🥇 Mikroik. ग्राहक म्हणून NAT च्या मागे IPSEC vpn

सर्वांना शुभ दिन!

असे झाले की गेल्या दोन वर्षांत आमच्या कंपनीत आम्ही हळूहळू Mikrotik वर स्विच करत आहोत. मुख्य नोड्स CCR1072 वर तयार केले आहेत, आणि डिव्हाइसेसवरील संगणकांसाठी स्थानिक कनेक्शन बिंदू सोपे आहेत. अर्थात, IPSEC बोगद्याद्वारे नेटवर्कचे एकत्रीकरण देखील आहे, या प्रकरणात सेटअप अगदी सोपा आहे आणि कोणत्याही अडचणी निर्माण करत नाही, सुदैवाने नेटवर्कवर भरपूर सामग्री आहे. परंतु क्लायंटच्या मोबाइल कनेक्शनमध्ये काही अडचणी आहेत, निर्मात्याचे विकी तुम्हाला श्रू सॉफ्ट व्हीपीएन क्लायंट कसे वापरायचे ते सांगते (या सेटिंगच्या आधारे सर्व काही स्पष्ट दिसते) आणि हा क्लायंट आहे जो 99% रिमोट ऍक्सेसद्वारे वापरला जातो. वापरकर्ते, आणि 1% मी आहे, मी प्रत्येकजण खूप आळशी आहे एकदा मी क्लायंटमध्ये माझे लॉगिन आणि पासवर्ड प्रविष्ट केल्यानंतर, मला पलंगावर एक आळशी स्थिती आणि कार्य नेटवर्कशी सोयीस्कर कनेक्शन हवे होते. मला अशा परिस्थितींसाठी Mikrotik सेट करण्याच्या सूचना सापडल्या नाहीत जेथे ते राखाडी पत्त्याच्या मागेही नाही, परंतु पूर्णपणे काळे आणि कदाचित नेटवर्कवरील अनेक NATs. म्हणून, मला सुधारणा करावी लागली आणि म्हणून मी तुम्हाला निकाल पाहण्याचा सल्ला देतो.

उपलब्ध:

CCR1072 मुख्य साधन म्हणून. आवृत्ती 6.44.1
CAP ac होम कनेक्शन पॉइंट म्हणून. आवृत्ती 6.44.1

सेटअपचे मुख्य वैशिष्ट्य म्हणजे PC आणि Mikrotik एकाच अॅड्रेसिंगसह एकाच नेटवर्कवर असणे आवश्यक आहे, जे मुख्य 1072 ला जारी केले जाते.

चला सेटिंग्ज वर जाऊया:

1. अर्थात, आम्ही फास्टट्रॅक सक्षम करतो, परंतु फास्टट्रॅक VPN शी सुसंगत नसल्यामुळे, आम्हाला त्याची रहदारी कमी करावी लागेल.

/ip firewall mangle
add action=mark-connection chain=forward comment="ipsec in" ipsec-policy=
    in,ipsec new-connection-mark=ipsec passthrough=yes
add action=mark-connection chain=forward comment="ipsec out" ipsec-policy=
    out,ipsec new-connection-mark=ipsec passthrough=yes
/ip firewall filter add action=fasttrack-connection chain=forward connection-mark=!ipsec

2. घरापासून/कार्यालयापर्यंत नेटवर्क फॉरवर्डिंग जोडा

/ip firewall raw
add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=
    10.7.76.0/24
add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=
    10.7.98.0/24
add action=accept chain=prerouting disabled=yes dst-address=192.168.55.0/24 
    src-address=10.7.78.0/24
add action=accept chain=prerouting dst-address=10.7.76.0/24 src-address=
    192.168.33.0/24
add action=accept chain=prerouting dst-address=10.7.77.0/24 src-address=
    192.168.33.0/24
add action=accept chain=prerouting dst-address=10.7.98.0/24 src-address=
    192.168.33.0/24
add action=accept chain=prerouting disabled=yes dst-address=10.7.78.0/24 
    src-address=192.168.55.0/24
add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=
    10.7.77.0/24

3. वापरकर्ता कनेक्शन वर्णन तयार करा

/ip ipsec identity
add auth-method=pre-shared-key-xauth notrack-chain=prerouting peer=CO secret=
    общий ключ xauth-login=username xauth-password=password

4. एक IPSEC प्रस्ताव तयार करा

/ip ipsec proposal
add enc-algorithms=3des lifetime=5m name="prop1" pfs-group=none

5. एक IPSEC धोरण तयार करा

/ip ipsec policy
add dst-address=10.7.76.0/24 level=unique proposal="prop1" 
    sa-dst-address=<white IP 1072> sa-src-address=0.0.0.0 src-address=
    192.168.33.0/24 tunnel=yes
add dst-address=10.7.77.0/24 level=unique proposal="prop1" 
    sa-dst-address=<white IP 1072> sa-src-address=0.0.0.0 src-address=
    192.168.33.0/24 tunnel=yes

6. एक IPSEC प्रोफाइल तयार करा

/ip ipsec profile
set [ find default=yes ] dpd-interval=disable-dpd enc-algorithm=
    aes-192,aes-128,3des nat-traversal=no
add dh-group=modp1024 enc-algorithm=aes-192,aes-128,3des name=profile_1
add name=profile_88
add dh-group=modp1024 lifetime=4h name=profile246

7. एक IPSEC पीअर तयार करा

/ip ipsec peer
add address=<white IP 1072>/32 local-address=<ваш адрес роутера> name=CO profile=
    profile_88

आता काही साध्या जादूसाठी. मला होम नेटवर्कवरील सर्व डिव्हाइसेसवरील सेटिंग्ज बदलण्याची इच्छा नसल्यामुळे, मला त्याच नेटवर्कवर DHCP सेट करावे लागले, परंतु हे वाजवी आहे की Mikrotik तुम्हाला एकापेक्षा जास्त अॅड्रेस पूल सेट करण्याची परवानगी देत नाही. एक ब्रिज, म्हणून मला एक उपाय सापडला, म्हणजे लॅपटॉपसाठी मी फक्त पॅरामीटर्स मॅन्युअली निर्दिष्ट करून DHCP लीज तयार केली आणि नेटमास्क, गेटवे आणि डीएनएसमध्ये देखील DHCP मध्ये पर्याय क्रमांक असल्याने, मी ते व्यक्तिचलितपणे निर्दिष्ट केले.

1.DHCP पर्याय

/ip dhcp-server option
add code=3 name=option3-gateway value="'192.168.33.1'"
add code=1 name=option1-netmask value="'255.255.255.0'"
add code=6 name=option6-dns value="'8.8.8.8'"

2.DHCP लीज

/ip dhcp-server lease
add address=192.168.33.4 dhcp-option=
    option1-netmask,option3-gateway,option6-dns mac-address=<MAC адрес ноутбука>

त्याच वेळी, 1072 सेट करणे व्यावहारिकदृष्ट्या मूलभूत आहे, केवळ क्लायंटला IP पत्ता जारी करताना, तो सेटिंग्जमध्ये सूचित केला जातो की तो स्वहस्ते प्रविष्ट केलेला IP पत्ता दिला पाहिजे, आणि पूलमधून नाही. वैयक्तिक संगणकावरील नियमित ग्राहकांसाठी, सबनेट विकी 192.168.55.0/24 सह कॉन्फिगरेशन प्रमाणेच आहे.

हा सेटअप तुम्हाला थर्ड-पार्टी सॉफ्टवेअरद्वारे तुमच्या PC शी कनेक्ट न करण्याची परवानगी देतो आणि आवश्यकतेनुसार राउटरद्वारे बोगदा स्वतः उभा केला जातो. क्लायंट CAP ac वर बोगद्यात 8-11MB/s च्या वेगाने 9-10% भार जवळजवळ किमान आहे.

सर्व सेटिंग्ज Winbox द्वारे केल्या गेल्या होत्या, जरी ते कन्सोलद्वारे देखील केले जाऊ शकते.

स्त्रोत: www.habr.com

Mikroik. ग्राहक म्हणून NAT च्या मागे IPSEC vpn

एक टिप्पणी जोडा Отменить ответ