Решение VPN от Mikrotik

Моё исследование RB1200 как VPN-решения: Mikrotik RB1200 как VPN-решение. Информацию о настройке можно найти в вики: Wiki:Tunnels. Например: PPTP VPN – несколько удалённых ADSL-соединений в центральный офис. Филиал 1 (Mikrotik VPN-клиент) → Центральный офис (Mikrotik VPN-сервер) ← Филиал 2 (Mikrotik VPN-клиент). Если возможно, можно перевести ваш VDSL-модем в режим bridge – для более удобного удалённого управления Mikrotik. Для более удобного. VPN-сервер может работать на любом порту. Как сказал raz, можно создать oVPN-туннель на порту 443.

Ну, спасибо за ответы — выглядит отлично. Особенно эти PPTP VPN. Конечно, придётся спрашивать у вас о деталях во время настройки, но у меня лекция, так что хорошо. Ещё один вопрос: в этом сценарии — с PPTP — насколько я понимаю, это будет работать без переадресации GRE протокола? Как я уже упоминал, я не могу переадресовывать протоколы. Только порты (у меня был долгий разговор со службой поддержки, и даже если опция переадресации протокола есть в прошивке, она вообще не работает). Смогу ли я настроить VPN-клиенты, чтобы они подключались к VPN-туннелю по адресу DNS, а не по IP-адресу (я думаю, да)?

Привет, kerth. Как я вижу в Википедии: L2TP/IPsec использует: согласование IPsec security association (SA), обычно через Internet Key Exchange (IKE). Это происходит через > UDP порт 500 > и обычно использует либо общий пароль (так называемые «pre-shared keys»), публичные ключи, или X.509 сертификаты с обеих сторон, хотя другие методы шифрования существуют. Установление ESP (Encapsulating Security Payload) коммуникации в транспортном режиме. IP-протокол для > ESP — 50 > (сравните с 6 для TCP и 17 для UDP). На этом этапе безопасный канал установлен, но туннелирование не происходит. Согласование и установление L2TP туннеля между SA конечными точками. Фактическое согласование параметров происходит через безопасный канал SA, внутри IPsec шифрования. L2TP использует > UDP порт 1701 >. Я советую использовать SSTP или OpenVPN туннель. В этом случае тебе нужно будет перенаправить только один порт (например, 443). Ты можешь получить бесплатный сертификат от StartSSL на один год, а затем создавать новый каждый год или создавать самоподписанный сертификат. Подходит ли такая настройка? Похоже, что да. VPN, который я хочу настроить, будет L2TP с NAT-T - что-то вроде этого: http://wiki.mikrotik.com/wiki/L2TP_%2B > _…ik_routers. Ты можешь использовать ту же схему для SSTP или OpenVPN. Адресация будет 192.168.1.0/24 с адресами 192.168.1.1-192.168.1.200 на основном сайте и 192.168.1.201 - 192.168.1.211 на первом удалённом сайте (и 10 IP/сайт) – сработает ли это? > В общем, ты можешь использовать маршрутизацию от одного конца к другому без дополнительных IP. Почему ты хочешь использовать 10 IP/сайт? Сайты имеют собственную адресацию, например 192.168.0.0/24. У обеих сторон одинаковая сеть?

Предполагаю, что это какая-то мелкая ошибка, но я понятия не имею, где. В общем, я пытаюсь подключиться к VPN-серверу в локальной сети (чтобы быть уверенным, что это не дело NAT, файрвола или чего-то еще). Проверил VPN-сервер с другими клиентами — работает как на внутреннем, так и на внешнем адресе. Сертификаты подписаны CACERT. Пытаюсь подключиться к порту TCP и UDP — без изменений. Пытаюсь подключиться к внутреннему и внешнему IP — без изменений. Пытаюсь добавить или не добавить ovpn порт в bridge2 — без изменений. Могу пинговать оба IP (внутренний — в той же подсети). Что не так? Кстати, на VPN-сервере нет логов от моего RouterOS (даже попыток подключения нет). Я подключен по Ethernet с RouterOS (т.е., по беспроводной связи даже не на пути).

Я немного изменил подход. На стороне сервера у меня работает OpenVPN Access Server (и динамический IP, но статический доменное имя) на уровне 2 (ethernet bridging). На "спутниковом" участке - Mikrotik Routerboard. Я смог настроить доступ в интернет через Wi-Fi на нём, но не получилось настроить OpenVPN-соединение. Две проблемы: я нашёл кучу инструкций, но только для VPN с NAT. Все инструкции — с IP-адресом, а не с адресом DNS. Как это можно сделать?

Приятное пожелание, но если быть реалистом и добиться того, чтобы это действительно соответствовало вашим потребностям, я бы также посоветовал использовать с обеих сторон RB1100AHx2 и настроить IPSec VPN между ними, чтобы получить максимальную производительность, пропускную способность и безопасность для вашей сети. Не самое дешевое приобретение, но на мой взгляд, это вполне устроит вас надолго.