Jump to content

Настройка ВПН на Микротике


Recommended Posts

Приветствую всех!

Между двумя удаленными офисами на микротах поднят впн SSTP. Офисы находятся в разных подсетях (192.168.2.0  и .5.0). Настроена маршрутизация, ничего сложного - компы одной подсети пингуют компы другой подсети и наоборот. При трасерте показывает две точки маршрутизатции (микрот офис1 192.168.2.1; микрот офис2 адрес sstp 10.200.201.11).

Но в сети .2.0 стоит АТС-сервер Астериск .2.200. Из .5.0 есть юзеры которые регистрируют софт-фон на АТС и вот что происходит.

По правилам маршрутизации айпи отправителя и получателя в пакете не меняются, меняются только маки отправителя и получателя. Т.е. например, на .2.200 должен прийти запрос на регистрацию от .5.10:5060 (порт регистрации в астере). А на самом деле приходит 192.168.2.1:5060! Но если пойдут запросы от других компов подсети .5.0 - они все регистрируются от 192.168.2.1, только под разными портами. В результате телефония не работает.

Та же самая проблема с индивидуальными ВПН-клиентами, все они регистрируются из под .2.1.

Я понял бы что они проходят НАТ, но они работают по туннелю и НАТ проходить не должны. Для тестов поднял ВПН на внутреннем интерфейсе микрота, он тоже зарегистрировался от .2.1.

Итак, вопрос! Как сделать при ВПН так, чтобы пользователи из другой подсети регистрировались под своими айпи?

Кстати, для теста поверх поднял EOIP и объединил удаленный офис во 2ю подсеть,  при трасерте маршрутизаторов нет, а компы из второго офиса начали регистрироваться под своими айпи (теперь уже тоже 2й подсети). Но такой вариант не подходит, ибо пула в дальнейшем не хватит на количество пользователей. Да и два туннеля заметно режут скорость.

Edited by Ronhel
Link to post
Share on other sites
2 часа назад, Ronhel сказал:

НАТ стандартный. Chain - srcnat,  экшн - маскарад. 

Вот он вам и натит все подряд. Добавьте OutInterface там где надо натить. Или исключите из правила интерфейс с VPN.

Как то так image.png.ab2b7a6c864d580e849f6eb24ef17f0a.png

Link to post
Share on other sites

Да, логично. Выставил как у Вас, но все равно регистрируется айпи микрота (протестил на внешнем клиенте типа ППТП). Понял что тут надо копать....

Если еще будут мысли - пишите!

 

Link to post
Share on other sites

не забывайте про conntrack (ip-firewall-connections), т.е. после отключения правила в нате не сразу может примениться

если есть возможность - ребутьте микр

Link to post
Share on other sites
  • 3 weeks later...

Ребята, никак руки не дойдут до тестов, много более значимой управленческой работы. Может кто-то помочь в решении? Услуги ОПЛАЧУ 👍

Дам 1000 грн. :)

 

Edited by Ronhel
Link to post
Share on other sites

Create an account or sign in to comment

You need to be a member in order to leave a comment

Create an account

Sign up for a new account in our community. It's easy!

Register a new account

Sign in

Already have an account? Sign in here.

Sign In Now
  • Recently Browsing   0 members

    No registered users viewing this page.

  • Similar Content

    • By G_ua
      Доброго дня всім!
      Підскажіть, можливо хтось стикався з проблемою:
      На мікротіку IKEv2, тільки для андроід клієнтів. ip адреси видаються з пула dhcp, тобто пула локальної мережі (192.168.1.0/24). При підключенні все працює, кліенти бачать інші vpn мережі (192.168.10.0/24, 192.168.11.0/24) але не бачать локальної, тобто 192.168.1.0/24, з неї вони отримують dhcp при підключенні. Якщо видати кліенту, на приклад, 11.0.0.0/24, любу мережу відмінну від локальної, ми бачим всі адреси в діапазоні 192.168.1.0/24, але не бачимо vpn (бо з тої сторони vpn нема маршруту в мережу 11.0.0.0/24).
      Чи можливо щоб при підключенні андроід кліенти отримували ip з мережі 192.168.1.0/24 та могли підключитися на ресурси цієї мережі, на ...1.2 до прикладу. Тобто воно не  маршрутизує в мережу з якої ми отримаємо адресу, але бачить по дефолту любу відмінну від ...1.0 мережу.
      Клієнт аднроід StrongSwan.
    • By denisluk
      Вітаю шановне товариство! Маю напіввирішену проблему з вищевказаним провайдером і EPON підключенням.
      Суть проблеми полягає в тому що періодично і рандомно на Мікротіку відвалюється з'єднання і самостійно відновлюється.
      Сетап: 1) ONU Picotel PU-E910, 2) Mikrotik HEX
       
      Тріолан наливає інет зі статичною адресою і прив'язкою по МАС. 
      На мікроті все стандартно: виділив порт під WAN, насетапив адресу, склонував МАС ноута (спочатку по швидкому тестили інет на ноуті тому його МАС і вбили в білінг), правило НАТу вписав - інет є. 
      Потім рандомно почав відвалюватись інет. В логах геть нічого. Порт мікрота не змінював статус. 
      Перевірив налаштування - все типово. І ніяких глюків чи помилок не виявлено.
      Заміна порта мікрота, прошивка, заміна на інший мікрот (новий з коробки зі скинутим конфігом, налаштований лише з одним правилом НАТу) ніяк не покращили ситуацію. 
      Представник саппорта прийшов і замінив ОНУшку. Теж не допомогло. При спілкуванні представника саппорта по телефону з мережевим інженером з'ясувалось що відвал стається саме тоді, коли мікрот перестає передавати свій МАС. Не бачимо маку, нема авторизації, логічно. 
      З ноутом на пряму все працює без зауважень. На моє питання: "що може бути?" представник саппорта розвів руками і запропонував роутер "не мікротік")))) Мене такий варік не влаштовує, тому що на моєму роутері побудована і пачка тунелів на роботу і до батьків. 
      Почав розбиратись сам, що пробував: 1) ставити чек гетвея пінгами, 2) чек arp запитами, 3) отримувати адресу і по дхцп (так, писав про статику, знаю. Але це рекомендація Тріолану. Взагалі у них працює ДХЦП, але при зникненні світла з ДХЦП є проблеми в них. Тому лишився на статиці), 4) інші мікроти, 5) інші блоки живлення, 6) інші кабелі utp. Все це не мало позитивного результату і не міг відслідкувати що саме спричиняє проблему. 
       
      Що допомогло: 1) створив брідж. 2) на брідж прописав майстер-МАС який закріплений в білінгу, 3) відключив на цьому бріджі оновлення МАС, 4) на цей брідж прописав адресу і т.д. 4) вкинув порт, до якого підключена ОНУ, в цей брідж без ніяких налаштувань взагалі, 5) правило срцнат. 
      Диво, все працює і аптайм уже більше тижня. При спілкуванні з саппортом все ОК, вони бачать валідний МАС (МАС бріджа).
       
      Шановне товариство, допоможіть розібратись: чому схема яка допомогла - працює, а типове налаштування веде до обривів? Дякую за ідеї.
       
       
       
    • By GekaPeka
      MikroTik PowerBox Pro (RB960PGS-PB), новый, в упаковке. Цена: 2800 грн.
    • By Игорь_Кривой Рог
      Продам за ненадобностью остатки после модернизации, лежать без дела.
       
      Mikrotik RB850Gx2 - 4шт.
       
      Mikrotik RB260GS - 1шт.
       
      Все в рабочем состоянии, сброшены на заводские настройки, битые порты отсутствуют.
       








    • By Dimon123
      новий, без коробки, відправлю 1600 грн


×
×
  • Create New...