Dobar dan svima!
Naša je kompanija tokom posljednje dvije godine postupno prešla na MikroTik uređaje. Glavni čvorovi su napravljeni na CCR1072, a lokalne tačke za povezivanje računala koriste jednostavnije uređaje. Naravno, postoji i spajanje mreža putem IPSEC tunela, u tom slučaju postavka je prilično jednostavna i ne predstavlja nikakve poteškoće, s obzirom na to da postoji mnoštvo materijala na mreži. Međutim, s mobilnim povezivanjem klijenata postoje određene poteškoće; proizvođačka wiki sugerira kako koristiti Shrew soft VPN klijent (kod ove postavke sve izgleda jasno) i upravo ovaj klijent koristi 99% korisnika udaljenog pristupa, dok je 1% moj, jer mi se jednostavno nije dalo svaki put unositi korisničko ime i lozinku u klijent i poželio sam udobno ležanje na sofi i praktično povezivanje s radnim mrežama. Nisam našao upute za postavljanje MikroTik-a za situacije kada se nalazi ne samo iza sive adrese, nego potpuno iza crne, i možda čak i s više NAT-a u mreži. Zbog toga sam morao improvizirati, pa predlažem da zavirite u rezultat.
Postoji:
- CCR1072 kao glavni uređaj. verzija 6.44.1
- CAP ac kao kućna pristupna tačka. verzija 6.44.1
Glavna značajka postavke je da PC i MikroTik moraju biti u istoj mreži s istom adresacijom, koju dodjeljuje glavni 1072.
Prelazimo na postavku:
1. Naravno, uključujemo Fasttrack, ali budući da nije kompatibilan s VPN-om, moramo izuzeti njegov promet.
/ip firewall mangle
add action=mark-connection chain=forward comment="ipsec in" ipsec-policy=
in,ipsec new-connection-mark=ipsec passthrough=yes
add action=mark-connection chain=forward comment="ipsec out" ipsec-policy=
out,ipsec new-connection-mark=ipsec passthrough=yes
/ip firewall filter add action=fasttrack-connection chain=forward connection-mark=!ipsec
2. Dodajemo prosljedeće mrežne portove iz/za kućnu i radnu mrežu
/ip firewall raw
add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=
10.7.76.0/24
add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=
10.7.98.0/24
add action=accept chain=prerouting disabled=yes dst-address=192.168.55.0/24
src-address=10.7.78.0/24
add action=accept chain=prerouting dst-address=10.7.76.0/24 src-address=
192.168.33.0/24
add action=accept chain=prerouting dst-address=10.7.77.0/24 src-address=
192.168.33.0/24
add action=accept chain=prerouting dst-address=10.7.98.0/24 src-address=
192.168.33.0/24
add action=accept chain=prerouting disabled=yes dst-address=10.7.78.0/24
src-address=192.168.55.0/24
add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=
10.7.77.0/24
3. Kreiramo opis korisničke konekcije
/ip ipsec identity
add auth-method=pre-shared-key-xauth notrack-chain=prerouting peer=CO secret=
общий ключ xauth-login=username xauth-password=password
4. Kreiramo IPSEC prijedlog
/ip ipsec proposal
add enc-algorithms=3des lifetime=5m name="prop1" pfs-group=none
5. Kreiramo IPSEC politiku
/ip ipsec policy
add dst-address=10.7.76.0/24 level=unique proposal="prop1"
sa-dst-address=<white IP 1072> sa-src-address=0.0.0.0 src-address=
192.168.33.0/24 tunnel=yes
add dst-address=10.7.77.0/24 level=unique proposal="prop1"
sa-dst-address=<white IP 1072> sa-src-address=0.0.0.0 src-address=
192.168.33.0/24 tunnel=yes
6. Kreiramo IPSEC profil
/ip ipsec profile
set [ find default=yes ] dpd-interval=disable-dpd enc-algorithm=
aes-192,aes-128,3des nat-traversal=no
add dh-group=modp1024 enc-algorithm=aes-192,aes-128,3des name=profile_1
add name=profile_88
add dh-group=modp1024 lifetime=4h name=profile246
7. Kreiramo IPSEC partnera
/ip ipsec peer
add address=<white IP 1072>/32 local-address=<ваш адрес роутера> name=CO profile=
profile_88
A sada malo jednostavne magije. Budući da mi nije baš bilo drago mijenjati postavke na svim uređajima u kućnoj mreži, trebala su mi nekakva rješenja za primjenu DHCP-a na istoj mreži, ali razmjerno je da MikroTik ne dopušta više od jednog adresnog opsega na jednom bridge-u, pa sam našao zaobilazno rješenje — za laptop sam jednostavno kreirao DHCP najam s ručno definiranim parametrima, a budući da netmask, gateway & dns također imaju opcijske brojeve u DHCP-u, sve sam ih naveo ručno.
1. DHCP opcija
/ip dhcp-server option
add code=3 name=option3-gateway value="'192.168.33.1'"
add code=1 name=option1-netmask value="'255.255.255.0'"
add code=6 name=option6-dns value="'8.8.8.8'"
2. DHCP najam
/ip dhcp-server lease
add address=192.168.33.4 dhcp-option=
option1-netmask,option3-gateway,option6-dns mac-address=<MAC адрес ноутбука>
Podešavanje 1072 je praktički osnovno, samo što se prilikom dodjele IP adrese klijentu u postavkama navodi da se dodijeli ručno unesena IP adresa, a ne iz raspoloživog skupa. Za obične klijente s osobnih računala, podmreža je ista kao u konfiguraciji s Wiki 192.168.55.0/24.
Ova postavka omogućava da se na računalu ne povezujete preko treće strane, a tunel se automatski otvara putem usmjerivača po potrebi. Opterećenje klijentskog CAP ac je praktički minimalno, 8-11% pri brzini od 9-10MB/s u tunelu.
Sve postavke su rađene putem Winbox-a, iako ih je moguće provoditi i kroz konzolu.
Izvor: habr.com
