მიკროიკ. IPSEC vpn NAT-ის, როგორც კლიენტის უკან

ყველას კარგი დღე!

ისე მოხდა, რომ ჩვენს კომპანიაში ბოლო ორი წლის განმავლობაში ჩვენ ნელ-ნელა გადავედით მიკროტიკაზე. ძირითადი კვანძები აგებულია CCR1072-ზე და მოწყობილობებზე კომპიუტერების ლოკალური კავშირის წერტილები უფრო მარტივია. რა თქმა უნდა, არსებობს ასევე ქსელების კომბინაცია IPSEC გვირაბის საშუალებით, ამ შემთხვევაში დაყენება საკმაოდ მარტივია და არ იწვევს რაიმე სირთულეს, რადგან ქსელში უამრავი მასალაა. მაგრამ არის გარკვეული სირთულეები კლიენტების მობილურ კავშირთან დაკავშირებით, მწარმოებლის ვიკი გეტყვით, თუ როგორ გამოიყენოთ Shrew soft VPN კლიენტი (ყველაფერი აშკარად ჩანს ამ პარამეტრით) და სწორედ ამ კლიენტს იყენებს დისტანციური წვდომის მომხმარებლების 99%. , და 1% მე ვარ, უბრალოდ ძალიან ზარმაცი ვიყავი თითოეულმა უბრალოდ შეიყვანეთ შესვლა და პაროლი კლიენტში და მინდოდა ზარმაცი ადგილმდებარეობა დივანზე და მოსახერხებელი კავშირი სამუშაო ქსელებთან. მე ვერ ვიპოვე ინსტრუქციები Mikrotik-ის კონფიგურაციისთვის იმ სიტუაციებისთვის, როდესაც ის ნაცრისფერი მისამართის უკან კი არ არის, არამედ მთლიანად შავის უკან და შესაძლოა რამდენიმე NAT-იც კი ქსელში. ამიტომ, იმპროვიზაცია მომიწია და ამიტომ ვთავაზობ შედეგს შევხედო.

ხელმისაწვდომია:

1. CCR1072, როგორც მთავარი მოწყობილობა. ვერსია 6.44.1
2. CAP ac, როგორც სახლის კავშირის წერტილი. ვერსია 6.44.1

პარამეტრის მთავარი მახასიათებელია ის, რომ კომპიუტერი და Mikrotik უნდა იყვნენ ერთსა და იმავე ქსელში, იგივე მისამართებით, რომელიც გაცემულია მთავარი 1072-ით.

მოდით გადავიდეთ პარამეტრებზე:

1. რა თქმა უნდა ჩავრთავთ Fasttrack-ს, მაგრამ რადგან fasttrack არ არის თავსებადი vpn-თან, გვიწევს მისი ტრაფიკის შემცირება.

/ip firewall mangle
add action=mark-connection chain=forward comment="ipsec in" ipsec-policy=
    in,ipsec new-connection-mark=ipsec passthrough=yes
add action=mark-connection chain=forward comment="ipsec out" ipsec-policy=
    out,ipsec new-connection-mark=ipsec passthrough=yes
/ip firewall filter add action=fasttrack-connection chain=forward connection-mark=!ipsec

2. ქსელის გადამისამართების დამატება სახლსა და სამსახურში

/ip firewall raw
add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=
    10.7.76.0/24
add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=
    10.7.98.0/24
add action=accept chain=prerouting disabled=yes dst-address=192.168.55.0/24 
    src-address=10.7.78.0/24
add action=accept chain=prerouting dst-address=10.7.76.0/24 src-address=
    192.168.33.0/24
add action=accept chain=prerouting dst-address=10.7.77.0/24 src-address=
    192.168.33.0/24
add action=accept chain=prerouting dst-address=10.7.98.0/24 src-address=
    192.168.33.0/24
add action=accept chain=prerouting disabled=yes dst-address=10.7.78.0/24 
    src-address=192.168.55.0/24
add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=
    10.7.77.0/24

3. შექმენით მომხმარებლის კავშირის აღწერა

/ip ipsec identity
add auth-method=pre-shared-key-xauth notrack-chain=prerouting peer=CO secret=
    общий ключ xauth-login=username xauth-password=password

4. შექმენით IPSEC წინადადება

/ip ipsec proposal
add enc-algorithms=3des lifetime=5m name="prop1" pfs-group=none

5. შექმენით IPSEC პოლიტიკა

/ip ipsec policy
add dst-address=10.7.76.0/24 level=unique proposal="prop1" 
    sa-dst-address=<white IP 1072> sa-src-address=0.0.0.0 src-address=
    192.168.33.0/24 tunnel=yes
add dst-address=10.7.77.0/24 level=unique proposal="prop1" 
    sa-dst-address=<white IP 1072> sa-src-address=0.0.0.0 src-address=
    192.168.33.0/24 tunnel=yes

6. შექმენით IPSEC პროფილი

/ip ipsec profile
set [ find default=yes ] dpd-interval=disable-dpd enc-algorithm=
    aes-192,aes-128,3des nat-traversal=no
add dh-group=modp1024 enc-algorithm=aes-192,aes-128,3des name=profile_1
add name=profile_88
add dh-group=modp1024 lifetime=4h name=profile246

7. შექმენით IPSEC თანატოლი

/ip ipsec peer
add address=<white IP 1072>/32 local-address=<ваш адрес роутера> name=CO profile=
    profile_88

ახლა რამდენიმე მარტივი მაგია. იმის გამო, რომ მე ნამდვილად არ მინდოდა ჩემი სახლის ქსელის ყველა მოწყობილობის პარამეტრების შეცვლა, მომიწია როგორმე ჩამომეკიდა DHCP იმავე ქსელზე, მაგრამ გონივრულია, რომ Mikrotik არ გაძლევთ საშუალებას დაკიდოთ ერთზე მეტი მისამართის აუზი ერთ ხიდზე. , ასე რომ, ვიპოვე გამოსავალი, კერძოდ ლეპტოპისთვის, უბრალოდ შევქმენი DHCP Lease მექანიკური პარამეტრებით და რადგან netmask, gateway & dns ასევე აქვს ოფციონის ნომრები DHCP-ში, მე დავაზუსტე ისინი ხელით.

1.DHCP ოფციები

/ip dhcp-server option
add code=3 name=option3-gateway value="'192.168.33.1'"
add code=1 name=option1-netmask value="'255.255.255.0'"
add code=6 name=option6-dns value="'8.8.8.8'"

2.DHCP იჯარა

/ip dhcp-server lease
add address=192.168.33.4 dhcp-option=
    option1-netmask,option3-gateway,option6-dns mac-address=<MAC адрес ноутбука>

ამავდროულად, 1072 დაყენება პრაქტიკულად ძირითადია, მხოლოდ პარამეტრებში კლიენტისთვის IP მისამართის გაცემისას მითითებულია, რომ მას უნდა მიეცეს ხელით შეყვანილი IP მისამართი და არა აუზიდან. რეგულარული კომპიუტერის კლიენტებისთვის, ქვექსელი იგივეა, რაც Wiki-ის კონფიგურაცია 192.168.55.0/24.

ასეთი პარამეტრი საშუალებას გაძლევთ არ დაუკავშირდეთ კომპიუტერს მესამე მხარის პროგრამული უზრუნველყოფის საშუალებით და თავად გვირაბი ამაღლებულია როუტერის მიერ საჭიროებისამებრ. კლიენტის CAP ac-ის დატვირთვა თითქმის მინიმალურია, 8-11% გვირაბში 9-10MB/s სიჩქარით.

ყველა პარამეტრი განხორციელდა Winbox-ის საშუალებით, თუმცა იგივე წარმატებით შეიძლება გაკეთდეს კონსოლის მეშვეობით.

წყარო: www.habr.com