מיקרויק. IPSEC vpn מאחורי NAT ​​כלקוח

יום טוב לכולם!

זה קרה שבחברה שלנו במהלך השנתיים האחרונות עברנו לאט לאט למיקרוטיקה. הצמתים הראשיים בנויים על CCR1072, ונקודות חיבור מקומיות למחשבים במכשירים פשוטות יותר. כמובן שיש גם שילוב של רשתות דרך מנהרת IPSEC, במקרה זה ההגדרה די פשוטה ואינה מעוררת קשיים מאחר ויש הרבה חומרים ברשת. אבל יש קשיים מסוימים עם החיבור הנייד של לקוחות, הוויקי של היצרן אומר לך איך להשתמש בלקוח ה-VPN הרך של Shrew (נראה שהכל ברור עם ההגדרה הזו) וזה הלקוח שמשמש 99% ממשתמשי הגישה מרחוק , ו-1% זה אני, פשוט התעצלתי מדי כל אחד פשוט הזן את הכניסה והסיסמה בלקוח ורציתי מיקום עצלן על הספה וחיבור נוח לרשתות העבודה. לא מצאתי הוראות להגדרת Mikrotik למצבים שבהם הוא אפילו לא מאחורי כתובת אפורה, אלא לגמרי מאחורי כתובת שחורה ואולי אפילו כמה NATs ברשת. לכן, הייתי צריך לאלתר, ולכן אני מציע להסתכל על התוצאה.

זמין:

1. CCR1072 כמכשיר ראשי. גרסה 6.44.1
2. CAP ac כנקודת חיבור ביתית. גרסה 6.44.1

המאפיין העיקרי של ההגדרה הוא שהמחשב האישי והמיקרוטיק חייבים להיות באותה רשת עם אותה כתובת, המונפקת על ידי ה-1072 הראשי.

נעבור להגדרות:

1. כמובן שאנו מפעילים את Fasttrack, אבל מכיוון ש-fasttrack אינו תואם ל-vpn, עלינו לחתוך את התעבורה שלו.

/ip firewall mangle
add action=mark-connection chain=forward comment="ipsec in" ipsec-policy=
    in,ipsec new-connection-mark=ipsec passthrough=yes
add action=mark-connection chain=forward comment="ipsec out" ipsec-policy=
    out,ipsec new-connection-mark=ipsec passthrough=yes
/ip firewall filter add action=fasttrack-connection chain=forward connection-mark=!ipsec

2. הוספת העברת רשת מ/אל הבית והעבודה

/ip firewall raw
add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=
    10.7.76.0/24
add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=
    10.7.98.0/24
add action=accept chain=prerouting disabled=yes dst-address=192.168.55.0/24 
    src-address=10.7.78.0/24
add action=accept chain=prerouting dst-address=10.7.76.0/24 src-address=
    192.168.33.0/24
add action=accept chain=prerouting dst-address=10.7.77.0/24 src-address=
    192.168.33.0/24
add action=accept chain=prerouting dst-address=10.7.98.0/24 src-address=
    192.168.33.0/24
add action=accept chain=prerouting disabled=yes dst-address=10.7.78.0/24 
    src-address=192.168.55.0/24
add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=
    10.7.77.0/24

3. צור תיאור חיבור משתמש

/ip ipsec identity
add auth-method=pre-shared-key-xauth notrack-chain=prerouting peer=CO secret=
    общий ключ xauth-login=username xauth-password=password

4. צור הצעת IPSEC

/ip ipsec proposal
add enc-algorithms=3des lifetime=5m name="prop1" pfs-group=none

5. צור מדיניות IPSEC

/ip ipsec policy
add dst-address=10.7.76.0/24 level=unique proposal="prop1" 
    sa-dst-address=<white IP 1072> sa-src-address=0.0.0.0 src-address=
    192.168.33.0/24 tunnel=yes
add dst-address=10.7.77.0/24 level=unique proposal="prop1" 
    sa-dst-address=<white IP 1072> sa-src-address=0.0.0.0 src-address=
    192.168.33.0/24 tunnel=yes

6. צור פרופיל IPSEC

/ip ipsec profile
set [ find default=yes ] dpd-interval=disable-dpd enc-algorithm=
    aes-192,aes-128,3des nat-traversal=no
add dh-group=modp1024 enc-algorithm=aes-192,aes-128,3des name=profile_1
add name=profile_88
add dh-group=modp1024 lifetime=4h name=profile246

7. צור עמית IPSEC

/ip ipsec peer
add address=<white IP 1072>/32 local-address=<ваш адрес роутера> name=CO profile=
    profile_88

עכשיו לקצת קסם פשוט. מכיוון שלא ממש רציתי לשנות את ההגדרות בכל המכשירים ברשת הביתית שלי, נאלצתי איכשהו לתלות DHCP באותה רשת, אבל זה סביר שמיקרוטיק לא מאפשרת לתלות יותר ממאגר כתובות אחד על גשר אחד , אז מצאתי דרך לעקיפת הבעיה, כלומר עבור מחשב נייד, פשוט יצרתי DHCP Lease עם פרמטרים ידניים, ומכיוון של Netmask, gateway ו-dns יש גם מספרי אפשרויות ב-DHCP, ציינתי אותם באופן ידני.

1. אפשרויות DHCP

/ip dhcp-server option
add code=3 name=option3-gateway value="'192.168.33.1'"
add code=1 name=option1-netmask value="'255.255.255.0'"
add code=6 name=option6-dns value="'8.8.8.8'"

2.חכירה של DHCP

/ip dhcp-server lease
add address=192.168.33.4 dhcp-option=
    option1-netmask,option3-gateway,option6-dns mac-address=<MAC адрес ноутбука>

יחד עם זאת, הגדרת 1072 היא בסיסית מעשית, רק כאשר מוציאים כתובת IP ללקוח בהגדרות מצויין כי יש למסור לו את כתובת ה-IP שהוזנה ידנית, ולא מהמאגר. עבור לקוחות PC רגילים, רשת המשנה זהה לתצורת Wiki 192.168.55.0/24.

הגדרה כזו מאפשרת לא להתחבר למחשב האישי באמצעות תוכנת צד שלישי, והמנהרה עצמה מוגבהת על ידי הנתב לפי הצורך. העומס של הלקוח CAP ac הוא כמעט מינימלי, 8-11% במהירות של 9-10MB/s במנהרה.

כל ההגדרות בוצעו דרך Winbox, אם כי באותה הצלחה ניתן לעשות זאת דרך הקונסולה.

מקור: www.habr.com