🥇Mikroik. IPSEC VPN over NAT as a client

God dag alle sammen!

Det har seg sånn at vår bedrift i løpet av de siste to årene gradvis har gått over til MikroTik. Hovednodene er bygget på CCR1072, mens de lokale tilkoblingspunktene for datamaskiner er på enklere enheter. Selvfølgelig er det også et nettverks sammenkobling via IPSEC tunnel, i dette tilfellet er innstillingen ganske enkel og gir ingen vansker, heldigvis finnes det mange ressurser på nettet. Men med mobiltilkobling for kunder er det visse utfordringer, produsentens wiki gir råd om hvordan man bruker Shrew soft VPN client (for denne innstillingen er alt tilsynelatende greit) og nettopp denne klienten brukes av 99 % av brukerne for ekstern tilgang, mens 1 % er meg, jeg ble rett og slett lat og ønsket en behagelig oppstilling i sofaen med enkel tilgang til arbeidsnettverk. Jeg fant ingen instrukser for innstilling av MikroTik for situasjoner når den befinner seg bak en svart adresse, kanskje til og med flere NAT i nettverket. Derfor måtte jeg improvisere, og derfor foreslår jeg at du ser på resultatet.

Det er:

CCR1072 som hovedenhet. versjon 6.44.1
CAP ac som hjemmetilkobling. versjon 6.44.1

Hovedtrekket ved innstillingen er at PC og MikroTik må være i samme nettverk med samme adressering, noe som blir tildelt av hovedenheten 1072.

La oss gå videre til innstillingen:

1. Selvfølgelig aktiverer vi Fasttrack, men siden det ikke er kompatibelt med VPN, må vi ekskludere dens trafikk.

/ip firewall mangle
add action=mark-connection chain=forward comment="ipsec in" ipsec-policy=
    in,ipsec new-connection-mark=ipsec passthrough=yes
add action=mark-connection chain=forward comment="ipsec out" ipsec-policy=
    out,ipsec new-connection-mark=ipsec passthrough=yes
/ip firewall filter add action=fasttrack-connection chain=forward connection-mark=!ipsec

2. Vi legger til nettverksport videre fra/hjem til arbeid

/ip firewall raw
add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=
    10.7.76.0/24
add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=
    10.7.98.0/24
add action=accept chain=prerouting disabled=yes dst-address=192.168.55.0/24 
    src-address=10.7.78.0/24
add action=accept chain=prerouting dst-address=10.7.76.0/24 src-address=
    192.168.33.0/24
add action=accept chain=prerouting dst-address=10.7.77.0/24 src-address=
    192.168.33.0/24
add action=accept chain=prerouting dst-address=10.7.98.0/24 src-address=
    192.168.33.0/24
add action=accept chain=prerouting disabled=yes dst-address=10.7.78.0/24 
    src-address=192.168.55.0/24
add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=
    10.7.77.0/24

3. Vi lager en beskrivelse av brukerforbindelsen

/ip ipsec identity
add auth-method=pre-shared-key-xauth notrack-chain=prerouting peer=CO secret=
    общий ключ xauth-login=username xauth-password=password

4. Vi lager IPSEC Proposal

/ip ipsec proposal
add enc-algorithms=3des lifetime=5m name="prop1" pfs-group=none

5. Vi lager IPSEC Policy

/ip ipsec policy
add dst-address=10.7.76.0/24 level=unique proposal="prop1" 
    sa-dst-address=<white IP 1072> sa-src-address=0.0.0.0 src-address=
    192.168.33.0/24 tunnel=yes
add dst-address=10.7.77.0/24 level=unique proposal="prop1" 
    sa-dst-address=<white IP 1072> sa-src-address=0.0.0.0 src-address=
    192.168.33.0/24 tunnel=yes

6. Vi lager IPSEC profile

/ip ipsec profile
set [ find default=yes ] dpd-interval=disable-dpd enc-algorithm=
    aes-192,aes-128,3des nat-traversal=no
add dh-group=modp1024 enc-algorithm=aes-192,aes-128,3des name=profile_1
add name=profile_88
add dh-group=modp1024 lifetime=4h name=profile246

7. Vi lager IPSEC peer

/ip ipsec peer
add address=<white IP 1072>/32 local-address=<ваш адрес роутера> name=CO profile=
    profile_88

Og nå litt enkel magi. Siden jeg ikke hadde lyst til å endre innstillingene på alle enhetene i hjemmenettverket, måtte jeg på en eller annen måte finne en løsning for å henge DHCP på samme nettverk, men det er fornuftig at MikroTik ikke tillater mer enn én adressepool på én bro, så jeg fant en omgåelse, nemlig at jeg bare opprettet et DHCP Lease for bærbare datamaskiner med manuell angivelse av parametere, og siden nettverksmaske, gateway og dns også har nummer i DHCP-oppsettet, så angav jeg dem manuelt.

1. DHCP Option

/ip dhcp-server option
add code=3 name=option3-gateway value="'192.168.33.1'"
add code=1 name=option1-netmask value="'255.255.255.0'"
add code=6 name=option6-dns value="'8.8.8.8'"

2. DHCP Lease

/ip dhcp-server lease
add address=192.168.33.4 dhcp-option=
    option1-netmask,option3-gateway,option6-dns mac-address=<MAC адрес ноутбука>

In this case, configuration 1072 is virtually basic, only when issuing an IP address to the client in the settings it is specified to issue the manually entered IP address, rather than one from the pool. For regular clients using personal computers, the subnet is the same as in the configuration with Wiki 192.168.55.0/24.

Such a configuration allows PCs to connect without third-party software, as the tunnel is automatically established by the router as needed. The load on the client CAP ac is practically minimal, at 8-11% with a speed of 9-10 MB/s in the tunnel.

All settings were made through Winbox, although they can also be done with equal success via the console.

Kilde: habr.com

Mikroik. IPSEC vpn bak NAT som klient