipsec proposal
add enc-algorithms=3des lifetime=5m name="prop1" pfs-group=none

5. एक आईपीएसईसी नीति बनाएं

/ip ipsec policy
add dst-address=10.7.76.0/24 level=unique proposal="prop1" 
    sa-dst-address=<white IP 1072> sa-src-address=0.0.0.0 src-address=
    192.168.33.0/24 tunnel=yes
add dst-address=10.7.77.0/24 level=unique proposal="prop1" 
    sa-dst-address=<white IP 1072> sa-src-address=0.0.0.0 src-address=
    192.168.33.0/24 tunnel=yes

6. एक आईपीएसईसी प्रोफ़ाइल बनाएं

/ip ipsec profile
set [ find default=yes ] dpd-interval=disable-dpd enc-algorithm=
    aes-192,aes-128,3des nat-traversal=no
add dh-group=modp1024 enc-algorithm=aes-192,aes-128,3des name=profile_1
add name=profile_88
add dh-group=modp1024 lifetime=4h name=profile246

7. एक आईपीएसईसी पीयर बनाएं

/ip ipsec peer
add address=<white IP 1072>/32 local-address=<ваш адрес роутера> name=CO profile=
    profile_88

अब कुछ सरल जादू के लिए. चूँकि मैं वास्तव में अपने होम नेटवर्क पर सभी उपकरणों पर सेटिंग्स बदलना नहीं चाहता था, इसलिए मुझे किसी तरह उसी नेटवर्क पर डीएचसीपी को लटकाना पड़ा, लेकिन यह उचित है कि मिकरोटिक आपको एक ब्रिज पर एक से अधिक एड्रेस पूल को लटकाने की अनुमति नहीं देता है। , इसलिए मुझे एक वर्कअराउंड मिला, अर्थात् एक लैपटॉप के लिए, मैंने मैन्युअल मापदंडों के साथ डीएचसीपी लीज बनाया, और चूंकि नेटमास्क, गेटवे और डीएनएस के पास डीएचसीपी में विकल्प संख्याएं भी हैं, इसलिए मैंने उन्हें मैन्युअल रूप से निर्दिष्ट किया।

1.डीएचसीपी विकल्प

/ip dhcp-server option
add code=3 name=option3-gateway value="'192.168.33.1'"
add code=1 name=option1-netmask value="'255.255.255.0'"
add code=6 name=option6-dns value="'8.8.8.8'"

2.डीएचसीपी पट्टा

/ip dhcp-server lease
add address=192.168.33.4 dhcp-option=
    option1-netmask,option3-gateway,option6-dns mac-address=<MAC адрес ноутбука>

साथ ही, 1072 सेट करना व्यावहारिक रूप से बुनियादी है, केवल क्लाइंट को आईपी एड्रेस जारी करते समय सेटिंग्स में यह संकेत दिया जाता है कि आईपी एड्रेस मैन्युअल रूप से दर्ज किया गया है, न कि पूल से, उसे दिया जाना चाहिए। नियमित पीसी क्लाइंट के लिए, सबनेट विकी कॉन्फ़िगरेशन 192.168.55.0/24 के समान है।

ऐसी सेटिंग आपको तृतीय-पक्ष सॉफ़्टवेयर के माध्यम से पीसी से कनेक्ट करने की अनुमति नहीं देती है, और आवश्यकतानुसार सुरंग को राउटर द्वारा ही ऊपर उठाया जाता है। टनल में 8-11MB/s की गति पर क्लाइंट CAP AC का लोड लगभग न्यूनतम, 9-10% है।

सभी सेटिंग्स Winbox के माध्यम से की गई थीं, हालाँकि उतनी ही सफलता के साथ इसे कंसोल के माध्यम से भी किया जा सकता है।

स्रोत: www.habr.com

mikroik. क्लाइंट के रूप में NAT के पीछे IPSEC वीपीएन

एक टिप्पणी जोड़ें उत्तर रद्द