ການປົດບລັອກອິນເຕີເນັດໂດຍໃຊ້ Mikrotik ແລະ VPN: ການສອນລະອຽດ

ໃນຄູ່ມືຂັ້ນຕອນໂດຍຂັ້ນຕອນນີ້, ຂ້າພະເຈົ້າຈະບອກທ່ານກ່ຽວກັບວິທີການຕັ້ງຄ່າ Mikrotik ເພື່ອໃຫ້ສະຖານທີ່ຖືກຫ້າມຖືກເປີດໂດຍອັດຕະໂນມັດຜ່ານ VPN ນີ້ແລະທ່ານສາມາດຫຼີກເວັ້ນການເຕັ້ນລໍາກັບ tambourines: ຕັ້ງຄ່າມັນຄັ້ງດຽວແລະທຸກສິ່ງທຸກຢ່າງເຮັດວຽກ.

ຂ້ອຍເລືອກ SoftEther ເປັນ VPN: ມັນງ່າຍທີ່ຈະຕັ້ງເປັນ RRAS ແລະພຽງແຕ່ເປັນໄວ. ໃນດ້ານເຊີບເວີ VPN, ຂ້ອຍເປີດໃຊ້ Secure NAT; ບໍ່ມີການຕັ້ງຄ່າອື່ນໃດ.

ຂ້າພະເຈົ້າໄດ້ພິຈາລະນາ RRAS ເປັນທາງເລືອກ, ແຕ່ Mikrotik ບໍ່ຮູ້ວິທີການເຮັດວຽກກັບມັນ. ການເຊື່ອມຕໍ່ໄດ້ຖືກສ້າງຕັ້ງຂຶ້ນ, VPN ເຮັດວຽກ, ແຕ່ Mikrotik ບໍ່ສາມາດຮັກສາການເຊື່ອມຕໍ່ໂດຍບໍ່ມີການເຊື່ອມຕໍ່ຄົງທີ່ແລະຄວາມຜິດພາດໃນບັນທຶກ.

ການຕິດຕັ້ງໄດ້ຖືກປະຕິບັດໂດຍໃຊ້ຕົວຢ່າງຂອງ RB3011UiAS-RM ໃນເຟີມແວເວີຊັ່ນ 6.46.11.
ໃນປັດຈຸບັນ, ໃນຄໍາສັ່ງ, ແມ່ນຫຍັງແລະເປັນຫຍັງ.

1. ສ້າງການເຊື່ອມຕໍ່ VPN

ແນ່ນອນ, SoftEther, L2TP ທີ່ມີກະແຈທີ່ແບ່ງປັນກ່ອນ, ຖືກເລືອກເປັນການແກ້ໄຂ VPN. ລະດັບຄວາມປອດໄພນີ້ແມ່ນພຽງພໍສໍາລັບທຸກຄົນ, ເພາະວ່າພຽງແຕ່ router ແລະເຈົ້າຂອງຂອງມັນຮູ້ກະແຈ.

ໄປທີ່ສ່ວນການໂຕ້ຕອບ. ທໍາອິດ, ພວກເຮົາເພີ່ມການໂຕ້ຕອບໃຫມ່, ແລະຫຼັງຈາກນັ້ນໃສ່ ip, ເຂົ້າສູ່ລະບົບ, ລະຫັດຜ່ານແລະລະຫັດທີ່ແບ່ງປັນເຂົ້າໃນການໂຕ້ຕອບ. ກົດ ok.

ຄໍາສັ່ງດຽວກັນ:

/interface l2tp-client
name="LD8" connect-to=45.134.254.112 user="Administrator" password="PASSWORD" profile=default-encryption use-ipsec=yes ipsec-secret="vpn"

SoftEther ຈະເຮັດວຽກໂດຍບໍ່ມີການປ່ຽນແປງຂໍ້ສະເຫນີ ipsec ແລະໂປໄຟ ipsec, ພວກເຮົາບໍ່ໄດ້ພິຈາລະນາການຕັ້ງຄ່າພວກມັນ, ແຕ່ຜູ້ຂຽນໄດ້ປະໄວ້ຫນ້າຈໍຂອງໂປໄຟຂອງລາວ, ພຽງແຕ່ໃນກໍລະນີ.

ສໍາລັບ RRAS ໃນ IPsec Proposals, ພຽງແຕ່ປ່ຽນ PFS Group ເປັນບໍ່ມີ.

ໃນປັດຈຸບັນທ່ານຈໍາເປັນຕ້ອງຢືນຢູ່ຫລັງ NAT ຂອງເຄື່ອງແມ່ຂ່າຍ VPN ນີ້. ເພື່ອເຮັດສິ່ງນີ້, ພວກເຮົາຈໍາເປັນຕ້ອງໄປທີ່ IP> Firewall> NAT.

ທີ່ນີ້ພວກເຮົາເປີດໃຊ້ masquerade ສໍາລັບການໂຕ້ຕອບ PPP ສະເພາະຫຼືທັງຫມົດ. router ຂອງຜູ້ຂຽນແມ່ນເຊື່ອມຕໍ່ກັບສາມ VPNs ໃນເວລາດຽວກັນ, ດັ່ງນັ້ນຂ້າພະເຈົ້າໄດ້ເຮັດສິ່ງນີ້:

ຄໍາສັ່ງດຽວກັນ:

/ip firewall nat
chain=srcnat action=masquerade out-interface=all-ppp

2. ເພີ່ມກົດລະບຽບໃສ່ Manngle

ສິ່ງທໍາອິດທີ່ຂ້ອຍຕ້ອງການ, ແນ່ນອນ, ແມ່ນເພື່ອປົກປ້ອງທຸກສິ່ງທຸກຢ່າງທີ່ມີຄຸນຄ່າທີ່ສຸດແລະບໍ່ມີການປ້ອງກັນ, ຄືການຈາລະຈອນ DNS ແລະ HTTP. ໃຫ້ເລີ່ມຕົ້ນດ້ວຍ HTTP.

ໄປທີ່ IP → Firewall → Mangle ແລະສ້າງກົດລະບຽບໃຫມ່.

ໃນກົດລະບຽບ, Chain, ເລືອກ Prerouting.

ຖ້າມີ Smart SFP ຫຼື router ອື່ນຢູ່ທາງຫນ້າຂອງ router, ແລະທ່ານຕ້ອງການທີ່ຈະເຊື່ອມຕໍ່ກັບມັນໂດຍຜ່ານການໂຕ້ຕອບເວັບໄຊຕ໌, ໃນພາກສະຫນາມ Dst. ທີ່ຢູ່ທ່ານຈໍາເປັນຕ້ອງໃສ່ທີ່ຢູ່ IP ຫຼືເຄືອຂ່າຍຍ່ອຍຂອງມັນແລະໃສ່ເຄື່ອງຫມາຍລົບເພື່ອບໍ່ໃຫ້ Mangle ນໍາໃຊ້ກັບທີ່ຢູ່ຫຼືເຄືອຂ່າຍຍ່ອຍນີ້. ຜູ້ຂຽນມີ SFP GPON ONU ຢູ່ໃນໂຫມດຂົວ, ດັ່ງນັ້ນຜູ້ຂຽນໄດ້ຮັກສາຄວາມສາມາດໃນການເຊື່ອມຕໍ່ກັບເວັບໄຊຕ໌ຂອງລາວ.

ໂດຍຄ່າເລີ່ມຕົ້ນ, Mangle ຈະໃຊ້ກົດລະບຽບຂອງມັນກັບທຸກລັດ NAT, ນີ້ຈະເຮັດໃຫ້ການສົ່ງຕໍ່ພອດຜ່ານ IP ສີຂາວຂອງເຈົ້າເປັນໄປບໍ່ໄດ້, ດັ່ງນັ້ນໃນ Connection NAT State ພວກເຮົາໃສ່ເຄື່ອງໝາຍຖືກໃສ່ dstnat ແລະເຄື່ອງໝາຍລົບ. ນີ້ຈະຊ່ວຍໃຫ້ພວກເຮົາສົ່ງການຈະລາຈອນອອກຜ່ານເຄືອຂ່າຍຜ່ານ VPN, ແຕ່ຍັງສົ່ງຕໍ່ພອດຜ່ານ IP ສີຂາວຂອງພວກເຮົາ.

ຕໍ່ໄປ, ໃນແຖບປະຕິບັດງານ, ເລືອກເສັ້ນທາງເຄື່ອງຫມາຍ, ໂທຫາມັນ New Routing Mark ເພື່ອໃຫ້ມັນຈະແຈ້ງຕໍ່ພວກເຮົາໃນອະນາຄົດແລະກ້າວຕໍ່ໄປ.

ຄໍາສັ່ງດຽວກັນ:

/ip firewall mangle
add chain=prerouting action=mark-routing new-routing-mark=HTTP passthrough=no connection-nat-state=!dstnat protocol=tcp dst-address=!192.168.1.1 dst-port=80

ຕອນນີ້ໃຫ້ກ້າວໄປສູ່ການປົກປ້ອງ DNS. ໃນກໍລະນີນີ້, ທ່ານຈໍາເປັນຕ້ອງສ້າງສອງກົດລະບຽບ. ອັນໜຶ່ງສຳລັບເຣົາເຕີ, ອີກອັນໜຶ່ງສຳລັບອຸປະກອນທີ່ເຊື່ອມຕໍ່ກັບເຣົາເຕີ.

ຖ້າທ່ານໃຊ້ DNS ທີ່ສ້າງຂຶ້ນໃນ router, ທີ່ຜູ້ຂຽນເຮັດ, ມັນຍັງຕ້ອງໄດ້ຮັບການປົກປ້ອງ. ດັ່ງນັ້ນ, ສໍາລັບກົດລະບຽບທໍາອິດ, ດັ່ງຂ້າງເທິງນີ້, ພວກເຮົາເລືອກລະບົບຕ່ອງໂສ້ prerouting, ສໍາລັບທີສອງພວກເຮົາຈໍາເປັນຕ້ອງເລືອກຜົນຜະລິດ.

Output ແມ່ນວົງຈອນທີ່ router ຕົວມັນເອງໃຊ້ເພື່ອເຮັດການຮ້ອງຂໍໂດຍໃຊ້ຫນ້າທີ່ຂອງມັນ. ທຸກສິ່ງທຸກຢ່າງຢູ່ທີ່ນີ້ແມ່ນຄ້າຍຄືກັນກັບ HTTP, UDP protocol, port 53.

ຄໍາສັ່ງດຽວກັນ:

/ip firewall mangle
add chain=prerouting action=mark-routing new-routing-mark=DNS passthrough=no protocol=udp
add chain=output action=mark-routing new-routing-mark=DNS-Router passthrough=no protocol=udp dst-port=53

3. ການສ້າງເສັ້ນທາງຜ່ານ VPN

ໄປທີ່ IP → ເສັ້ນທາງ ແລະສ້າງເສັ້ນທາງໃໝ່.

ເສັ້ນທາງສໍາລັບເສັ້ນທາງ HTTP ຜ່ານ VPN. ພວກເຮົາຊີ້ບອກຊື່ຂອງການໂຕ້ຕອບ VPN ຂອງພວກເຮົາແລະເລືອກ Routing Mark.

ໃນຂັ້ນຕອນນີ້, ທ່ານຮູ້ສຶກວ່າຜູ້ປະຕິບັດການຂອງທ່ານໄດ້ຢຸດເຊົາແນວໃດ ການໂຄສະນາຝັງຢູ່ໃນການຈະລາຈອນ HTTP ຂອງທ່ານ.

ຄໍາສັ່ງດຽວກັນ:

/ip route
add dst-address=0.0.0.0/0 gateway=LD8 routing-mark=HTTP distance=2 comment=HTTP

ກົດລະບຽບສໍາລັບການປົກປ້ອງ DNS ຈະມີລັກສະນະຄືກັນ, ພຽງແຕ່ເລືອກປ້າຍທີ່ຕ້ອງການ:

ຫຼັງຈາກນັ້ນ, ທ່ານຮູ້ສຶກວ່າການຮ້ອງຂໍ DNS ຂອງທ່ານຢຸດເຊົາການຟັງແນວໃດ. ຄໍາສັ່ງດຽວກັນ:

/ip route
add dst-address=0.0.0.0/0 gateway=LD8 routing-mark=DNS distance=1 comment=DNS
add dst-address=0.0.0.0/0 gateway=LD8 routing-mark=DNS-Router distance=1 comment=DNS-Router

ແລ້ວ, ໃນທີ່ສຸດ, ໃຫ້ປົດບລັອກ Rutracker. subnet ທັງ​ຫມົດ​ເປັນ​ຂອງ​ເຂົາ, ດັ່ງ​ນັ້ນ subnet ແມ່ນ​ລະ​ບຸ​ໄວ້.

ມັນງ່າຍປານໃດທີ່ຈະເອົາອິນເຕີເນັດຂອງເຈົ້າຄືນມາ. ທີມງານ:

/ip route
add dst-address=195.82.146.0/24 gateway=LD8 distance=1 comment=Rutracker.Org

ໃນທາງດຽວກັນກັບຕົວຕິດຕາມຮາກ, ທ່ານສາມາດສົ່ງຊັບພະຍາກອນຂອງບໍລິສັດແລະສະຖານທີ່ທີ່ຖືກບລັອກອື່ນໆ.

ຜູ້ຂຽນຫວັງວ່າທ່ານຈະຮູ້ຈັກຄວາມສະດວກສະບາຍຂອງການເຂົ້າສູ່ລະບົບ tracker ຮາກແລະປະຕູຂອງບໍລິສັດໃນເວລາດຽວກັນໂດຍບໍ່ມີການຖອດ sweater ຂອງທ່ານ.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com