Pozdrav svima!
V naši podjetju smo se v zadnjih dveh letih postopoma preusmerili na Mikrotike. Glavne točke so zgrajene na CCR1072, lokalne povezave računalnikov pa na bolj enostavnih napravah. Seveda imamo tudi povezane mreže preko IPSEC tunela, kjer je nastavitev precej preprosta in ne povzroča nobenih težav, saj je na voljo mnogo virov na spletu. Vendar pa so s povezovanjem mobilnih strank določene težave; proizvajalčeva dokumentacija nakazuje, kako uporabiti Shrew soft VPN stranka (ta nastavitev je razumljiva) in ta stranka uporablja 99% uporabnikov oddaljenega dostopa, preostalih 1% sem jaz. Preprosto sem se naveličal nenehnega vnašanja uporabniškega imena in gesla v stranko in želel sem se udobno namestiti na kavč ter enostavno povezati s službenimi omrežji. Navodil za nastavitev Mikrotika v situacijah, ko se nahaja za črnim naslovom, morda celo za več NAT-i v omrežju, nisem našel. Zato sem moral improvizirati in predlagam, da si ogledate rezultat.
Imamo:
- CCR1072 kot glavna naprava. različica 6.44.1
- CAP ac kot domača dostopna točka. različica 6.44.1
Glavna značilnost nastavitve je ta, da morata biti PC in Mikrotik v istem omrežju z enako adresacijo, kar zagotavlja osnovni 1072.
Preidimo k nastavitvi:
1. Seveda omogočimo Fasttrack, vendar ker VPN ni združljiv s Fasttrackom, moramo izrezati njegov promet.
/ip firewall mangle
add action=mark-connection chain=forward comment="ipsec in" ipsec-policy=
in,ipsec new-connection-mark=ipsec passthrough=yes
add action=mark-connection chain=forward comment="ipsec out" ipsec-policy=
out,ipsec new-connection-mark=ipsec passthrough=yes
/ip firewall filter add action=fasttrack-connection chain=forward connection-mark=!ipsec
2. Dodamo prožnosti omrežij iz / v domače in delovno
/ip firewall raw
add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=
10.7.76.0/24
add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=
10.7.98.0/24
add action=accept chain=prerouting disabled=yes dst-address=192.168.55.0/24
src-address=10.7.78.0/24
add action=accept chain=prerouting dst-address=10.7.76.0/24 src-address=
192.168.33.0/24
add action=accept chain=prerouting dst-address=10.7.77.0/24 src-address=
192.168.33.0/24
add action=accept chain=prerouting dst-address=10.7.98.0/24 src-address=
192.168.33.0/24
add action=accept chain=prerouting disabled=yes dst-address=10.7.78.0/24
src-address=192.168.55.0/24
add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=
10.7.77.0/24
3. Ustvarimo opis povezave uporabnika
/ip ipsec identity
add auth-method=pre-shared-key-xauth notrack-chain=prerouting peer=CO secret=
общий ключ xauth-login=username xauth-password=password
4. Ustvarimo IPSEC predlog
/ip ipsec proposal
add enc-algorithms=3des lifetime=5m name="prop1" pfs-group=none
5. Ustvarimo IPSEC politiko
/ip ipsec policy
add dst-address=10.7.76.0/24 level=unique proposal="prop1"
sa-dst-address=<white IP 1072> sa-src-address=0.0.0.0 src-address=
192.168.33.0/24 tunnel=yes
add dst-address=10.7.77.0/24 level=unique proposal="prop1"
sa-dst-address=<white IP 1072> sa-src-address=0.0.0.0 src-address=
192.168.33.0/24 tunnel=yes
6. Ustvarimo IPSEC profil
/ip ipsec profile
set [ find default=yes ] dpd-interval=disable-dpd enc-algorithm=
aes-192,aes-128,3des nat-traversal=no
add dh-group=modp1024 enc-algorithm=aes-192,aes-128,3des name=profile_1
add name=profile_88
add dh-group=modp1024 lifetime=4h name=profile246
7. Ustvarimo IPSEC peer
/ip ipsec peer
add address=<white IP 1072>/32 local-address=<ваш адрес роутера> name=CO profile=
profile_88
Sedaj malo preprostih čarovnij. Ker se mi ni ljubilo spreminjati nastavitev na vseh napravah v domačem omrežju, sem moral nekako dodati DHCP v isto omrežje, vendar je razumljivo, da Mikrotik ne dovoli dodati več kot enega naslovnega nabora na en bridge. Zato sem našel obvodno rešitev: preprosto sem ustvaril DHCP najem za prenosnik z ročnim določanjem parametrov, ter ker imata netmask, gateway & dns tudi številke možnosti v DHCP, sem jih tudi ročno navedel.
1. DHCP Možnost
/ip dhcp-server option
add code=3 name=option3-gateway value="'192.168.33.1'"
add code=1 name=option1-netmask value="'255.255.255.0'"
add code=6 name=option6-dns value="'8.8.8.8'"
2. DHCP Najem
/ip dhcp-server lease
add address=192.168.33.4 dhcp-option=
option1-netmask,option3-gateway,option6-dns mac-address=<MAC адрес ноутбука>
Nastavitev 1072 je praktično osnovna, le da se pri dodelitvi IP naslova stranki v nastavitvah navede, da se dodeli IP naslov, vnesen ročno, namesto iz skladišča. Za običajne stranke z namiznimi računalniki je podmrežje enako kot v konfiguraciji z Wiki 192.168.55.0/24.
Takšna nastavitev omogoča, da se na PC ne priključimo prek tretje programske opreme, tunel pa se samodejno vzpostavi z usmerjevalnikom po potrebi. Obremenitev odjemalskega CAP ac je praktično minimalna, 8-11% pri hitrosti 9-10MB/s v tunelu.
Vse nastavitve so bile opravljene prek Winbox-a, čeprav jih je mogoče prav tako uspešno izvajati prek konzole.
Izvor: habr.com
