ມິກຣອກ. IPSEC vpn ຫລັງ NAT ເປັນລູກຄ້າ

ສະບາຍດີທຸກໆຄົນ!

ມັນເກີດຂຶ້ນດັ່ງນັ້ນໃນບໍລິສັດຂອງພວກເຮົາໃນໄລຍະສອງປີທີ່ຜ່ານມາພວກເຮົາໄດ້ຄ່ອຍໆປ່ຽນໄປ Mikrotik. ໂຫນດຕົ້ນຕໍແມ່ນຖືກສ້າງຂຶ້ນໃນ CCR1072, ແລະຈຸດເຊື່ອມຕໍ່ທ້ອງຖິ່ນສໍາລັບຄອມພິວເຕີໃນອຸປະກອນແມ່ນງ່າຍດາຍກວ່າ. ແນ່ນອນ, ຍັງມີການເຊື່ອມໂຍງຂອງເຄືອຂ່າຍຜ່ານອຸໂມງ IPSEC, ໃນກໍລະນີນີ້ການຕິດຕັ້ງແມ່ນຂ້ອນຂ້າງງ່າຍດາຍແລະບໍ່ເຮັດໃຫ້ເກີດຄວາມຫຍຸ້ງຍາກໃດໆ, ໂຊກດີທີ່ມີອຸປະກອນຫຼາຍໃນເຄືອຂ່າຍ. ແຕ່ມີຄວາມຫຍຸ້ງຍາກບາງຢ່າງກັບການເຊື່ອມຕໍ່ມືຖືຂອງລູກຄ້າ, wiki ຂອງຜູ້ຜະລິດບອກທ່ານກ່ຽວກັບວິທີການໃຊ້ Shrew soft VPN client (ທຸກສິ່ງທຸກຢ່າງເບິ່ງຄືວ່າຈະແຈ້ງໂດຍອີງໃສ່ການຕັ້ງຄ່ານີ້) ແລະມັນແມ່ນລູກຄ້ານີ້ທີ່ໃຊ້ໂດຍ 99% ຂອງການເຂົ້າເຖິງຫ່າງໄກສອກຫຼີກ. ຜູ້ໃຊ້, ແລະ 1% ແມ່ນຂ້າພະເຈົ້າ, ຂ້າພະເຈົ້າພຽງແຕ່ lazy ເກີນໄປທຸກຄົນ ເມື່ອຂ້າພະເຈົ້າເຂົ້າໄປໃນການເຂົ້າສູ່ລະບົບແລະລະຫັດຜ່ານຂອງຂ້າພະເຈົ້າເຂົ້າໄປໃນລູກຄ້າ, ຂ້າພະເຈົ້າຕ້ອງການຕໍາແຫນ່ງ lazy ສຸດ couch ແລະການເຊື່ອມຕໍ່ສະດວກກັບເຄືອຂ່າຍການເຮັດວຽກ. ຂ້ອຍບໍ່ພົບຄໍາແນະນໍາສໍາລັບການຕັ້ງ Mikrotik ສໍາລັບສະຖານະການທີ່ມັນບໍ່ຢູ່ເບື້ອງຫຼັງທີ່ຢູ່ສີຂີ້ເຖົ່າ, ແຕ່ສີດໍາຫມົດແລະບາງທີ NATs ຫຼາຍຢູ່ໃນເຄືອຂ່າຍ. ເພາະສະນັ້ນ, ຂ້າພະເຈົ້າຕ້ອງ improvise, ແລະດັ່ງນັ້ນຂ້າພະເຈົ້າແນະນໍາໃຫ້ທ່ານເບິ່ງຜົນໄດ້ຮັບ.

ມີໃຫ້:

1. CCR1072 ເປັນອຸປະກອນຕົ້ນຕໍ. ລຸ້ນ 6.44.1
2. CAP ac ເປັນຈຸດເຊື່ອມຕໍ່ເຮືອນ. ລຸ້ນ 6.44.1

ລັກສະນະຕົ້ນຕໍຂອງການຕິດຕັ້ງແມ່ນວ່າ PC ແລະ Mikrotik ຕ້ອງຢູ່ໃນເຄືອຂ່າຍດຽວກັນກັບທີ່ຢູ່ດຽວກັນ, ເຊິ່ງເປັນສິ່ງທີ່ອອກໃຫ້ກັບ 1072 ຕົ້ນຕໍ.

ໃຫ້ຍ້າຍໄປທີ່ການຕັ້ງຄ່າ:

1. ແນ່ນອນ, ພວກເຮົາເປີດໃຊ້ Fasttrack, ແຕ່ເນື່ອງຈາກ fasttrack ບໍ່ເຂົ້າກັນໄດ້ກັບ VPN, ພວກເຮົາຕ້ອງຕັດການຈະລາຈອນຂອງມັນອອກ.

/ip firewall mangle
add action=mark-connection chain=forward comment="ipsec in" ipsec-policy=
    in,ipsec new-connection-mark=ipsec passthrough=yes
add action=mark-connection chain=forward comment="ipsec out" ipsec-policy=
    out,ipsec new-connection-mark=ipsec passthrough=yes
/ip firewall filter add action=fasttrack-connection chain=forward connection-mark=!ipsec

2. ເພີ່ມການສົ່ງຕໍ່ເຄືອຂ່າຍຈາກ/ໄປເຮືອນ ແລະບ່ອນເຮັດວຽກ

/ip firewall raw
add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=
    10.7.76.0/24
add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=
    10.7.98.0/24
add action=accept chain=prerouting disabled=yes dst-address=192.168.55.0/24 
    src-address=10.7.78.0/24
add action=accept chain=prerouting dst-address=10.7.76.0/24 src-address=
    192.168.33.0/24
add action=accept chain=prerouting dst-address=10.7.77.0/24 src-address=
    192.168.33.0/24
add action=accept chain=prerouting dst-address=10.7.98.0/24 src-address=
    192.168.33.0/24
add action=accept chain=prerouting disabled=yes dst-address=10.7.78.0/24 
    src-address=192.168.55.0/24
add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=
    10.7.77.0/24

3. ສ້າງລາຍລະອຽດການເຊື່ອມຕໍ່ຂອງຜູ້ໃຊ້

/ip ipsec identity
add auth-method=pre-shared-key-xauth notrack-chain=prerouting peer=CO secret=
    общий ключ xauth-login=username xauth-password=password

4. ສ້າງບົດສະເໜີ IPSEC

/ip ipsec proposal
add enc-algorithms=3des lifetime=5m name="prop1" pfs-group=none

5. ສ້າງນະໂຍບາຍ IPSEC

/ip ipsec policy
add dst-address=10.7.76.0/24 level=unique proposal="prop1" 
    sa-dst-address=<white IP 1072> sa-src-address=0.0.0.0 src-address=
    192.168.33.0/24 tunnel=yes
add dst-address=10.7.77.0/24 level=unique proposal="prop1" 
    sa-dst-address=<white IP 1072> sa-src-address=0.0.0.0 src-address=
    192.168.33.0/24 tunnel=yes

6. ສ້າງໂປຣໄຟລ໌ IPSEC

/ip ipsec profile
set [ find default=yes ] dpd-interval=disable-dpd enc-algorithm=
    aes-192,aes-128,3des nat-traversal=no
add dh-group=modp1024 enc-algorithm=aes-192,aes-128,3des name=profile_1
add name=profile_88
add dh-group=modp1024 lifetime=4h name=profile246

7. ສ້າງເພື່ອນມິດ IPSEC

/ip ipsec peer
add address=<white IP 1072>/32 local-address=<ваш адрес роутера> name=CO profile=
    profile_88

ໃນປັດຈຸບັນສໍາລັບ magic ງ່າຍດາຍບາງ. ເນື່ອງຈາກຂ້ອຍບໍ່ຢາກປ່ຽນການຕັ້ງຄ່າໃນອຸປະກອນທັງໝົດໃນເຄືອຂ່າຍບ້ານ, ຂ້ອຍຈຶ່ງຕ້ອງຕັ້ງຄ່າ DHCP ຢູ່ໃນເຄືອຂ່າຍດຽວກັນ, ແຕ່ມັນສົມເຫດສົມຜົນທີ່ Mikrotik ບໍ່ອະນຸຍາດໃຫ້ທ່ານຕັ້ງຫຼາຍກວ່າຫນຶ່ງທີ່ຢູ່. ຂົວຫນຶ່ງ, ດັ່ງນັ້ນຂ້ອຍໄດ້ພົບການແກ້ໄຂ, ຄືສໍາລັບຄອມພິວເຕີ້, ຂ້ອຍພຽງແຕ່ສ້າງ DHCP Lease ດ້ວຍການກໍານົດພາລາມິເຕີດ້ວຍຕົນເອງ, ແລະນັບຕັ້ງແຕ່ netmask, gateway & dns ຍັງມີຕົວເລກທາງເລືອກໃນ DHCP, ຂ້ອຍກໍານົດໃຫ້ເຂົາເຈົ້າດ້ວຍຕົນເອງ.

1.DHCP ທາງເລືອກ

/ip dhcp-server option
add code=3 name=option3-gateway value="'192.168.33.1'"
add code=1 name=option1-netmask value="'255.255.255.0'"
add code=6 name=option6-dns value="'8.8.8.8'"

2.DHCP ເຊົ່າ

/ip dhcp-server lease
add address=192.168.33.4 dhcp-option=
    option1-netmask,option3-gateway,option6-dns mac-address=<MAC адрес ноутбука>

ໃນຂະນະດຽວກັນ, ການຕັ້ງຄ່າ 1072 ແມ່ນການປະຕິບັດພື້ນຖານ, ພຽງແຕ່ໃນເວລາທີ່ອອກທີ່ຢູ່ IP ໃຫ້ກັບລູກຄ້າ, ມັນໄດ້ຖືກຊີ້ບອກໃນການຕັ້ງຄ່າວ່າມັນຄວນຈະໄດ້ຮັບທີ່ຢູ່ IP ທີ່ປ້ອນດ້ວຍຕົນເອງ, ແລະບໍ່ແມ່ນມາຈາກສະນຸກເກີ. ສໍາລັບລູກຄ້າປົກກະຕິຈາກຄອມພິວເຕີສ່ວນບຸກຄົນ, ເຄືອຂ່າຍຍ່ອຍແມ່ນຄືກັນກັບໃນການຕັ້ງຄ່າດ້ວຍ Wiki 192.168.55.0/24.

ການຕັ້ງຄ່ານີ້ອະນຸຍາດໃຫ້ທ່ານບໍ່ເຊື່ອມຕໍ່ກັບ PC ຂອງທ່ານໂດຍຜ່ານຊອບແວພາກສ່ວນທີສາມ, ແລະອຸໂມງຕົວມັນເອງໄດ້ຖືກຍົກຂຶ້ນມາໂດຍ router ຕາມຄວາມຕ້ອງການ. ການໂຫຼດຢູ່ໃນລູກຄ້າ CAP ac ແມ່ນເກືອບຫນ້ອຍ, 8-11% ດ້ວຍຄວາມໄວ 9-10MB/s ໃນອຸໂມງ.

ການ​ຕັ້ງ​ຄ່າ​ທັງ​ຫມົດ​ໄດ້​ຖືກ​ເຮັດ​ໃຫ້​ຜ່ານ Winbox​, ເຖິງ​ແມ່ນ​ວ່າ​ມັນ​ກໍ​ສາ​ມາດ​ເຮັດ​ໄດ້​ເຊັ່ນ​ດຽວ​ກັນ​ໂດຍ​ຜ່ານ console ໄດ້​.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com