Dobrý deň všetkým!
Náhodou sme v našej spoločnosti v posledných dvoch rokoch postupne prechádzali na čipy Mikrotik. Hlavné uzly sú postavené na CCR1072, zatiaľ čo lokálne body pripojenia k počítačom sú na jednoduchších zariadeniach. Samozrejme, ponúkame aj sieťovú integráciu prostredníctvom tunelov IPSEC; v tomto prípade je nastavenie pomerne jednoduché a priamočiare vďaka množstvu dostupných online zdrojov. Pripojenie mobilných klientov však predstavuje určité výzvy; wiki výrobcu vysvetľuje, ako používať softvér Shrew. VPN klient (toto nastavenie sa zdá byť samozrejmé) a toto je klient, ktorého používa 99 % používateľov vzdialeného prístupu a zvyšné 1 % som ja. Jednoducho som sa nemohol obťažovať zadávaním svojho prihlasovacieho mena a hesla zakaždým a chcel som uvoľnenejší a pohodlnejší zážitok z gauča s pohodlným pripojením k pracovným sieťam. Nenašiel som žiadne pokyny na konfiguráciu Mikrotiku pre situácie, keď sa nenachádza ani za súkromnou adresou, ale za úplne zakázanou adresou a možno dokonca s viacerými NATmi v sieti. Takže som musel improvizovať a navrhujem, aby ste sa pozreli na výsledky.
K dispozícii:
- CCR1072 ako hlavné zariadenie. verzia 6.44.1
- CAP ac ako bod domáceho pripojenia. verzia 6.44.1
Hlavnou črtou nastavenia je, že PC a Mikrotik musia byť v rovnakej sieti s rovnakým adresovaním, ktoré vydáva hlavný 1072.
Prejdime k nastaveniam:
1. Samozrejme, že zapneme Fasttrack, ale keďže fasttrack nie je kompatibilný s vpn, musíme znížiť jeho návštevnosť.
/ip firewall mangle
add action=mark-connection chain=forward comment="ipsec in" ipsec-policy=
in,ipsec new-connection-mark=ipsec passthrough=yes
add action=mark-connection chain=forward comment="ipsec out" ipsec-policy=
out,ipsec new-connection-mark=ipsec passthrough=yes
/ip firewall filter add action=fasttrack-connection chain=forward connection-mark=!ipsec
2. Pridanie sieťového presmerovania z/do domova a do práce
/ip firewall raw
add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=
10.7.76.0/24
add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=
10.7.98.0/24
add action=accept chain=prerouting disabled=yes dst-address=192.168.55.0/24
src-address=10.7.78.0/24
add action=accept chain=prerouting dst-address=10.7.76.0/24 src-address=
192.168.33.0/24
add action=accept chain=prerouting dst-address=10.7.77.0/24 src-address=
192.168.33.0/24
add action=accept chain=prerouting dst-address=10.7.98.0/24 src-address=
192.168.33.0/24
add action=accept chain=prerouting disabled=yes dst-address=10.7.78.0/24
src-address=192.168.55.0/24
add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=
10.7.77.0/24
3. Vytvorte popis používateľského pripojenia
/ip ipsec identity
add auth-method=pre-shared-key-xauth notrack-chain=prerouting peer=CO secret=
общий ключ xauth-login=username xauth-password=password
4. Vytvorte návrh IPSEC
/ip ipsec proposal
add enc-algorithms=3des lifetime=5m name="prop1" pfs-group=none
5. Vytvorte politiku IPSEC
/ip ipsec policy
add dst-address=10.7.76.0/24 level=unique proposal="prop1"
sa-dst-address=<white IP 1072> sa-src-address=0.0.0.0 src-address=
192.168.33.0/24 tunnel=yes
add dst-address=10.7.77.0/24 level=unique proposal="prop1"
sa-dst-address=<white IP 1072> sa-src-address=0.0.0.0 src-address=
192.168.33.0/24 tunnel=yes
6. Vytvorte profil IPSEC
/ip ipsec profile
set [ find default=yes ] dpd-interval=disable-dpd enc-algorithm=
aes-192,aes-128,3des nat-traversal=no
add dh-group=modp1024 enc-algorithm=aes-192,aes-128,3des name=profile_1
add name=profile_88
add dh-group=modp1024 lifetime=4h name=profile246
7. Vytvorte IPSEC partnera
/ip ipsec peer
add address=<white IP 1072>/32 local-address=<ваш адрес роутера> name=CO profile=
profile_88
Teraz trochu jednoduchej mágie. Keďže sa mi naozaj nechcelo meniť nastavenia na všetkých zariadeniach v domácej sieti, musel som nejako zavesiť DHCP na rovnakú sieť, ale je rozumné, že Mikrotik neumožňuje zavesiť viac ako jednu oblasť adries na jeden most. , tak som našiel riešenie, konkrétne pre notebook, práve som vytvoril DHCP Lease s manuálnymi parametrami a keďže sieťová maska, brána a dns majú aj čísla možností v DHCP, špecifikoval som ich ručne.
1. Možnosti DHCP
/ip dhcp-server option
add code=3 name=option3-gateway value="'192.168.33.1'"
add code=1 name=option1-netmask value="'255.255.255.0'"
add code=6 name=option6-dns value="'8.8.8.8'"
2.Prenájom DHCP
/ip dhcp-server lease
add address=192.168.33.4 dhcp-option=
option1-netmask,option3-gateway,option6-dns mac-address=<MAC адрес ноутбука>
Nastavenie 1072 je zároveň prakticky základné, iba pri prideľovaní IP adresy klientovi v nastaveniach je uvedené, že mu má byť poskytnutá ručne zadaná IP adresa, nie z fondu. Pre bežných PC klientov je podsieť rovnaká ako konfigurácia Wiki 192.168.55.0/24.
Takéto nastavenie vám umožňuje nepripájať sa k počítaču prostredníctvom softvéru tretích strán a samotný tunel je podľa potreby zdvíhaný smerovačom. Zaťaženie klienta CAP ac je takmer minimálne, 8-11% pri rýchlosti 9-10MB/s v tuneli.
Všetky nastavenia boli vykonané cez Winbox, aj keď s rovnakým úspechom sa to dá urobiť aj cez konzolu.
Zdroj: hab.com
