Mikroik. IPSEC vpn aiz NAT kā klients

Sveiki visiem!

Mūsu uzņēmumā pēdējo divu gadu laikā pakāpeniski pārejam uz MikroTik ierīcēm. Galvenie mezgli ir balstīti uz CCR1072, bet vietējās piekļuves punktus datoriem nodrošina vienkāršākas ierīces. Protams, pastāv arī tīklu apvienošana, izmantojot IPSEC tuneli, kurā konfigurācija ir pietiekami vienkārša un neizraisa nekādas grūtības, jo ir daudz materiālu internetā. Taču ar klientu mobilajām piekļuvēm pastāv noteiktas grūtības; ražotāja wiki norāda, kā izmantot Shrew soft VPN klientu (šajā konfigurācijā viss šķiet skaidrs), un tieši šo klientu izmanto 99% attālinātā pieslēguma lietotāju, bet 1% es pats, jo man kļuva vienkārši slinkums katru reizi ievadīt savu lietotājvārdu un paroli, un vēlējos ērti sēdēt dīvānā, vienkārši pieslēdzoties darba tīkliem. Instrukciju trūkums par MikroTik konfigurāciju, kad tas atrodas ne tikai aiz pelēkā IP adreses, bet arī aiz pavisam melnā, varbūt pat ar vairākiem NAT, lika man improvizēt, un tāpēc piedāvāju apskatīt rezultātu.

Ir pieejams:

1. CCR1072 kā galvenā ierīce. versija 6.44.1
2. CAP ac kā mājas piekļuves punkts. versija 6.44.1

Galvenā konfigurācijas iezīme ir tā, ka datoram un MikroTik jāatrodas vienā tīklā ar vienu adresāciju, ko nodrošina CCR1072.

Pārejam pie konfigurācijas:

1. Protams, ieslēdzam Fasttrack, bet tā kā tas nav saderīgs ar VPN, nākas izņemt tā trafiku.

/ip firewall mangle
add action=mark-connection chain=forward comment="ipsec in" ipsec-policy=
    in,ipsec new-connection-mark=ipsec passthrough=yes
add action=mark-connection chain=forward comment="ipsec out" ipsec-policy=
    out,ipsec new-connection-mark=ipsec passthrough=yes
/ip firewall filter add action=fasttrack-connection chain=forward connection-mark=!ipsec

2. Pievienojam tīklu pārsūtīšanu no/uz mājas un darba tīklu

/ip firewall raw
add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=
    10.7.76.0/24
add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=
    10.7.98.0/24
add action=accept chain=prerouting disabled=yes dst-address=192.168.55.0/24 
    src-address=10.7.78.0/24
add action=accept chain=prerouting dst-address=10.7.76.0/24 src-address=
    192.168.33.0/24
add action=accept chain=prerouting dst-address=10.7.77.0/24 src-address=
    192.168.33.0/24
add action=accept chain=prerouting dst-address=10.7.98.0/24 src-address=
    192.168.33.0/24
add action=accept chain=prerouting disabled=yes dst-address=10.7.78.0/24 
    src-address=192.168.55.0/24
add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=
    10.7.77.0/24

3. Izveidojam lietotāja pieslēguma aprakstu

/ip ipsec identity
add auth-method=pre-shared-key-xauth notrack-chain=prerouting peer=CO secret=
    общий ключ xauth-login=username xauth-password=password

4. Izveidojam IPSEC piedāvājumu

/ip ipsec proposal
add enc-algorithms=3des lifetime=5m name="prop1" pfs-group=none

5. Izveidojam IPSEC politiku

/ip ipsec policy
add dst-address=10.7.76.0/24 level=unique proposal="prop1" 
    sa-dst-address=<white IP 1072> sa-src-address=0.0.0.0 src-address=
    192.168.33.0/24 tunnel=yes
add dst-address=10.7.77.0/24 level=unique proposal="prop1" 
    sa-dst-address=<white IP 1072> sa-src-address=0.0.0.0 src-address=
    192.168.33.0/24 tunnel=yes

6. Izveidojam IPSEC profilu

/ip ipsec profile
set [ find default=yes ] dpd-interval=disable-dpd enc-algorithm=
    aes-192,aes-128,3des nat-traversal=no
add dh-group=modp1024 enc-algorithm=aes-192,aes-128,3des name=profile_1
add name=profile_88
add dh-group=modp1024 lifetime=4h name=profile246

7. Izveidojam IPSEC partneri

/ip ipsec peer
add address=<white IP 1072>/32 local-address=<ваш адрес роутера> name=CO profile=
    profile_88

Tagad nedaudz vienkāršas burvības. Tā kā man nevēlējās mainīt konfigurāciju visās ierīcēs mājas tīklā, nolēmu, ka man jāievieto DHCP tajā pašā tīklā, taču sapratām, ka MikroTik neatļauj ievietot vairāk par vienu adresācijas baseinu vienā bridge, tāpēc atradu apvedceļu, proti, savai klēpjdatoram vienkārši izveidoju DHCP nomu ar manuālām konfigurācijas parametru norādēm, un tā kā netmask, gateway un dns arī ir opciju numuri DHCP, tos norādīju manuāli.

1. DHCP opcija

/ip dhcp-server option
add code=3 name=option3-gateway value="'192.168.33.1'"
add code=1 name=option1-netmask value="'255.255.255.0'"
add code=6 name=option6-dns value="'8.8.8.8'"

2. DHCP noma

/ip dhcp-server lease
add address=192.168.33.4 dhcp-option=
    option1-netmask,option3-gateway,option6-dns mac-address=<MAC адрес ноутбука>

Šajā gadījumā iestatījums 1072 ir praktiski pamata, tikai izsniedzot IP adresi klientam, iestatījumos tiek norādīts, ka jāizsniedz tam IP adrese, kas ievadīta manuāli, nevis no baseina. Parastajiem klientiem ar personālajiem datori apakštīkls ir tāds pats kā konfigurācijā ar Wiki 192.168.55.0/24.

Šāds iestatījums ļauj datoram nepieslēgties, izmantojot trešo pušu programmatūru, bet tunelis pats tiek uzcelts maršrutētāja pēc vajadzības. Klienta CAP ac slodze ir praktiski minimāla, 8-11% pie ātruma 9-10MB/s tunelī.

Visi iestatījumi tika veikti caur Winbox, lai gan tikpat labi to var veikt arī caur konsoli.

Avots: habr.com