Kellemes napot mindenkinek!
Úgy alakult, hogy a cégünknél az elmúlt két évben fokozatosan áttérünk a Mikrotik eszközökre. A fő csomópontok a CCR1072-re épülnek, míg a helyi számítógép csatlakozási pontok egyszerűbb eszközökkel működnek. Természetesen van IPSEC alagút használata is, ebben az esetben a beállítás viszonylag egyszerű, és nem okoz nehézséget, hála a sok elérhető anyagnak az interneten. Azonban a mobil ügyfelek csatlakozásával kapcsolatosan vannak bizonyos nehézségek, a gyártó wiki útmutatása azt javasolja, hogy használjunk Shrew Soft VPN klienst (ebben a beállításban minden világos) és ez a kliens használja a távoli hozzáférést kérvényezők 99%-át, míg 1% vagyok én, mert egyszerűen lusta voltam minden alkalommal beírni a felhasználónevet és a jelszót, és vágytam a kényelmes, díványon fekvő és kényelmes csatlakozásra a munkahelyi hálózatokhoz. Nem találtam útmutatót a Mikrotik beállítására olyan helyzetekre, amikor nem is szürke IP címmel, hanem teljesen feketével, és esetleg több NAT mögött van a hálózatban. Ezért improvizálnom kellett, és ezért javaslom, hogy nézd meg az eredményt.
Van:
- CCR1072 mint fő eszköz. verzió 6.44.1
- CAP ac mint házhoz csatlakozó pont. verzió 6.44.1
A beállítás fő jellemzője, hogy a PC-nek és a mikrotiknek ugyanabban a hálózatban kell lennie azonos címezéssel, amelyet a CCR1072 ad.
Térjünk rá a beállításra:
1. Természetesen aktiváljuk a Fasttrack-et, de mivel a VPN nem kompatibilis a Fasttrack-kel, ezért ki kell vonnunk a forgalmát.
/ip firewall mangle
add action=mark-connection chain=forward comment="ipsec in" ipsec-policy=
in,ipsec new-connection-mark=ipsec passthrough=yes
add action=mark-connection chain=forward comment="ipsec out" ipsec-policy=
out,ipsec new-connection-mark=ipsec passthrough=yes
/ip firewall filter add action=fasttrack-connection chain=forward connection-mark=!ipsec
2. Hálózatok átirányítása a házi és munkahelyi hálózatok között
/ip firewall raw
add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=
10.7.76.0/24
add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=
10.7.98.0/24
add action=accept chain=prerouting disabled=yes dst-address=192.168.55.0/24
src-address=10.7.78.0/24
add action=accept chain=prerouting dst-address=10.7.76.0/24 src-address=
192.168.33.0/24
add action=accept chain=prerouting dst-address=10.7.77.0/24 src-address=
192.168.33.0/24
add action=accept chain=prerouting dst-address=10.7.98.0/24 src-address=
192.168.33.0/24
add action=accept chain=prerouting disabled=yes dst-address=10.7.78.0/24
src-address=192.168.55.0/24
add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=
10.7.77.0/24
3. Felhasználói csatlakozás leírásának létrehozása
/ip ipsec identity
add auth-method=pre-shared-key-xauth notrack-chain=prerouting peer=CO secret=
общий ключ xauth-login=username xauth-password=password
4. IPSEC Javaslat létrehozása
/ip ipsec proposal
add enc-algorithms=3des lifetime=5m name="prop1" pfs-group=none
5. IPSEC Politika létrehozása
/ip ipsec policy
add dst-address=10.7.76.0/24 level=unique proposal="prop1"
sa-dst-address=<white IP 1072> sa-src-address=0.0.0.0 src-address=
192.168.33.0/24 tunnel=yes
add dst-address=10.7.77.0/24 level=unique proposal="prop1"
sa-dst-address=<white IP 1072> sa-src-address=0.0.0.0 src-address=
192.168.33.0/24 tunnel=yes
6. IPSEC profil létrehozása
/ip ipsec profile
set [ find default=yes ] dpd-interval=disable-dpd enc-algorithm=
aes-192,aes-128,3des nat-traversal=no
add dh-group=modp1024 enc-algorithm=aes-192,aes-128,3des name=profile_1
add name=profile_88
add dh-group=modp1024 lifetime=4h name=profile246
7. IPSEC peer létrehozása
/ip ipsec peer
add address=<white IP 1072>/32 local-address=<ваш адрес роутера> name=CO profile=
profile_88
Most pedig egy kis egyszerű varázslat. Mivel nem igazán akartam megváltoztatni a beállításokat minden eszközön a házi hálózatban, valahogy DHCP-t kellett hozzárendelni ugyanahhoz a hálózathoz, de ésszerűen, mivel a Mikrotik nem engedélyezi több címzési tartomány használatát egy bridge-en, ezért találtam egy megoldást, pontosan a laptop számára egyszerűen létrehoztam a DHCP Lease-t kézi paramétermegadás mellett, és mivel a netmask, gateway & dns is rendelkezik DHCP opció számokkal, így azokat is kézzel adtam meg.
1. DHCP Opció
/ip dhcp-server option
add code=3 name=option3-gateway value="'192.168.33.1'"
add code=1 name=option1-netmask value="'255.255.255.0'"
add code=6 name=option6-dns value="'8.8.8.8'"
2. DHCP Lease
/ip dhcp-server lease
add address=192.168.33.4 dhcp-option=
option1-netmask,option3-gateway,option6-dns mac-address=<MAC адрес ноутбука>
A 1072 beállítás gyakorlatilag alapértelmezett, csupán annyiban tér el, hogy az IP cím kiadásakor meg kell adni, hogy manuálisan bevitt IP címet adjon a kliensnek, ne pedig egy helyről. Az átlagos ügyfelek számára, akik személyi számítógépről csatlakoznak, a subnet azonos a Wiki konfigurációjával: 192.168.55.0/24.
Ez a beállítás lehetővé teszi, hogy a számítógép ne külső szoftverekkel csatlakozzon, a tunnel automatikusan felépül a router által, amikor szükséges. A kliens CAP ac terhelése gyakorlatilag minimális, 8-11% a 9-10 MB/s sebességgel a tunnelben.
Minden beállítást a Winbox-on keresztül végeztek el, bár ugyanazzal a sikerrel végezhetők a konzolon is.
Forrás: habr.com
