เดฒเดฟเดจเดเตเดธเต: เดเดฌเตเดฃเตเดเต 18.04.4 LTS (GNU/Linux 4.15.0-91-generic x86_64)
- Eth0 1.1.1.1/32 เดฌเดพเดนเตเดฏ เด.เดชเดฟ
- ipip-ipsec0 192.168.0.1/30 เดจเดฎเตเดฎเตเดเต เดคเตเดฐเดเตเดเดฎเดพเดฏเดฟเดฐเดฟเดเตเดเตเด
Miktoik: CCR 1009, RouterOS 6.46.5
- เดฆเดพเดคเดพเดตเดฟเตฝ เดจเดฟเดจเตเดจเตเดณเตเดณ Eth0 10.0.0.2/30 เดเดจเตเดคเดฐเดฟเด เด.เดชเดฟ. เดฆเดพเดคเดพเดตเดฟเดจเตเดฑเต เดฌเดพเดนเตเดฏ NAT IP เดเดฒเดจเดพเดคเตเดฎเดเดฎเดพเดฃเต.
- ipip-ipsec0 192.168.0.2/30 เดจเดฎเตเดฎเตเดเต เดคเตเดฐเดเตเดเดฎเดพเดฏเดฟเดฐเดฟเดเตเดเตเด
เดฑเดพเดเตเดเตเตบ เดเดชเดฏเตเดเดฟเดเตเดเต เดเดฐเต เดฒเดฟเดจเดเตเดธเต เดฎเตเดทเตเดจเดฟเตฝ เดเดเตเดเตพ เดเดฐเต IPsec เดเดฃเตฝ เดธเตเดทเตเดเดฟเดเตเดเตเด. เดเดพเตป เดตเดฟเดถเดฆเดพเดเดถเดเตเดเตพ เดตเดฟเดตเดฐเดฟเดเตเดเดฟเดฒเตเดฒ, เดจเดฒเตเดฒ เดเดจเตเดจเต เดเดฃเตเดเต
เดเดตเดถเตเดฏเดฎเดพเดฏ เดชเดพเดเตเดเตเดเตเดเตพ เดเตปเดธเตเดฑเตเดฑเดพเตพ เดเตเดฏเตเดฏเตเด:
sudo install racoon ipsec-tools
เดเดเตเดเตพ เดฑเดพเดเตเดเตเตบ เดเตเตบเดซเดฟเดเตผ เดเตเดฏเตเดฏเตเดจเตเดจเต, เด เดคเต เดธเตเดชเดพเดงเดฟเดเดฎเดพเดฏเดฟ เดเดฐเต ipsec เดธเตเตผเดตเดฑเดพเดฏเดฟ เดชเตเดฐเดตเตผเดคเตเดคเดฟเดเตเดเตเด. เดชเตเดฐเดงเดพเดจ เดฎเตเดกเดฟเดฒเตเดณเตเดณ mikrotik-เดจเต เดเดฐเต เด เดงเดฟเด เดเตเดฒเดฏเดจเตเดฑเต เดเดกเดจเตเดฑเดฟเดซเดฏเตผ เดเตเดฎเดพเดฑเดพเตป เดเดดเดฟเดฏเดพเดคเตเดคเดคเดฟเดจเดพเดฒเตเด, เด เดคเต Linux-เดฒเตเดเตเดเต เดฌเดจเตเดงเดฟเดชเตเดชเดฟเดเตเดเตเดจเตเดจ เดฌเดพเดนเตเดฏ IP เดตเดฟเดฒเดพเดธเด เดเดฒเดจเดพเดคเตเดฎเดเดฎเดพเดฏเดคเดฟเดจเดพเดฒเตเด, เดฎเตเตปเดเตเดเตเดเดฟ เดชเดเตเดเดฟเดเตเด เดเต (เดชเดพเดธเตโเดตเตเดกเต เด เดเดเตเดเดพเดฐเด) เดเดชเดฏเตเดเดฟเดเตเดเตเดจเตเดจเดคเต เดชเตเดฐเดตเตผเดคเตเดคเดฟเดเตเดเดฟเดฒเตเดฒ, เดเดพเดฐเดฃเด เดชเดพเดธเตโเดตเตเดกเต IP เดตเดฟเดฒเดพเดธเดตเตเดฎเดพเดฏเดฟ เดชเตเดฐเตเดคเตเดคเดชเตเดชเตเดเดฃเด. เดฌเดจเตเดงเดฟเดชเตเดชเดฟเดเตเดเตเดจเตเดจ เดนเตเดธเตเดฑเตเดฑเต, เด เดฒเตเดฒเตเดเตเดเดฟเตฝ เดเดกเดจเตเดฑเดฟเดซเดฏเตผ เดเดชเดฏเตเดเดฟเดเตเดเต.
RSA เดเตเดเตพ เดเดชเดฏเตเดเดฟเดเตเดเต เดเดเตเดเตพ เด เดเดเตเดเดพเดฐเด เดเดชเดฏเตเดเดฟเดเตเดเตเด.
เดฑเดพเดเตเดเตเตบ เดกเตเดฎเตบ RSA เดซเตเตผเดฎเดพเดฑเตเดฑเดฟเตฝ เดเตเดเตพ เดเดชเดฏเตเดเดฟเดเตเดเตเดจเตเดจเต, เดเตเดเดพเดคเต mikrotik PEM เดซเตเตผเดฎเดพเดฑเตเดฑเต เดเดชเดฏเตเดเดฟเดเตเดเตเดจเตเดจเต. เดฑเดพเดเตเดเตเดฃเดฟเดจเตเดชเตเดชเด เดตเดฐเตเดจเตเดจ plainrsa-gen เดฏเตเดเตเดเดฟเดฒเดฟเดฑเตเดฑเดฟ เดเดชเดฏเตเดเดฟเดเตเดเต เดจเดฟเดเตเดเตพ เดเตเดเตพ เดเดจเดฑเตเดฑเตเดฑเต เดเตเดฏเตเดฏเตเดเดฏเดพเดฃเตเดเตเดเดฟเตฝ, Mikrotika-เดฏเตเดเต เดชเตเดคเต เดเต เด เดคเดฟเดจเตเดฑเต เดธเดนเดพเดฏเดคเตเดคเตเดเต PEM เดซเตเตผเดฎเดพเดฑเตเดฑเดฟเดฒเตเดเตเดเต เดชเดฐเดฟเดตเตผเดคเตเดคเดจเด เดเตเดฏเตเดฏเดพเตป เดจเดฟเดเตเดเตพเดเตเดเต เดเดดเดฟเดฏเดฟเดฒเตเดฒ - เดเดคเต เดเดฐเต เดฆเดฟเดถเดฏเดฟเดฒเตเดเตเดเต เดฎเดพเดคเตเดฐเด เดชเดฐเดฟเดตเตผเดคเตเดคเดจเด เดเตเดฏเตเดฏเตเดจเตเดจเต: PEM-เดฒเตเดเตเดเต RSA. openssl-เดจเต ssh-keygen-เดจเต plainrsa-gen เดเดจเดฑเตเดฑเตเดฑเต เดเตเดฏเตโเดค เดเต เดตเดพเดฏเดฟเดเตเดเดพเตป เดเดดเดฟเดเตเดเดฟเดฒเตเดฒ, เด เดคเดฟเดจเดพเตฝ เด เดต เดเดชเดฏเตเดเดฟเดเตเดเตเด เดชเดฐเดฟเดตเตผเดคเตเดคเดจเด เดธเดพเดงเตเดฏเดฎเดฒเตเดฒ.
เดเดเตเดเตพ openssl เดเดชเดฏเตเดเดฟเดเตเดเต เดเดฐเต PEM เดเต เดเดจเดฑเตเดฑเตเดฑเต เดเตเดฏเตเดฏเตเดเดฏเตเด เดคเตเดเตผเดจเตเดจเต plainrsa-gen เดเดชเดฏเตเดเดฟเดเตเดเต เดฑเดพเดเตเดเตเดฃเดพเดฏเดฟ เดชเดฐเดฟเดตเตผเดคเตเดคเดจเด เดเตเดฏเตเดฏเตเดเดฏเตเด เดเตเดฏเตเดฏเตเด:
# ะะตะฝะตัะธััะตะผ ะบะปัั
openssl genrsa -out server-name.pem 1024
# ะะทะฒะปะตะบะฐะตะผ ะฟัะฑะปะธัะฝัะน ะบะปัั
openssl rsa -in server-name.pem -pubout > server-name.pub.pem
# ะะพะฝะฒะตััะธััะตะผ
plainrsa-gen -i server-name.pem -f server-name.privet.key
plainrsa-gen -i server-name.pub.pem -f server-name.pub.key
เดฒเดญเดฟเดเตเด เดเตเดเตพ เดเดเตเดเตพ เดซเตเตพเดกเดฑเดฟเตฝ เดเดเตเด: /etc/racoon/certs/server. เดฑเดเตเดเตเตบ เดกเตเดฎเตบ เดฒเตเดเตเดเต เดเตเดฏเตเดค (เดธเดพเดงเดพเดฐเดฃเดฏเดพเดฏเดฟ เดฑเตเดเตเดเต) เดเดชเดฏเตเดเตเดคเดพเดตเดฟเดจเตเดฑเต เดเดเดฎเดฏเต 600 เด เดจเตเดฎเดคเดฟเดเดณเดพเดฏเดฟ เดธเดเตเดเตเดเดฐเดฟเดเตเดเดพเตป เดฎเดฑเดเตเดเดฐเตเดคเต.
WinBox เดตเดดเดฟ เดฌเดจเตเดงเดฟเดชเตเดชเดฟเดเตเดเตเดฎเตเดชเตเตพ เดเดพเตป mikrotik เดธเดเตเดเตเดเดฐเดฃเด เดตเดฟเดตเดฐเดฟเดเตเดเตเด.
mikrotik-เดฒเตเดเตเดเต server-name.pub.pem เดเต เด เดชเตโเดฒเตเดกเต เดเตเดฏเตเดฏเตเด: เดฎเตเดจเต โเดซเดฏเดฒเตเดเตพโ - โเด เดชเตโเดฒเตเดกเตโ.
"IP" เดตเดฟเดญเดพเดเด - "IP เดธเตเดเตเดเดจเตเดฑเต" - "เดเตเดเตพ" เดเดพเดฌเต เดคเตเดฑเดเตเดเตเด. เดเดชเตเดชเตเตพ เดจเดฎเตเดฎเตพ เดเตเดเตพ เดเดจเดฑเตเดฑเตเดฑเต เดเตเดฏเตเดฏเตเดจเตเดจเต - "เดเดจเดฑเตเดฑเตเดฑเต เดเต" เดฌเดเตเดเตบ, เดคเตเดเตผเดจเตเดจเต เดฎเตเดเตเดฐเตเดเตเดเดฟเด เดชเดฌเตเดฒเดฟเดเต เดเต "เดเดเตโเดธเตโเดชเตเตผ เดชเดฌเต เดเดเตโเดธเตโเดชเตเตผเดเตเดเต เดเตเดฏเตเดฏเตเด. เดเต", เดจเดฟเดเตเดเตพเดเตเดเต เดเดคเต "เดซเดฏเดฒเตเดเตพ" เดตเดฟเดญเดพเดเดคเตเดคเดฟเตฝ เดจเดฟเดจเตเดจเต เดกเตเตบเดฒเตเดกเต เดเตเดฏเตเดฏเดพเด, เดซเดฏเดฒเดฟเตฝ เดตเดฒเดคเต เดเตเดฒเดฟเดเตเดเต เดเตเดฏเตเดฏเตเด - "เดกเตเตบเดฒเตเดกเต".
"เดซเดฏเตฝ เดจเดพเดฎเด" เดซเตเตฝเดกเดฟเดจเตเดฑเต เดกเตเดฐเตเดชเตเดชเต-เดกเตเตบ เดฒเดฟเดธเตเดฑเตเดฑเดฟเตฝ, เดเดเตเดเตพ เดฎเตเดฎเตเดชเต เดกเตเตบเดฒเตเดกเต เดเตเดฏเตโเดค เดธเตเตผเดตเตผ-เดจเดพเดฎเด.pub.pem-เดจเดพเดฏเดฟ เดคเดฟเดฐเดฏเตเดจเตเดจ "เดเดฑเดเตเดเตเดฎเดคเดฟ" เดเดจเตเดจ เดฑเดเตเดเตเตบ เดชเดฌเตเดฒเดฟเดเต เดเต เดเดเตเดเตพ เดเดฑเดเตเดเตเดฎเดคเดฟ เดเตเดฏเตเดฏเตเดจเตเดจเต.
เดฎเตเดเตเดฐเตเดเตเดเดฟเดเต เดชเดฌเตเดฒเดฟเดเต เดเต เดชเดฐเดฟเดตเตผเดคเตเดคเดจเด เดเตเดฏเตเดฏเตเดฃเตเดเดคเตเดฃเตเดเต
plainrsa-gen -i mikrotik.pub.pem -f mikrotik.pub.key
เดเดเดฎเดฏเตเดฏเตเด เด เดตเดเดพเดถเดเตเดเดณเตเดฏเตเด เดเตเดฑเดฟเดเตเดเต เดฎเดฑเดเตเดเดพเดคเต, เด เดคเต /etc/racoon/certs เดซเตเตพเดกเดฑเดฟเตฝ เดเดเตเด.
เด เดญเดฟเดชเตเดฐเดพเดฏเดเตเดเดณเตเดณเตเดณ racoon config: /etc/racoon/racoon.conf
log info; # ะฃัะพะฒะตะฝั ะปะพะณะธัะพะฒะฐะฝะธั, ะฟัะธ ะพัะปะฐะดะบะต ะธัะฟะพะปัะทัะตะผ Debug ะธะปะธ Debug2.
listen {
isakmp 1.1.1.1 [500]; # ะะดัะตั ะธ ะฟะพัั, ะฝะฐ ะบะพัะพัะพะผ ะฑัะดะตั ัะปััะฐัั ะดะตะผะพะฝ.
isakmp_natt 1.1.1.1 [4500]; # ะะดัะตั ะธ ะฟะพัั, ะฝะฐ ะบะพัะพัะพะผ ะฑัะดะตั ัะปััะฐัั ะดะตะผะพะฝ ะดะปั ะบะปะธะตะฝัะพะฒ ะทะฐ NAT.
strict_address; # ะัะฟะพะปะฝััั ะพะฑัะทะฐัะตะปัะฝัั ะฟัะพะฒะตัะบั ะฟัะธะฒัะทะบะธ ะบ ัะบะฐะทะฐะฝะฝัะผ ะฒััะต IP.
}
path certificate "/etc/racoon/certs"; # ะััั ะดะพ ะฟะฐะฟะบะธ ั ัะตััะธัะธะบะฐัะฐะผะธ.
remote anonymous { # ะกะตะบัะธั, ะทะฐะดะฐััะฐั ะฟะฐัะฐะผะตััั ะดะปั ัะฐะฑะพัั ะดะตะผะพะฝะฐ ั ISAKMP ะธ ัะพะณะปะฐัะพะฒะฐะฝะธั ัะตะถะธะผะพะฒ ั ะฟะพะดะบะปััะฐััะธะผะธัั ั
ะพััะฐะผะธ. ะขะฐะบ ะบะฐะบ IP, ั ะบะพัะพัะพะณะพ ะฟะพะดะบะปััะฐะตััั Mikrotik, ะดะธะฝะฐะผะธัะตัะบะธะน, ัะพ ะธัะฟะพะปัะทัะตะผ anonymous, ััะพ ัะฐะทัะตัะฐะตั ะฟะพะดะบะปััะตะฝะธะต ั ะปัะฑะพะณะพ ะฐะดัะตัะฐ. ะัะปะธ IP ั ั
ะพััะพะฒ ััะฐัะธัะตัะบะธะน, ัะพ ะผะพะถะฝะพ ัะบะฐะทะฐัั ะบะพะฝะบัะตัะฝัะน ะฐะดัะตั ะธ ะฟะพัั.
passive on; # ะะฐะดะฐะตั "ัะตัะฒะตัะฝัะน" ัะตะถะธะผ ัะฐะฑะพัั ะดะตะผะพะฝะฐ, ะพะฝ ะฝะต ะฑัะดะตั ะฟััะฐัััั ะธะฝะธัะธะธัะพะฒะฐัั ะฟะพะดะบะปััะตะฝะธั.
nat_traversal on; # ะะบะปััะฐะตั ะธัะฟะพะปัะทะพะฒะฐะฝะธะต ัะตะถะธะผะฐ NAT-T ะดะปั ะบะปะธะตะฝัะพะฒ, ะตัะปะธ ะพะฝะธ ะทะฐ NAT.
exchange_mode main; # ะ ะตะถะธะผ ะพะฑะผะตะฝะฐ ะฟะฐัะฐะผะตััะฐะผะธ ะฟะพะดะบะปััะตะฝะธั, ะฒ ะดะฐะฝะฝะพะผ ัะปััะฐะต ---ัะพะณะปะฐัะพะฒะฐะฝะธะต.
my_identifier address 1.1.1.1; # ะะดะตะฝัะธัะธัะธััะตะผ ะฝะฐั linux ั
ะพัั ะฟะพ ะตะณะพ ip ะฐะดัะตัั.
certificate_type plain_rsa "server/server-name.priv.key"; # ะัะธะฒะฐัะฝัะน ะบะปัั ัะตัะฒะตัะฐ.
peers_certfile plain_rsa "mikrotik.pub.key"; # ะัะฑะปะธัะฝัะน ะบะปัั Mikrotik.
proposal_check claim; # ะ ะตะถะธะผ ัะพะณะปะฐัะพะฒะฐะฝะธั ะฟะฐัะฐะผะตััะพะฒ ISAKMP ััะฝะฝะตะปั. Racoon ะฑัะดะตั ะธัะฟะพะปัะทะพะฒะฐัั ะทะฝะฐัะตะฝะธั ะฟะพะดะบะปััะฐััะตะณะพัั ั
ะพััะฐ (ะธะฝะธัะธะฐัะพัะฐ) ะดะปั ััะพะบะฐ ะดะตะนััะฒะธั ัะตััะธะธ ะธ ะดะปะธะฝั ะบะปััะฐ, ะตัะปะธ ะตะณะพ ััะพะบ ะดะตะนััะฒะธั ัะตััะธะธ ะฑะพะปััะต, ะธะปะธ ะดะปะธะฝะฐ ะตะณะพ ะบะปััะฐ ะบะพัะพัะต, ัะตะผ ั ะธะฝะธัะธะฐัะพัะฐ. ะัะปะธ ััะพะบ ะดะตะนััะฒะธั ัะตััะธะธ ะบะพัะพัะต, ัะตะผ ั ะธะฝะธัะธะฐัะพัะฐ, racoon ะธัะฟะพะปัะทัะตั ัะพะฑััะฒะตะฝะฝะพะต ะทะฝะฐัะตะฝะธะต ััะพะบะฐ ะดะตะนััะฒะธั ัะตััะธะธ ะธ ะฑัะดะตั ะพัะฟัะฐะฒะปััั ัะพะพะฑัะตะฝะธะต RESPONDER-LIFETIME.
proposal { # ะะฐัะฐะผะตััั ISAKMP ััะฝะฝะตะปั.
encryption_algorithm aes; # ะะตัะพะด ัะธััะพะฒะฐะฝะธั ISAKMP ััะฝะฝะตะปั.
hash_algorithm sha512; # ะะปะณะพัะธัะผ ั
ะตัะธัะพะฒะฐะฝะธั, ะธัะฟะพะปัะทัะตะผัะน ะดะปั ISAKMP ััะฝะฝะตะปั.
authentication_method rsasig; # ะ ะตะถะธะผ ะฐััะตะฝัะธัะธะบะฐัะธะธ ะดะปั ISAKMP ััะฝะฝะตะปั - ะฟะพ RSA ะบะปััะฐะผ.
dh_group modp2048; # ะะปะธะฝะฐ ะบะปััะฐ ะดะปั ะฐะปะณะพัะธัะผะฐ ะะธััะธ-ะฅะตะปะปะผะฐะฝะฐ ะฟัะธ ัะพะณะปะฐัะพะฒะฐะฝะธะธ ISAKMP ััะฝะฝะตะปั.
lifetime time 86400 sec; ะัะตะผั ะดะตะนััะฒะธั ัะตััะธะธ.
}
generate_policy on; # ะะฒัะพะผะฐัะธัะตัะบะพะต ัะพะทะดะฐะฝะธะต ESP ััะฝะฝะตะปะตะน ะธะท ะทะฐะฟัะพัะฐ, ะฟัะธัะตะดัะตะณะพ ะพั ะฟะพะดะบะปััะฐััะตะณะพัั ั
ะพััะฐ.
}
sainfo anonymous { # ะะฐัะฐะผะตััั ESP ััะฝะฝะตะปะตะน, anonymous - ัะบะฐะทะฐะฝะฝัะต ะฟะฐัะฐะผะตััั ะฑัะดัั ะธัะฟะพะปัะทะพะฒะฐะฝั ะบะฐะบ ะฟะฐัะฐะผะตััั ะฟะพ ัะผะพะปัะฐะฝะธั. ะะปั ัะฐะทะฝัั
ะบะปะธะตะฝัะพะฒ, ะฟะพััะพะฒ, ะฟัะพัะพะบะพะปะพะฒ ะผะพะถะฝะพ ะทะฐะดะฐะฒะฐัั ัะฐะทะฝัะต ะฟะฐัะฐะผะตััั, ัะพะฟะพััะฐะฒะปะตะฝะธะต ะฟัะพะธัั
ะพะดะธั ะฟะพ ip ะฐะดัะตัะฐะผ, ะฟะพััะฐะผ, ะฟัะพัะพะบะพะปะฐะผ.
pfs_group modp2048; # ะะปะธะฝะฐ ะบะปััะฐ ะดะปั ะฐะปะณะพัะธัะผะฐ ะะธััะธ-ะฅะตะปะปะผะฐะฝะฐ ะดะปั ESP ััะฝะฝะตะปะตะน.
lifetime time 28800 sec; # ะกัะพะบ ะดะตะนััะฒะธั ESP ััะฝะฝะตะปะตะน.
encryption_algorithm aes; # ะะตัะพะด ัะธััะพะฒะฐะฝะธั ESP ััะฝะฝะตะปะตะน.
authentication_algorithm hmac_sha512; # ะะปะณะพัะธัะผ ั
ะตัะธัะพะฒะฐะฝะธั, ะธัะฟะพะปัะทัะตะผัะน ะดะปั ะฐััะตะฝัะธัะธะบะฐัะธะธ ESP ััะฝะฝะตะปะตะน.
compression_algorithm deflate; # ะกะถะธะผะฐัั ะฟะตัะตะดะฐะฒะฐะตะผัะต ะดะฐะฝะฝัะต, ะฐะปะณะพัะธัะผ ัะถะฐัะธั ะฟัะตะดะปะฐะณะฐะตััั ัะพะปัะบะพ ะพะดะธะฝ.
}
เดฎเตเดเตเดฐเตเดเตเดเดฟเดเต เดเตเตบเดซเดฟเดเดฑเตเดทเตป
"IP" เดตเดฟเดญเดพเดเดคเตเดคเดฟเดฒเตเดเตเดเต เดฎเดเดเตเดเตเด - "IPsec"
"เดชเตเดฐเตเดซเตเดฒเตเดเตพ" เดเดพเดฌเต
เดชเดพเดฐเดพเดฎเตเดฑเตเดฑเตผ
เดตเดฟเดฒ
เดชเตเดฐเต
เดจเดฟเดเตเดเดณเตเดเต เดตเดฟเดตเตเดเดจเดพเดงเดฟเดเดพเดฐเดคเตเดคเดฟเตฝ (เดธเตเดฅเดฟเดฐเดธเตเดฅเดฟเดคเดฟเดฏเดพเดฏเดฟ)
เดนเดพเดทเต เด
เตฝเดเตเดฐเดฟเดคเด
sha512
เดเตปเดเตเดฐเดฟเดชเตเดทเตป เด
เตฝเดเตเดฐเดฟเดคเด
aes-128
เดกเดฟเดเดเตเดเต-เดเตเดฐเตเดชเตเดชเต
modp2048
เดชเตเดฐเตเดชเตเดชเตเดทเตฝ_เดเตเดเตเดเต
เด
เดตเดเดพเดถเด
เดเดเตเดตเดจเดพเดจเตเดคเด
1d 00:00:00
NAT เดเตเดฐเดพเดตเตเดดเตเดธเตฝ
เดถเดฐเดฟ (เดฌเตเดเตเดธเต เดชเดฐเดฟเดถเตเดงเดฟเดเตเดเตเด)
เดกเดฟเดชเดฟเดกเดฟ
120
DPD เดชเดฐเดฎเดพเดตเดงเดฟ เดชเดฐเดพเดเดฏเด
5
เดชเดฟเดฏเตผ เดเดพเดฌเต
เดชเดพเดฐเดพเดฎเตเดฑเตเดฑเตผ
เดตเดฟเดฒ
เดชเตเดฐเต
เดจเดฟเดเตเดเดณเตเดเต เดตเดฟเดตเตเดเดจเดพเดงเดฟเดเดพเดฐเดคเตเดคเดฟเตฝ (เดเดจเดฟ เดฎเตเดคเตฝ MyPeer เดเดจเตเดจเดฑเดฟเดฏเดชเตเดชเตเดเตเดจเตเดจเต)
เดตเดฟเดฒเดพเดธเด
1.1.1.1 (IP Linux เดฎเตเดทเตเดจเตเดเตพ)
เดชเตเดฐเดพเดฆเตเดถเดฟเด เดตเดฟเดฒเดพเดธเด
10.0.0.2 (IP WAN เดเดจเตเดฑเตผเดซเตเดธเต เดฎเตเดเตเดฐเตเดเดฟเดเต)
เดชเตเดฐเตเดพเดซเตเตฝ
เดธเตเดฅเดฟเดฐเดธเตเดฅเดฟเดคเดฟ
เดเดเตเดธเตเดเตเดเตเดเต เดฎเตเดกเต
เดชเตเดฐเดงเดพเดจ
เดจเดฟเดทเตเดเตเดฐเดฟเดฏเด
เดคเตเดฑเตเดฑเดพเดฏ
INITIAL_CONTACT เด
เดฏเดฏเตโเดเตเดเตเด
เดฏเดฅเดพเตผเดฅ
เดจเดฟเตผเดฆเตเดฆเตเดถ เดเดพเดฌเต
เดชเดพเดฐเดพเดฎเตเดฑเตเดฑเตผ
เดตเดฟเดฒ
เดชเตเดฐเต
เดจเดฟเดเตเดเดณเตเดเต เดตเดฟเดตเตเดเดจเดพเดงเดฟเดเดพเดฐเดคเตเดคเดฟเตฝ (เดเดจเดฟ เดฎเตเดคเตฝ MyPeerPoposal เดเดจเตเดจเต เดตเดฟเดณเดฟเดเตเดเตเดจเตเดจเต)
เดเดคเตเดคเต เด
เตฝเดเตเดฐเดฟเดคเดเตเดเตพ
sha512
Encr. เด
เตฝเดเตเดฐเดฟเดคเดเตเดเตพ
aes-128-cbc
เดเดเตเดตเดจเดพเดจเตเดคเด
08:00:00
PFS เดเตเดฐเตเดชเตเดชเต
modp2048
"เดเดกเดจเตเดฑเดฟเดฑเตเดฑเดฟเดเตพ" เดเดพเดฌเต
เดชเดพเดฐเดพเดฎเตเดฑเตเดฑเตผ
เดตเดฟเดฒ
เดชเดฟเดฏเตผ
เดฎเตเดชเตเตผ
เด
เดคเตเดนเต. เดฐเตเดคเดฟ
เดเตผเดเดธเตเด เดเต
เดเต
mikrotik.privet.key
เดตเดฟเดฆเตเดฐ เดเต
เดธเตเตผเดตเตผ-เดจเดพเดฎเด.pub.pem
เดจเดฏ เดเตเดเดชเตเดฒเตเดฑเตเดฑเต เดเตเดฐเตเดชเตเดชเต
เดธเตเดฅเดฟเดฐเดธเตเดฅเดฟเดคเดฟ
เดจเตเดเตเดเตเดเตเดฐเดพเดเตเดเต เดเตเดฏเดฟเตป
เดถเตเดจเตเดฏเด
เดเดจเตเดฑเต เดเดกเดฟ เดคเดฐเด
เดเดพเดฐเต
เดฑเดฟเดฎเตเดเตเดเต เดเดกเดฟ เดคเดฐเด
เดเดพเดฐเต
เดฎเดคเตเดธเดฐเด เดชเตเดฐเดเดพเดฐเด
เดฑเดฟเดฎเตเดเตเดเต เดเดกเดฟ
เดฎเตเดกเต เดเตเตบเดซเดฟเดเดฑเตเดทเตป
เดถเตเดจเตเดฏเด
เดจเดฏเด เดธเตเดทเตเดเดฟเดเตเดเตเด
เดเดฒเตเดฒ
เดเดพเดฌเต "เดจเดฏเดเตเดเตพ - เดชเตเดคเตเดตเดพเดฏเดคเต"
เดชเดพเดฐเดพเดฎเตเดฑเตเดฑเตผ
เดตเดฟเดฒ
เดชเดฟเดฏเตผ
เดฎเตเดชเตเตผ
เดคเตเดฐเดเตเดเด
เดฏเดฅเดพเตผเดฅ
เดธเตเดจเดฟเดฏเตผ เดตเดฟเดฒเดพเดธเด
192.168.0.0/30
เดกเตเดธเตเดฑเตเดฑเต. เดตเดฟเดฒเดพเดธเด
192.168.0.0/30
เดชเตเดฐเตเดเตเดเตเดเตเตพ
255 (เดเดฒเตเดฒเดพเด)
เดซเดฒเดเด
เดคเตเดฑเตเดฑเดพเดฏ
เดเดพเดฌเต "เดจเดฏเดเตเดเตพ - เดชเตเดฐเดตเตผเดคเตเดคเดจเด"
เดชเดพเดฐเดพเดฎเตเดฑเตเดฑเตผ
เดตเดฟเดฒ
เดเดเตเดทเตป
เดเตปเดเตเดฐเดฟเดชเตเดฑเตเดฑเต เดเตเดฏเตเดฏเตเด
เดฒเตเดตเตฝ
เด
เดชเตเดเตเดทเดเตป
IPsec เดชเตเดฐเตเดเตเดเตเดเตเดเตเดณเตเดเตพ
esp
เดจเดฟเตผเดฆเตเดฆเตเดถเด
MyPeerPoposal
เดฎเดฟเดเตเดเดตเดพเดฑเตเด, เดเดจเตเดจเตเดชเตเดชเตเดฒเต, เดจเดฟเดเตเดเดณเตเดเต WAN เดเดจเตเดฑเตผเดซเตเดธเดฟเตฝ เดธเตโเดจเดพเดฑเตเดฑเต/เดฎเดพเดธเตโเดเตเดตเดฑเตเดกเต เดเตเตบเดซเดฟเดเตผ เดเตเดฏเตโเดคเดฟเดเตเดเตเดฃเตเดเต; เดเดเตเดเตโเดเตเดฏเดฟเดเดเต ipsec เดชเดพเดเตเดเดฑเตเดฑเตเดเตพ เดเดเตเดเดณเตเดเต เดเดฃเดฒเดฟเดฒเตเดเตเดเต เดชเตเดเตเดจเตเดจเดคเดฟเดจเต เด เดจเดฟเดฏเดฎเด เดเตเดฐเดฎเตเดเดฐเดฟเดเตเดเตเดฃเตเดเดคเตเดฃเตเดเต:
"IP" - "เดซเดฏเตผเดตเดพเตพ" เดตเดฟเดญเดพเดเดคเตเดคเดฟเดฒเตเดเตเดเต เดชเตเดเตเด.
"NAT" เดเดพเดฌเต, เดเดเตเดเดณเตเดเต เดธเตเดจเดพเดฑเตเดฑเต/เดฎเดพเดธเตเดเตเดตเตเดฑเตเดกเต เดฑเตเตพ เดคเตเดฑเดเตเดเตเด.
เดตเดฟเดชเตเดฒเดฎเดพเดฏ เดเดพเดฌเต
เดชเดพเดฐเดพเดฎเตเดฑเตเดฑเตผ
เดตเดฟเดฒ
IPsec เดจเดฏเด
เดชเตเดฑเดคเตเดคเต: เดเดจเตเดจเตเดฎเดฟเดฒเตเดฒ
เดฑเดพเดเตเดเตเตบ เดญเตเดคเดคเตเดคเต เดชเตเดจเดฐเดพเดฐเดเดญเดฟเดเตเดเตเดจเตเดจเต
sudo systemctl restart racoon
เดชเตเดจเดฐเดพเดฐเดเดญเดฟเดเตเดเตเดฎเตเดชเตเตพ เดฑเดพเดเตเดเตเตบ เดเดฐเดเดญเดฟเดเตเดเตเดจเตเดจเดฟเดฒเตเดฒเตเดเตเดเดฟเตฝ, เดเตเตบเดซเดฟเดเดฑเตเดทเดจเดฟเตฝ เดเดฐเต เดชเดฟเดถเดเตเดฃเตเดเต; เดธเดฟเดธเตโเดฒเตเดเดฟเตฝ, เดชเดฟเดถเดเต เดเดฃเตเดเตเดคเตเดคเดฟเดฏ เดฒเตเตป เดจเดฎเตเดชเดฑเดฟเดจเตเดเตเดเตเดฑเดฟเดเตเดเตเดณเตเดณ เดตเดฟเดตเดฐเดเตเดเตพ เดฑเดพเดเตเดเตเตบ เดชเตเดฐเดฆเตผเดถเดฟเดชเตเดชเดฟเดเตเดเตเดจเตเดจเต.
OS เดฌเตเดเตเดเต เดเตเดฏเตเดฏเตเดฎเตเดชเตเตพ, เดจเตเดฑเตเดฑเตโเดตเตผเดเตเดเต เดเดจเตเดฑเตผเดซเตเดธเตเดเตพ เดเตเดฃเตเดเตเดตเดฐเตเดจเตเดจเดคเดฟเดจเต เดฎเตเดฎเตเดชเต เดฑเดพเดเตเดเตเตบ เดกเตเดฎเตบ เดเดฐเดเดญเดฟเดเตเดเตเดจเตเดจเต, เดเตเดเดพเดคเต เดฒเดฟเดธเตป เดตเดฟเดญเดพเดเดคเตเดคเดฟเตฝ เดเดเตเดเตพ strict_address เดเดชเตเดทเตป เดตเตเดฏเดเตเดคเดฎเดพเดเตเดเดฟเดฏเดฟเดเตเดเตเดฃเตเดเต; เดจเดฟเดเตเดเตพ systemd เดซเดฏเดฒเดฟเดฒเตเดเตเดเต เดฑเดพเดเตเดเตเตบ เดฏเตเดฃเดฟเดฑเตเดฑเต เดเตเตผเดเตเดเตเดฃเตเดเดคเตเดฃเตเดเต.
/lib/systemd/system/racoon.service, [เดฏเตเดฃเดฟเดฑเตเดฑเต] เดตเดฟเดญเดพเดเดคเตเดคเดฟเตฝ, เดฒเตเตป After=network.target.
เดเดชเตเดชเตเตพ เดเดเตเดเดณเตเดเต ipsec เดเดฃเดฒเตเดเตพ เดฎเตเดเดณเดฟเดฒเดพเดฏเดฟเดฐเดฟเดเตเดเดฃเด, เดเดเตเดเตเดชเตเดเตเดเต เดจเตเดเตเดเตเด:
sudo ip xfrm policy
src 192.168.255.0/30 dst 192.168.255.0/30
dir out priority 2147483648
tmpl src 1.1.1.1 dst "IP NAT ัะตัะตะท ะบะพัะพััะน ะฟะพะดะบะปััะฐะตััั mikrotik"
proto esp reqid 0 mode tunnel
src 192.168.255.0/30 dst 192.168.255.0/30
dir fwd priority 2147483648
tmpl src "IP NAT ัะตัะตะท ะบะพัะพััะน ะฟะพะดะบะปััะฐะตััั mikrotik" dst 1.1.1.1
proto esp reqid 0 mode tunnel
src 192.168.255.0/30 dst 192.168.255.0/30
dir in priority 2147483648
tmpl src "IP NAT ัะตัะตะท ะบะพัะพััะน ะฟะพะดะบะปััะฐะตััั mikrotik" dst 1.1.1.1
proto esp reqid 0 mode tunnel
เดคเตเดฐเดเตเดเดเตเดเตพ เดเดฏเตผเดจเตเดจเดฟเดเตเดเดฟเดฒเตเดฒเตเดเตเดเดฟเตฝ, syslog เดจเตเดเตเดเตเด, เด เดฒเตเดฒเตเดเตเดเดฟเตฝ journalctl -u racoon.
เดเดชเตเดชเตเตพ เดจเดฟเดเตเดเตพ L3 เดเดจเตเดฑเตผเดซเตเดธเตเดเตพ เดเตเตบเดซเดฟเดเตผ เดเตเดฏเตเดฏเตเดฃเตเดเดคเตเดฃเตเดเต, เด เดคเตเดตเดดเดฟ เดเตเดฐเดพเดซเดฟเดเตเดเต เดฑเตเดเตเดเต เดเตเดฏเตเดฏเดพเตป เดเดดเดฟเดฏเตเด. เดตเตเดฏเดคเตเดฏเดธเตเดค เดเดชเตเดทเดจเตเดเตพ เดเดฃเตเดเต, เดเดเตเดเตพ IPIP เดเดชเดฏเตเดเดฟเดเตเดเตเด, mikrotik เด เดคเดฟเดจเต เดชเดฟเดจเตเดคเตเดฃเดฏเตเดเตเดเตเดจเตเดจเดคเดฟเดจเดพเตฝ, เดเดพเตป vti เดเดชเดฏเตเดเดฟเดเตเดเตเด, เดชเดเตเดทเต, เดจเดฟเตผเดญเดพเดเตเดฏเดตเดถเดพเตฝ, mikrotik-เตฝ เดเดคเต เดเดคเตเดตเดฐเต เดจเดเดชเตเดชเดฟเดฒเดพเดเตเดเดฟเดฏเดฟเดเตเดเดฟเดฒเตเดฒ. เดเดคเต IPIP-เดฏเดฟเตฝ เดจเดฟเดจเตเดจเต เดตเตเดฏเดคเตเดฏเดธเตโเดคเดฎเดพเดฃเต, เดเดคเดฟเดจเต เดฎเตพเดเตเดเดฟเดเดพเดธเตเดฑเตเดฑเต เดเตเดเตเดเดฟเดเตเดเตเตผเดเตเดเดพเดจเตเด เดชเดพเดเตเดเดฑเตเดฑเตเดเดณเดฟเตฝ fwmarks เดเดเดพเดจเตเด เดเดดเดฟเดฏเตเด, เด เดคเดฟเดฒเตเดเต iptables, iproute2 (เดจเดฏ-เด เดเดฟเดธเตเดฅเดพเดจ เดฑเตเดเตเดเดฟเดเดเต) เดเดจเตเดจเดฟเดตเดฏเดฟเตฝ เดซเดฟเตฝเดเตเดเตผ เดเตเดฏเตเดฏเดพเด. เดจเดฟเดเตเดเตพเดเตเดเต เดชเดฐเดฎเดพเดตเดงเดฟ เดชเตเดฐเดตเตผเดคเตเดคเดจเด เดตเตเดฃเดฎเตเดเตเดเดฟเตฝ, เดเดฆเดพเดนเดฐเดฃเดคเตเดคเดฟเดจเต, GRE. เดเดจเตเดจเดพเตฝ เดเดฐเต เดตเดฒเดฟเดฏ เดเดตเตผเดนเตเดกเต เดนเตเดกเต เดเดชเดฏเตเดเดฟเดเตเดเต เด เดงเดฟเด เดชเตเดฐเดตเตผเดคเตเดคเดจเดคเตเดคเดฟเดจเดพเดฏเดฟ เดเดเตเดเตพ เดชเดฃเด เดจเตฝเดเตเดจเตเดจเตเดตเตเดจเตเดจ เดเดพเดฐเตเดฏเด เดฎเดฑเดเตเดเดฐเตเดคเต.
เดเดฃเตฝ เดเดจเตเดฑเตผเดซเตเดธเตเดเดณเตเดเต เดเดฐเต เดจเดฒเตเดฒ เด
เดตเดฒเตเดเดจเดคเตเดคเดฟเดจเตเดฑเต เดตเดฟเดตเตผเดคเตเดคเดจเด เดจเดฟเดเตเดเตพเดเตเดเต เดเดพเดฃเดพเตป เดเดดเดฟเดฏเตเด
Linux-เตฝ:
# ะกะพะทะดะฐะตะผ ะธะฝัะตััะตะนั
sudo ip tunnel add ipip-ipsec0 local 192.168.255.1 remote 192.168.255.2 mode ipip
# ะะบัะธะฒะธััะตะผ
sudo ip link set ipip-ipsec0 up
# ะะฐะทะฝะฐัะฐะตะผ ะฐะดัะตั
sudo ip addr add 192.168.255.1/30 dev ipip-ipsec0
mikrotik-เดจเต เดชเดฟเดจเตเดจเดฟเดฒเต เดจเตเดฑเตเดฑเตโเดตเตผเดเตเดเตเดเตพเดเตเดเดพเดฏเดฟ เดเดชเตเดชเตเตพ เดจเดฟเดเตเดเตพเดเตเดเต เดฑเตเดเตเดเตเดเตพ เดเตเตผเดเตเดเดพเตป เดเดดเดฟเดฏเตเด
sudo ip route add A.B.C.D/Prefix via 192.168.255.2
เดฑเตเดฌเตเดเตเดเดฟเดจเต เดถเตเดทเด เดเดเตเดเดณเตเดเต เดเดจเตเดฑเตผเดซเตเดธเตเด เดฑเตเดเตเดเตเดเดณเตเด เดเดฏเตผเดคเตเดคเตเดจเตเดจเดคเดฟเดจเต, เดเดเตเดเตพ /etc/network/interfaces-เตฝ เดเดจเตเดฑเตผเดซเตเดธเต เดตเดฟเดตเดฐเดฟเดเตเดเตเดเดฏเตเด เดชเตเดธเตเดฑเตเดฑเต-เด เดชเตเดชเดฟเตฝ เดฑเตเดเตเดเตเดเตพ เดเตเตผเดเตเดเตเดเดฏเตเด เด เดฒเตเดฒเตเดเตเดเดฟเตฝ เดเดฒเตเดฒเดพเด เดเดฐเต เดซเดฏเดฒเดฟเตฝ เดเดดเตเดคเตเดเดฏเตเด เดตเตเดฃเด, เดเดฆเดพเดนเดฐเดฃเดคเตเดคเดฟเดจเต, /etc/ ipip-ipsec0.conf เดชเตเดธเตเดฑเตเดฑเต-เด เดชเตเดชเดฟเดฒเตเดเต เด เดคเต เดตเดฒเดฟเดเตเดเดฟเดเตเด, เดซเดฏเตฝ เดเดเดฎเดฏเตเดฏเตเด เด เดตเดเดพเดถเดเตเดเดณเตเดฏเตเด เดเตเดฑเดฟเดเตเดเต เดฎเดฑเดเตเดเดฐเตเดคเต, เด เดคเต เดเดเตเดธเดฟเดเตเดฏเตเดเตเดเดฌเดฟเตพ เดเดเตเดเตเด.
เดเดฐเต เดเดฆเดพเดนเดฐเดฃ เดซเดฏเตฝ เดเตเดตเดเตเดฏเตเดฃเตเดเต
#!/bin/bash
ip tunnel add ipip-ipsec0 local 192.168.255.1 remote 192.168.255.2 mode ipip
ip link set ipip-ipsec0 up
ip addr add 192.168.255.1/30 dev ipip-ipsec0
ip route add A.B.C.D/Prefix via 192.168.255.2
เดฎเตเดเตเดฐเตเดเดฟเดเตเดเดฟเตฝ:
เดตเดฟเดญเดพเดเด "เดเดจเตเดฑเตผเดซเตเดธเตเดเตพ", เดเดฐเต เดชเตเดคเดฟเดฏ เดเดจเตเดฑเตผเดซเตเดธเต "IP เดเดฃเตฝ" เดเตเตผเดเตเดเตเด:
เดเดพเดฌเต โIP เดเดฃเตฝโ - โเดชเตเดคเตเดตเดพเดฏเดคเตโ
เดชเดพเดฐเดพเดฎเตเดฑเตเดฑเตผ
เดตเดฟเดฒ
เดชเตเดฐเต
เดจเดฟเดเตเดเดณเตเดเต เดตเดฟเดตเตเดเดจเดพเดงเดฟเดเดพเดฐเดคเตเดคเดฟเตฝ (เดเดจเดฟเดฎเตเดคเตฝ IPIP-IPsec0 เดเดจเตเดจเดฑเดฟเดฏเดชเตเดชเตเดเตเดจเตเดจเต)
เดเด.เดเดฟ.เดฏเต
1480 (เดตเตเดฏเดเตเดคเดฎเดพเดเตเดเดฟเดฏเดฟเดเตเดเดฟเดฒเตเดฒเตเดเตเดเดฟเตฝ, mtu เดจเต 68 เดเดเตเดเดฟ mikrotik เดฎเตเดฑเดฟเดเตเดเดพเตป เดคเตเดเดเตเดเตเดจเตเดจเต)
เดชเตเดฐเดพเดฆเตเดถเดฟเด เดตเดฟเดฒเดพเดธเด
192.168.0.2
เดตเดฟเดฆเตเดฐ เดตเดฟเดฒเดพเดธเด
192.168.0.1
IPsec เดฐเดนเดธเตเดฏเด
เดซเตเตฝเดกเต เดจเดฟเตผเดเตเดเตเดตเดฎเดพเดเตเดเตเด (เด
เดฒเตเดฒเตเดเตเดเดฟเตฝ เดเดฐเต เดชเตเดคเดฟเดฏ เดชเดฟเดฏเตผ เดธเตเดทเตเดเดฟเดเตเดเดชเตเดชเตเดเตเด)
เดเตเดตเดจเตเดพเดเต
เดซเตเตฝเดกเต เดจเดฟเตผเดเตเดเตเดตเดฎเดพเดเตเดเตเด (เด
เดฒเตเดฒเตเดเตเดเดฟเตฝ เดเดจเตเดฑเตผเดซเตเดธเต เดจเดฟเดฐเดจเตเดคเดฐเด เดเดซเดพเดเตเด, เดเดพเดฐเดฃเด เด เดชเดพเดเตเดเตเดเตเดเตพเดเตเดเต เดฎเตเดเตเดฐเตเดเตเดเดฟเดเตเดเดฏเตเดเตเดเต เด
เดคเดฟเดจเตเดฑเตเดคเดพเดฏ เดซเตเตผเดฎเดพเดฑเตเดฑเต เดเดณเตเดณเดคเดฟเดจเดพเตฝ เดฒเดฟเดจเดเตเดธเดฟเตฝ เดชเตเดฐเดตเตผเดคเตเดคเดฟเดเตเดเตเดจเตเดจเดฟเดฒเตเดฒ)
เดกเดฟ.เดเดธเต.เดธเดฟ.เดชเดฟ
เด
เดตเดเดพเดถเดฎเดพเดฏเดฟ
เดตเดฟเดเดเดจเด เดเตเดฏเตเดฏเดฐเตเดคเต
เดเดฒเตเดฒ
เดเตเดฒเดพเดฎเตเดชเต TCP MSS
เดฏเดฅเดพเตผเดฅ
เดซเดพเดธเตเดฑเตเดฑเต เดชเดพเดคเตเดคเต เด
เดจเตเดตเดฆเดฟเดเตเดเตเด
เดฏเดฅเดพเตผเดฅ
เดตเดฟเดญเดพเดเด "IP" - "เดตเดฟเดฒเดพเดธเดเตเดเตพ", เดตเดฟเดฒเดพเดธเด เดเตเตผเดเตเดเตเด:
เดชเดพเดฐเดพเดฎเตเดฑเตเดฑเตผ
เดตเดฟเดฒ
เดตเดฟเดฒเดพเดธเด
192.168.0.2/30
เดเดจเตเดฑเดฐเตเดซเตเดธเต
IPIP-IPsec0
เดเดชเตเดชเตเตพ เดจเดฟเดเตเดเตพเดเตเดเต เดเดฐเต เดฒเดฟเดจเดเตเดธเต เดฎเตเดทเตเดจเตเดฑเต เดชเดฟเดจเตเดจเดฟเดฒเต เดจเตเดฑเตเดฑเตโเดตเตผเดเตเดเดฟเดฒเตเดเตเดเต เดฑเตเดเตเดเตเดเตพ เดเตเตผเดเตเดเดพเตป เดเดดเดฟเดฏเตเด; เดเดฐเต เดฑเตเดเตเดเต เดเตเตผเดเตเดเตเดฎเตเดชเตเตพ, เดเตเดฑเตเดฑเตโเดตเต เดเดเตเดเดณเตเดเต IPIP-IPsec0 เดเดจเตเดฑเตผเดซเตเดธเต เดเดฏเดฟเดฐเดฟเดเตเดเตเด.
PS
เดเดเตเดเดณเตเดเต Linux เดธเตเตผเดตเตผ เดเตเดฐเดพเตปเดธเดฟเดฑเตเดฑเตเดตเต เดเดฏเดคเดฟเดจเดพเตฝ, เด เดคเดฟเตฝ ipip เดเดจเตเดฑเตผเดซเตเดธเตเดเตพเดเตเดเดพเดฏเดฟ Clamp TCP MSS เดชเดพเดฐเดพเดฎเตเดฑเตเดฑเตผ เดธเดเตเดเตเดเดฐเดฟเดเตเดเตเดจเตเดจเดคเดฟเตฝ เด เตผเดคเตเดฅเดฎเตเดฃเตเดเต:
เดเดจเดฟเดชเตเดชเดฑเดฏเตเดจเตเดจ เดเดณเตเดณเดเดเตเดเดเตเดเดณเตเดณเตเดณ เดเดฐเต เดซเดฏเตฝ /etc/iptables.conf เดธเตเดทเตเดเดฟเดเตเดเตเด:
*mangle
-A POSTROUTING -o ipip+ -p tcp -m tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
COMMIT
เดเตเดเดพเดคเต /etc/network/interfaces-เดฒเตเด
post-up iptables-restore < /etc/iptables.conf
เดเดจเตเดฑเต เดจเตเดฑเตเดฑเตโเดตเตผเดเตเดเดฟเตฝ mikrotik (ip 10.10.10.1) เดจเต เดชเดฟเดจเตเดจเดฟเดฒเตเดณเตเดณ nginx เดชเตเดฐเดตเตผเดคเตเดคเดฟเดเตเดเตเดจเตเดจเต, เด เดคเต เดเดจเตเดฑเตผเดจเตเดฑเตเดฑเดฟเตฝ เดจเดฟเดจเตเดจเต เดเดเตโเดธเดธเต เดเตเดฏเตเดฏเดพเดตเตเดจเตเดจเดคเดพเดเตเดเตเด, เด เดคเต /etc/iptables.conf เดเดจเตเดจเดคเดฟเดฒเตเดเตเดเต เดเตเตผเดเตเดเตเด:
*nat
-A PREROUTING -d 1.1.1.1/32 -p tcp -m multiport --dports 80,443 -j DNAT --to-destination 10.10.10.1
#ะะฐ mikrotik, ะฒ ัะฐะฑะปะธัะต mangle, ะฝะฐะดะพ ะดะพะฑะฐะฒะธัั ะฟัะฐะฒะธะปะพ route ั ะฝะฐะทะฝะฐัะตะฝะธะตะผ 192.168.0.1 ะดะปั ะฟะฐะบะตัะพะฒ ั ะฐะดัะตัะพะผ ะธััะพัะฝะธะบะฐ 10.10.10.1 ะธ ะฟะพััะพะฒ 80, 443.
# ะขะฐะบ ะถะต ะฝะฐ linux ัะฐะฑะพัะฐะตั OpenVPN ัะตัะฒะตั 172.16.0.1/24, ะดะปั ะบะปะธะตะฝัะพะฒ ะบะพัะพััะต ะธัะฟะพะปัะทััั ะฟะพะดะบะปััะตะฝะธะต ะบ ะฝะตะผั ะฒ ะบะฐัะตััะฒะต ัะปัะทะฐ ะดะฐะตะผ ะดะพัััะฟ ะฒ ะธะฝัะตัะฝะตั
-A POSTROUTING -s 172.16.0.0/24 -o eth0 -j SNAT --to-source 1.1.1.1
COMMIT
เดจเดฟเดเตเดเตพเดเตเดเต เดชเดพเดเตเดเดฑเตเดฑเต เดซเดฟเตฝเดเตเดเดฑเตเดเตพ เดชเตเดฐเดตเตผเดคเตเดคเดจเดเตเดทเดฎเดฎเดพเดเตเดเดฟเดฏเดฟเดเตเดเตเดฃเตเดเตเดเตเดเดฟเตฝ iptables-เดฒเตเดเตเดเต เดเดเดฟเดคเดฎเดพเดฏ เด เดจเตเดฎเดคเดฟเดเตพ เดเตเตผเดเตเดเดพเตป เดฎเดฑเดเตเดเดฐเตเดคเต.
เดเดฐเตเดเตเดฏเดฎเตเดณเตเดณเดคเดพเดฏเดฟเดฐเดฟเดเตเดเตเด!
เด เดตเดฒเดเดฌเด: www.habr.com