Pekný deň všetkým!
V našej spoločnosti sa v posledných dvoch rokoch pomaly prechádza na MikroTIK-y. Hlavné uzly sú postavené na CCR1072 a lokálne pripojenia počítačov sú zabezpečené jednoduchšími zariadeniami. Samozrejme existuje aj spojenie sietí prostredníctvom IPSEC tunela, v tomto prípade je nastavenie relatívne jednoduché a nevzbudzuje žiadne ťažkosti, najmä preto, že je k dispozícii množstvo materiálov na internete. S mobilným pripojením klientov sú však určité ťažkosti, výrobca odporúča používať klienta Shrew Soft. VPN client (táto konfigurácia je celkom jasná) a tento klient využíva 99 % používateľov vzdialeného prístupu, zatiaľ čo 1 % som ja; jednoducho sa mi nechcelo zakaždým zadávať prihlasovacie údaje a chcel som pohodlne sedieť na pohovke a pohodlne sa pripojiť k pracovným sieťam. Neexistovali žiadne návody na konfiguráciu MikroTIK-u pre situácie, keď sa nachádza za čiernou IP adresou, možno aj za niekoľkými NAT v sieti, čo ma prinútilo improvizovať. Preto navrhujem pozrieť sa na výsledok.
Máme:
- CCR1072 ako hlavné zariadenie. verzia 6.44.1
- CAP ac ako domácu prístupovú bod. verzia 6.44.1
Hlavná vlastnosť konfigurácie je, že PC a MikroTIK musia byť v jednej sieti s rovnakou adresáciou, čo je zabezpečené hlavným 1072.
Prejdime k nastaveniu:
1. Samozrejme zapneme Fasttrack, ale keďže s VPN nie je kompatibilný, musíme vystrihnúť jeho prevádzku.
/ip firewall mangle
add action=mark-connection chain=forward comment="ipsec in" ipsec-policy=
in,ipsec new-connection-mark=ipsec passthrough=yes
add action=mark-connection chain=forward comment="ipsec out" ipsec-policy=
out,ipsec new-connection-mark=ipsec passthrough=yes
/ip firewall filter add action=fasttrack-connection chain=forward connection-mark=!ipsec
2. Pridáme prenosy sietí z/do domácej a pracovnej siete.
/ip firewall raw
add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=
10.7.76.0/24
add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=
10.7.98.0/24
add action=accept chain=prerouting disabled=yes dst-address=192.168.55.0/24
src-address=10.7.78.0/24
add action=accept chain=prerouting dst-address=10.7.76.0/24 src-address=
192.168.33.0/24
add action=accept chain=prerouting dst-address=10.7.77.0/24 src-address=
192.168.33.0/24
add action=accept chain=prerouting dst-address=10.7.98.0/24 src-address=
192.168.33.0/24
add action=accept chain=prerouting disabled=yes dst-address=10.7.78.0/24
src-address=192.168.55.0/24
add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=
10.7.77.0/24
3. Vytvoríme popis používateľského pripojenia.
/ip ipsec identity
add auth-method=pre-shared-key-xauth notrack-chain=prerouting peer=CO secret=
общий ключ xauth-login=username xauth-password=password
4. Vytvoríme IPSEC Proposal.
/ip ipsec proposal
add enc-algorithms=3des lifetime=5m name="prop1" pfs-group=none
5. Vytvoríme IPSEC Policy.
/ip ipsec policy
add dst-address=10.7.76.0/24 level=unique proposal="prop1"
sa-dst-address=<white IP 1072> sa-src-address=0.0.0.0 src-address=
192.168.33.0/24 tunnel=yes
add dst-address=10.7.77.0/24 level=unique proposal="prop1"
sa-dst-address=<white IP 1072> sa-src-address=0.0.0.0 src-address=
192.168.33.0/24 tunnel=yes
6. Vytvoríme IPSEC profile.
/ip ipsec profile
set [ find default=yes ] dpd-interval=disable-dpd enc-algorithm=
aes-192,aes-128,3des nat-traversal=no
add dh-group=modp1024 enc-algorithm=aes-192,aes-128,3des name=profile_1
add name=profile_88
add dh-group=modp1024 lifetime=4h name=profile246
7. Vytvoríme IPSEC peer.
/ip ipsec peer
add address=<white IP 1072>/32 local-address=<ваш адрес роутера> name=CO profile=
profile_88
A teraz troška jednoduchej mágie. Pretože som nechcel meniť nastavenia na všetkých zariadeniach v domácej sieti, musel som nájsť spôsob, ako umiestniť DHCP do tej istej siete; však, MikroTIK neumožňuje priradiť viac ako jeden adresný pool k jednému bridge. Preto som našiel obchádzku, a to tým, že som pre notebook jednoducho vytvoril DHCP Lease s ručným zadaním parametrov, a keďže netmask, gateway & dns majú tiež čísla opcií v DHCP, uviedol som ich tiež ručne.
1. DHCP Option
/ip dhcp-server option
add code=3 name=option3-gateway value="'192.168.33.1'"
add code=1 name=option1-netmask value="'255.255.255.0'"
add code=6 name=option6-dns value="'8.8.8.8'"
2. DHCP Lease
/ip dhcp-server lease
add address=192.168.33.4 dhcp-option=
option1-netmask,option3-gateway,option6-dns mac-address=<MAC адрес ноутбука>
Nastavenie 1072 je prakticky základné, len pri priradení IP adresy klientovi sa v nastaveniach uvádza, že mu má byť priradená IP adresa zadaná ručne, a nie z poolu. Pre bežných klientov z osobných počítačov je podsiet rovnaká ako v konfigurácii s Wiki 192.168.55.0/24.
Takéto nastavenie umožňuje, aby sa na PC nepripojilo cez externý softvér, ale tunel sa vytvára automatiky smerovačom podľa potreby. Záťaž klientskej CAP ac je prakticky minimálna, 8-11% pri rýchlosti 9-10 MB/s v tuneli.
Všetky nastavenia sa robili cez Winbox, aj keď rovnako úspešne je možné ich realizovať aj cez konzolu.
Zdroj: habr.com
