მიკროიკ. IPSEC vpn NAT-ის, როგორც კლიენტის უკან

ყველას კარგი დღე!

შემთხვევით, ჩვენს კომპანიაში ბოლო ორი წლის განმავლობაში თანდათანობით გადავედით Mikrotik-ის ჩიპებზე. ძირითადი კვანძები აგებულია CCR1072-ზე, ხოლო ლოკალური კომპიუტერის შეერთების წერტილები უფრო მარტივ მოწყობილობებზეა. რა თქმა უნდა, ჩვენ ასევე გთავაზობთ ქსელურ ინტეგრაციას IPSEC გვირაბების საშუალებით; ამ შემთხვევაში, დაყენება საკმაოდ მარტივი და გასაგებია, ონლაინ ხელმისაწვდომი რესურსების სიმრავლის წყალობით. თუმცა, მობილური კლიენტების კავშირები გარკვეულ სირთულეებს წარმოშობს; მწარმოებლის ვიკიში ახსნილია, თუ როგორ გამოიყენოთ Shrew soft. VPN კლიენტი (ეს დაყენება თავისთავად გასაგები ჩანს) და ეს არის კლიენტი, რომელსაც დისტანციური წვდომის მომხმარებელთა 99% იყენებს, ხოლო დარჩენილი 1% მე ვარ. უბრალოდ ვერ ვიტანდი ჩემი მომხმარებლის სახელისა და პაროლის ყოველ ჯერზე შეყვანას და მინდოდა უფრო მოდუნებული, უფრო კომფორტული „დივნ-პოტატ“ გამოცდილება სამუშაო ქსელებთან მოსახერხებელი კავშირებით. ვერ ვიპოვე Mikrotik-ის კონფიგურაციის ინსტრუქცია იმ სიტუაციებისთვის, როდესაც ის მდებარეობს არა პირადი მისამართის უკან, არამედ მთლიანად შავ სიაში შეტანილი მისამართის უკან და შესაძლოა ქსელში რამდენიმე NAT-ის არსებობის შემთხვევაშიც კი. ამიტომ, მომიწია იმპროვიზაცია და გირჩევთ, შედეგებს გადახედოთ.

ხელმისაწვდომია:

1. CCR1072, როგორც მთავარი მოწყობილობა. ვერსია 6.44.1
2. CAP ac, როგორც სახლის კავშირის წერტილი. ვერსია 6.44.1

პარამეტრის მთავარი მახასიათებელია ის, რომ კომპიუტერი და Mikrotik უნდა იყვნენ ერთსა და იმავე ქსელში, იგივე მისამართებით, რომელიც გაცემულია მთავარი 1072-ით.

მოდით გადავიდეთ პარამეტრებზე:

1. რა თქმა უნდა ჩავრთავთ Fasttrack-ს, მაგრამ რადგან fasttrack არ არის თავსებადი vpn-თან, გვიწევს მისი ტრაფიკის შემცირება.

/ip firewall mangle
add action=mark-connection chain=forward comment="ipsec in" ipsec-policy=
    in,ipsec new-connection-mark=ipsec passthrough=yes
add action=mark-connection chain=forward comment="ipsec out" ipsec-policy=
    out,ipsec new-connection-mark=ipsec passthrough=yes
/ip firewall filter add action=fasttrack-connection chain=forward connection-mark=!ipsec

2. ქსელის გადამისამართების დამატება სახლსა და სამსახურში

/ip firewall raw
add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=
    10.7.76.0/24
add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=
    10.7.98.0/24
add action=accept chain=prerouting disabled=yes dst-address=192.168.55.0/24 
    src-address=10.7.78.0/24
add action=accept chain=prerouting dst-address=10.7.76.0/24 src-address=
    192.168.33.0/24
add action=accept chain=prerouting dst-address=10.7.77.0/24 src-address=
    192.168.33.0/24
add action=accept chain=prerouting dst-address=10.7.98.0/24 src-address=
    192.168.33.0/24
add action=accept chain=prerouting disabled=yes dst-address=10.7.78.0/24 
    src-address=192.168.55.0/24
add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=
    10.7.77.0/24

3. შექმენით მომხმარებლის კავშირის აღწერა

/ip ipsec identity
add auth-method=pre-shared-key-xauth notrack-chain=prerouting peer=CO secret=
    общий ключ xauth-login=username xauth-password=password

4. შექმენით IPSEC წინადადება

/ip ipsec proposal
add enc-algorithms=3des lifetime=5m name="prop1" pfs-group=none

5. შექმენით IPSEC პოლიტიკა

/ip ipsec policy
add dst-address=10.7.76.0/24 level=unique proposal="prop1" 
    sa-dst-address=<white IP 1072> sa-src-address=0.0.0.0 src-address=
    192.168.33.0/24 tunnel=yes
add dst-address=10.7.77.0/24 level=unique proposal="prop1" 
    sa-dst-address=<white IP 1072> sa-src-address=0.0.0.0 src-address=
    192.168.33.0/24 tunnel=yes

6. შექმენით IPSEC პროფილი

/ip ipsec profile
set [ find default=yes ] dpd-interval=disable-dpd enc-algorithm=
    aes-192,aes-128,3des nat-traversal=no
add dh-group=modp1024 enc-algorithm=aes-192,aes-128,3des name=profile_1
add name=profile_88
add dh-group=modp1024 lifetime=4h name=profile246

7. შექმენით IPSEC თანატოლი

/ip ipsec peer
add address=<white IP 1072>/32 local-address=<ваш адрес роутера> name=CO profile=
    profile_88

ახლა რამდენიმე მარტივი მაგია. იმის გამო, რომ მე ნამდვილად არ მინდოდა ჩემი სახლის ქსელის ყველა მოწყობილობის პარამეტრების შეცვლა, მომიწია როგორმე ჩამომეკიდა DHCP იმავე ქსელზე, მაგრამ გონივრულია, რომ Mikrotik არ გაძლევთ საშუალებას დაკიდოთ ერთზე მეტი მისამართის აუზი ერთ ხიდზე. , ასე რომ, ვიპოვე გამოსავალი, კერძოდ ლეპტოპისთვის, უბრალოდ შევქმენი DHCP Lease მექანიკური პარამეტრებით და რადგან netmask, gateway & dns ასევე აქვს ოფციონის ნომრები DHCP-ში, მე დავაზუსტე ისინი ხელით.

1.DHCP ოფციები

/ip dhcp-server option
add code=3 name=option3-gateway value="'192.168.33.1'"
add code=1 name=option1-netmask value="'255.255.255.0'"
add code=6 name=option6-dns value="'8.8.8.8'"

2.DHCP იჯარა

/ip dhcp-server lease
add address=192.168.33.4 dhcp-option=
    option1-netmask,option3-gateway,option6-dns mac-address=<MAC адрес ноутбука>

ამავდროულად, 1072 დაყენება პრაქტიკულად ძირითადია, მხოლოდ პარამეტრებში კლიენტისთვის IP მისამართის გაცემისას მითითებულია, რომ მას უნდა მიეცეს ხელით შეყვანილი IP მისამართი და არა აუზიდან. რეგულარული კომპიუტერის კლიენტებისთვის, ქვექსელი იგივეა, რაც Wiki-ის კონფიგურაცია 192.168.55.0/24.

ასეთი პარამეტრი საშუალებას გაძლევთ არ დაუკავშირდეთ კომპიუტერს მესამე მხარის პროგრამული უზრუნველყოფის საშუალებით და თავად გვირაბი ამაღლებულია როუტერის მიერ საჭიროებისამებრ. კლიენტის CAP ac-ის დატვირთვა თითქმის მინიმალურია, 8-11% გვირაბში 9-10MB/s სიჩქარით.

ყველა პარამეტრი განხორციელდა Winbox-ის საშუალებით, თუმცა იგივე წარმატებით შეიძლება გაკეთდეს კონსოლის მეშვეობით.

წყარო: www.habr.com