MikroTik. IPSEC VPN för NAT som klient

God dag på alla!

Det har blivit så att vårt företag under de senaste två åren successivt har övergått till MikroTik. Huvudnätverken är uppbyggda på CCR1072, medan de lokala anslutningspunkterna för datorer använder enklare enheter. Självklart finns det också sammankoppling av nätverk via IPSEC-tunnel, och i det här fallet är konfigurationen ganska enkel och orsakar inga problem, tack vare att det finns många material online. Men vid mobil anslutning av klienter förekommer vissa svårigheter; tillverkarens wiki ger tips om hur man använder Shrew Soft. VPN klient (med den här inställningen verkar allt klart) och just den här klienten används av 99% av användarna av fjärråtkomst, medan 1% är jag, jag blev helt enkelt lat och ville inte alltid ange användarnamn och lösenord i klienten, utan ville ha en bekväm plats i soffan och en smidig anslutning till arbetsnätverken. Jag har inte hittat några instruktioner för att ställa in MikroTik för situationer när det inte ens ligger bakom en grå adress, utan helt bakom en svart och kanske till och med flera NAT i nätverket. Så jag fick improvisera, och därför föreslår jag att vi kollar på resultatet.

Finns:

1. CCR1072 som huvud-enhet. version 6.44.1
2. CAP ac som hemmanslutningspunkt. version 6.44.1

Huvudegenskapen i inställningen är att PC:n och MikroTik måste befinna sig i samma nätverk med samma adressering, vilket tillhandahålls av den huvudsakliga 1072.

Låt oss gå vidare till inställningen:

1. Självklart aktiverar vi Fasttrack, men eftersom Fasttrack inte är kompatibelt med VPN, så måste vi bortse från dess trafik.

/ip firewall mangle
add action=mark-connection chain=forward comment="ipsec in" ipsec-policy=
    in,ipsec new-connection-mark=ipsec passthrough=yes
add action=mark-connection chain=forward comment="ipsec out" ipsec-policy=
    out,ipsec new-connection-mark=ipsec passthrough=yes
/ip firewall filter add action=fasttrack-connection chain=forward connection-mark=!ipsec

2. Vi lägger till nätverksportar till/från hemmet och jobbet.

/ip firewall raw
add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=
    10.7.76.0/24
add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=
    10.7.98.0/24
add action=accept chain=prerouting disabled=yes dst-address=192.168.55.0/24 
    src-address=10.7.78.0/24
add action=accept chain=prerouting dst-address=10.7.76.0/24 src-address=
    192.168.33.0/24
add action=accept chain=prerouting dst-address=10.7.77.0/24 src-address=
    192.168.33.0/24
add action=accept chain=prerouting dst-address=10.7.98.0/24 src-address=
    192.168.33.0/24
add action=accept chain=prerouting disabled=yes dst-address=10.7.78.0/24 
    src-address=192.168.55.0/24
add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=
    10.7.77.0/24

3. Vi skapar en beskrivning av användaranslutningen.

/ip ipsec identity
add auth-method=pre-shared-key-xauth notrack-chain=prerouting peer=CO secret=
    общий ключ xauth-login=username xauth-password=password

4. Vi skapar en IPSEC Proposal.

/ip ipsec proposal
add enc-algorithms=3des lifetime=5m name="prop1" pfs-group=none

5. Vi skapar en IPSEC Policy.

/ip ipsec policy
add dst-address=10.7.76.0/24 level=unique proposal="prop1" 
    sa-dst-address=<white IP 1072> sa-src-address=0.0.0.0 src-address=
    192.168.33.0/24 tunnel=yes
add dst-address=10.7.77.0/24 level=unique proposal="prop1" 
    sa-dst-address=<white IP 1072> sa-src-address=0.0.0.0 src-address=
    192.168.33.0/24 tunnel=yes

6. Vi skapar en IPSEC profil.

/ip ipsec profile
set [ find default=yes ] dpd-interval=disable-dpd enc-algorithm=
    aes-192,aes-128,3des nat-traversal=no
add dh-group=modp1024 enc-algorithm=aes-192,aes-128,3des name=profile_1
add name=profile_88
add dh-group=modp1024 lifetime=4h name=profile246

7. Vi skapar en IPSEC peer.

/ip ipsec peer
add address=<white IP 1072>/32 local-address=<ваш адрес роутера> name=CO profile=
    profile_88

Och nu lite enkel magi. Eftersom jag inte ville ändra inställningarna på alla enheter i hemnätverket, behövde jag på något sätt hantera DHCP på samma nät, men det är vettigt att MikroTik inte tillåter mer än en adresstilldelningspool på en bridge, så jag hittade en workaround: för laptopen skapade jag helt enkelt ett DHCP Lease med manuella parametrar, och eftersom netmask, gateway & dns också har nummeroptioner i DHCP, angav jag också dem manuellt.

1. DHCP Option

/ip dhcp-server option
add code=3 name=option3-gateway value="'192.168.33.1'"
add code=1 name=option1-netmask value="'255.255.255.0'"
add code=6 name=option6-dns value="'8.8.8.8'"

2. DHCP Lease

/ip dhcp-server lease
add address=192.168.33.4 dhcp-option=
    option1-netmask,option3-gateway,option6-dns mac-address=<MAC адрес ноутбука>

Inställningen 1072 är nästan grundläggande, där IP-adressen som ges till kunden anges manuellt i inställningarna och inte från poolen. För vanliga kunder med persondatorer är nätverket detsamma som i konfigurationen med Wiki 192.168.55.0/24.

En sådan inställning gör att PCs inte behöver ansluta via tredjeparts programvara, utan tunneln etableras automatiskt av routern vid behov. Belastningen på klientens CAP ac är praktiskt taget minimal, 8-11% vid hastigheter på 9-10MB/s i tunneln.

Alla inställningar gjordes genom Winbox, även om det på samma sätt kan göras via konsolen.

Källa: habr.com