Версия RouterOS: 6.40.5
Маршрутизатор: RB750r2
Я настроил OpenVPN-сервер на своем маршрутизаторе, и клиент может подключаться, но после подключения клиент не может пинговать сам маршрутизатор или любые компьютеры в удаленной сети.
Сеть LAN маршрутизатора — 192.168.10.0/24.
OpenVPN-сервер имеет IP 192.168.11.1 и настроен выдавать клиенту IP 192.168.11.2.
На данный момент я не трогал правила фильтрации фаервола (кроме разрешения подключения самого OpenVPN-клиента — правило 0 ниже), правила mangle и маршруты. Я пробовал много советов, которые нашел тут и в Google, но ничего не помогло, поэтому хочу попросить помощи с «свежим взглядом» на мою ситуацию.
Основные конфигурации (дайте знать, если нужно показать больше):
[local@MikroTik] > /ppp profile print
Flags: * - по умолчанию
0 * name="default" use-mpls=default use-compression=default use-encryption=default only-one=default
change-tcp-mss=yes use-upnp=default address-list="" on-up="" on-down=""
1 ;;; профиль openvpn
name="openvpn-profile" local-address=192.168.11.1 remote-address=192.168.11.2 use-mpls=default
use-compression=default use-encryption=yes only-one=default change-tcp-mss=default use-upnp=default
address-list="" dns-server=192.168.11.1 on-up="" on-down=""
2 * name="default-encryption" use-mpls=default use-compression=default use-encryption=yes only-one=default
change-tcp-mss=yes use-upnp=default address-list="" on-up="" on-down=""
[local@MikroTik] > /interface ovpn-server server print
enabled: yes
port: xxx
mode: ip
netmask: 24
mac-address: FE:89:F0:D8:88:24
max-mtu: 1500
keepalive-timeout: 60
default-profile: openvpn-profile
certificate: server-certificate
require-client-certificate: yes
auth: sha1
cipher: aes128,aes192,aes256
[local@MikroTik] > /ip firewall filter print
Flags: X - отключено, I - некорректно, D - динамическое
0 ;;; Разрешить OpenVPN
chain=input action=accept protocol=tcp dst-port=xxx
1 ;;; разрешить установленные и связанные соединения
chain=input action=accept connection-state=established,related log=no log-prefix=""
2 ;;; сбросить неверные соединения
chain=input action=drop connection-state=invalid log=no log-prefix=""
3 ;;; разрешить запросы из LAN
chain=input action=accept in-interface=ether5-lan log=no log-prefix=""
4 ;;; разрешить UDP
chain=forward action=accept protocol=udp in-interface=ether5-lan log=no log-prefix=""
5 ;;; ssh для защищенного доступа
chain=input action=accept protocol=tcp dst-port=22 log=no log-prefix=""
6 X ;;; доступ по winbox
chain=input action=accept protocol=tcp dst-port=8291 log=no log-prefix=""
7 ;;; логировать всё остальное
chain=input action=log log=no log-prefix="BLOCK"
8 ;;; сбросить всё остальное
chain=input action=drop log=no log-prefix="BLOCK"
[local@MikroTik] > /ip firewall nat print
Flags: X - отключено, I - некорректно, D - динамическое
0 ;;; стандартное правило маскарадинга (маскарада)
chain=srcnat action=masquerade log=no log-prefix=""
[local@MikroTik] > /ip route print
Flags: X - отключено, A - активно, D - динамическое, C - подключение, S - статическое, r - rip, b - bgp, o - ospf, m - mme,
B - blackhole, U - unreachable, P - prohibit
# DST-ADDRESS PREF-SRC GATEWAY DISTANCE
0 S ;;; Игровой трафик
0.0.0.0/0 *10 1
1 S ;;; Загрузки игр
0.0.0.0/0 192.168.8.1 1
2 A S ;;; Motsamai
0.0.0.0/0 browse-pppo... 1
3 A S ;;; Mobereki
0.0.0.0/0 uncapped-pp... 1
4 A S ;;; Sabnzbd
0.0.0.0/0 uncapped-pp... 1
5 A S ;;; Transmission
0.0.0.0/0 uncapped-pp... 1
6 A S ;;; Moraloki
0.0.0.0/0 browse-pppo... 1
7 S ;;; P2 S6e
0.0.0.0/0 192.168.8.1 1
8 S ;;; Xbone
0.0.0.0/0 5.5.5.5 1
9 A S ;;; Основной маршрут по умолчанию
0.0.0.0/0 browse-pppo... 1
10 ADS 0.0.0.0/0 browse-pppo... 0
11 DS 0.0.0.0/0 uncapped-pp... 0
12 DS 0.0.0.0/0 200gb-pp... 0
13 ADC xxx/32 xxx 200gb-pp... 0
14 S 192.168.1.1/32 ether3-wan-lte 1
15 S 192.168.8.1/32 ether1-wan-lte 1
16 ADC 192.168.10.0/24 192.168.10.83 ether5-lan 0
17 ADC 192.168.11.2/32 192.168.11.1 ovpn-ph 0
18 ADC xxx/32 xxx uncapped-pp... 0
[local@MikroTik] > /interface print
Flags: D - динамический, X - отключен, R - работает, S - вспомогательный
# NAME TYPE ACTUAL-MTU L2MTU MAX-L2MTU MAC-ADDRESS
0 X ;;; LTE
ether1-wan-lte ether 1500 1598 2028 E4:8D:8C:93:C9:FA
1 R ;;; Fiber
ether2-wan-fiber ether 1500 1598 2028 E4:8D:8C:93:C9:FB
2 X ;;; V LTE
ether3-wan-lte ether 1500 1598 2028 E4:8D:8C:93:C9:FC
3 X ;;; VACANT
ether4 ether 1500 1598 2028 E4:8D:8C:93:C9:FD
4 R ;;; LAN
ether5-lan ether 1500 1598 2028 E4:8D:8C:93:C9:FE
5 R ;;; 200gb 01
200gb-pppoe-out1 pppoe-out 1480
6 R ;;; openvpn-ph
ovpn-ph ovpn-in 1500
7 R ;;; browse
browse-pppoe-out pppoe-out 1480
8 R ;;; dl
uncapped-pppoe-out1 pppoe-out 1480
Файл конфигурации клиента OpenVPN (клиент — Windows 10, если это важно):
client
dev tun
proto tcp
remote yyy xxx
resolv-retry infinite
nobind
persist-key
persist-tun
ca ca.crt
cert home.crt
key home.key
remote-cert-tls server
cipher AES-128-CBC
auth SHA1
auth-user-pass home.txt
verb 3
route 192.168.10.0 255.255.255.0 vpn_gateway
Когда я запускаю torch на интерфейсе ovpn-ph и пытаюсь с клиента загрузить страницу на удаленной сети, страница не загружается, но я вижу следующее:
И периодически в логе появляются такие записи:
Какие правила в фаерволе, NAT и маршрутах надо добавить, чтобы всё заработало? Буду очень признателен за любую помощь.
Маршрутизатор: RB750r2
Я настроил OpenVPN-сервер на своем маршрутизаторе, и клиент может подключаться, но после подключения клиент не может пинговать сам маршрутизатор или любые компьютеры в удаленной сети.
Сеть LAN маршрутизатора — 192.168.10.0/24.
OpenVPN-сервер имеет IP 192.168.11.1 и настроен выдавать клиенту IP 192.168.11.2.
На данный момент я не трогал правила фильтрации фаервола (кроме разрешения подключения самого OpenVPN-клиента — правило 0 ниже), правила mangle и маршруты. Я пробовал много советов, которые нашел тут и в Google, но ничего не помогло, поэтому хочу попросить помощи с «свежим взглядом» на мою ситуацию.
Основные конфигурации (дайте знать, если нужно показать больше):
[local@MikroTik] > /ppp profile print
Flags: * - по умолчанию
0 * name="default" use-mpls=default use-compression=default use-encryption=default only-one=default
change-tcp-mss=yes use-upnp=default address-list="" on-up="" on-down=""
1 ;;; профиль openvpn
name="openvpn-profile" local-address=192.168.11.1 remote-address=192.168.11.2 use-mpls=default
use-compression=default use-encryption=yes only-one=default change-tcp-mss=default use-upnp=default
address-list="" dns-server=192.168.11.1 on-up="" on-down=""
2 * name="default-encryption" use-mpls=default use-compression=default use-encryption=yes only-one=default
change-tcp-mss=yes use-upnp=default address-list="" on-up="" on-down=""
[local@MikroTik] > /interface ovpn-server server print
enabled: yes
port: xxx
mode: ip
netmask: 24
mac-address: FE:89:F0:D8:88:24
max-mtu: 1500
keepalive-timeout: 60
default-profile: openvpn-profile
certificate: server-certificate
require-client-certificate: yes
auth: sha1
cipher: aes128,aes192,aes256
[local@MikroTik] > /ip firewall filter print
Flags: X - отключено, I - некорректно, D - динамическое
0 ;;; Разрешить OpenVPN
chain=input action=accept protocol=tcp dst-port=xxx
1 ;;; разрешить установленные и связанные соединения
chain=input action=accept connection-state=established,related log=no log-prefix=""
2 ;;; сбросить неверные соединения
chain=input action=drop connection-state=invalid log=no log-prefix=""
3 ;;; разрешить запросы из LAN
chain=input action=accept in-interface=ether5-lan log=no log-prefix=""
4 ;;; разрешить UDP
chain=forward action=accept protocol=udp in-interface=ether5-lan log=no log-prefix=""
5 ;;; ssh для защищенного доступа
chain=input action=accept protocol=tcp dst-port=22 log=no log-prefix=""
6 X ;;; доступ по winbox
chain=input action=accept protocol=tcp dst-port=8291 log=no log-prefix=""
7 ;;; логировать всё остальное
chain=input action=log log=no log-prefix="BLOCK"
8 ;;; сбросить всё остальное
chain=input action=drop log=no log-prefix="BLOCK"
[local@MikroTik] > /ip firewall nat print
Flags: X - отключено, I - некорректно, D - динамическое
0 ;;; стандартное правило маскарадинга (маскарада)
chain=srcnat action=masquerade log=no log-prefix=""
[local@MikroTik] > /ip route print
Flags: X - отключено, A - активно, D - динамическое, C - подключение, S - статическое, r - rip, b - bgp, o - ospf, m - mme,
B - blackhole, U - unreachable, P - prohibit
# DST-ADDRESS PREF-SRC GATEWAY DISTANCE
0 S ;;; Игровой трафик
0.0.0.0/0 *10 1
1 S ;;; Загрузки игр
0.0.0.0/0 192.168.8.1 1
2 A S ;;; Motsamai
0.0.0.0/0 browse-pppo... 1
3 A S ;;; Mobereki
0.0.0.0/0 uncapped-pp... 1
4 A S ;;; Sabnzbd
0.0.0.0/0 uncapped-pp... 1
5 A S ;;; Transmission
0.0.0.0/0 uncapped-pp... 1
6 A S ;;; Moraloki
0.0.0.0/0 browse-pppo... 1
7 S ;;; P2 S6e
0.0.0.0/0 192.168.8.1 1
8 S ;;; Xbone
0.0.0.0/0 5.5.5.5 1
9 A S ;;; Основной маршрут по умолчанию
0.0.0.0/0 browse-pppo... 1
10 ADS 0.0.0.0/0 browse-pppo... 0
11 DS 0.0.0.0/0 uncapped-pp... 0
12 DS 0.0.0.0/0 200gb-pp... 0
13 ADC xxx/32 xxx 200gb-pp... 0
14 S 192.168.1.1/32 ether3-wan-lte 1
15 S 192.168.8.1/32 ether1-wan-lte 1
16 ADC 192.168.10.0/24 192.168.10.83 ether5-lan 0
17 ADC 192.168.11.2/32 192.168.11.1 ovpn-ph 0
18 ADC xxx/32 xxx uncapped-pp... 0
[local@MikroTik] > /interface print
Flags: D - динамический, X - отключен, R - работает, S - вспомогательный
# NAME TYPE ACTUAL-MTU L2MTU MAX-L2MTU MAC-ADDRESS
0 X ;;; LTE
ether1-wan-lte ether 1500 1598 2028 E4:8D:8C:93:C9:FA
1 R ;;; Fiber
ether2-wan-fiber ether 1500 1598 2028 E4:8D:8C:93:C9:FB
2 X ;;; V LTE
ether3-wan-lte ether 1500 1598 2028 E4:8D:8C:93:C9:FC
3 X ;;; VACANT
ether4 ether 1500 1598 2028 E4:8D:8C:93:C9:FD
4 R ;;; LAN
ether5-lan ether 1500 1598 2028 E4:8D:8C:93:C9:FE
5 R ;;; 200gb 01
200gb-pppoe-out1 pppoe-out 1480
6 R ;;; openvpn-ph
ovpn-ph ovpn-in 1500
7 R ;;; browse
browse-pppoe-out pppoe-out 1480
8 R ;;; dl
uncapped-pppoe-out1 pppoe-out 1480
Файл конфигурации клиента OpenVPN (клиент — Windows 10, если это важно):
client
dev tun
proto tcp
remote yyy xxx
resolv-retry infinite
nobind
persist-key
persist-tun
ca ca.crt
cert home.crt
key home.key
remote-cert-tls server
cipher AES-128-CBC
auth SHA1
auth-user-pass home.txt
verb 3
route 192.168.10.0 255.255.255.0 vpn_gateway
Когда я запускаю torch на интерфейсе ovpn-ph и пытаюсь с клиента загрузить страницу на удаленной сети, страница не загружается, но я вижу следующее:
И периодически в логе появляются такие записи:
Какие правила в фаерволе, NAT и маршрутах надо добавить, чтобы всё заработало? Буду очень признателен за любую помощь.
