+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Проблемы с разрешением доменов при использовании удалённого DNS-сервера через IPsec

Проблемы с разрешением доменов при использовании удалённого DNS-сервера через IPsec, RouterOS

hapoo

Guest

04.05.2020 06:17:00

Уверен, что делаю что-то глупое, но как ни пытаюсь, не могу решить эту проблему. У меня две сети, соединённые через ipsec VPN с такой настройкой:
/ip ipsec policy add disabled=yes dst-address=10.39.26.0/24 peer=VPN-peer proposal=VPN-proposal src-address=192.168.88.0/24 tunnel=yes
/ip ipsec proposal add enc-algorithms=aes-256-cbc lifetime=1d name=VPN-proposal pfs-group=modp2048
/ip ipsec peer add address=1.2.3.4 disabled=yes exchange-mode=aggressive name=VPN-peer profile=VPN-profile send-initial-contact=no
/ip ipsec identity add peer=VPN-peer secret=blahblah
/ip ipsec profile add dh-group=modp2048 enc-algorithm=aes-256 name=VPN-profile

Сейчас работаю на 6.47beta60, в надежде использовать новые функции DNS. Нет никаких нестандартных правил фаервола или кастомных маршрутов. Перепробовал все возможные варианты, но ничего не помогает.

Сеть 1:
Mikrotik 1 LAN: 192.168.88.0/24
Mikrotik 1 WAN: 5.6.7.8/24

Сеть 2:
Mikrotik 2 LAN: 10.39.26.0/24
Mikrotik 2 WAN: 1.2.3.4/24

С любого клиента, подключённого к Mikrotik 1, я могу пинговать и получить доступ к самому Mikrotik 2 и его клиентам. Но с самого Mikrotik 1 пинги на Mikrotik 2 или его клиентов не проходят, если не указать исходящий адрес в ping.

Обычно это не большая проблема, но в сети 2, подключённой к Mikrotik 2, у меня стоит DNS-сервер, который используется для поиска локальных машин. И, как я ни пытаюсь, не могу заставить Mikrotik 1 использовать этот DNS-сервер.

Retral

Guest

07.12.2020 16:06:00

Большое спасибо за эту информацию. Она помогла мне решить давнюю проблему с DNS, которую я никак не мог найти и устранить правильно. Хотелось бы, чтобы MikroTik автоматически добавлял необходимые настройки для работы при установлении соединения, но я понимаю, что есть своя кривая обучения.

И ещё, MikroTik, если читаете это: DNS, судя по всему, не работает через IPSec, если не делать ручной DST-NAT трафика, не отключать все остальные DNS-серверы или не ставить режим config DNS в exclusive.

SaS

Guest

03.09.2022 07:38:00

У меня та же проблема: мой роутер не может достучаться до DNS-сервера через IPsec-туннель. Для машин за роутером всё работает — так что, возможно, ваше предложение решит мою проблему. Я хотел бы настроить решение с маршрутом (@sindy), но, к сожалению, оно не работает. Две сети 10.8.0.0/16 и 10.21.0.0/16 (MT расположены на 10.8.210.250 и 10.21.210.250). Поэтому я создал маршрут с 10.8.0.0/16 в качестве адреса назначения и 10.21.210.250 в качестве предпочтительного источника (без значения для шлюза). К сожалению, это считается недействительным — может, мне нужно указать значение для шлюза? Спасибо за любую помощь — невозможность использовать MT-DNS через IPsec действительно плохо.

sindy

Guest

03.09.2022 08:14:00

Да, у маршрута должен быть задан какой-то шлюз. Но для вашей задачи можно указать имя любого интерфейса, который будет активен (например, локального моста), потому что достаточно, чтобы система считала маршрут активным; политика IPsec перехватит пакеты и направит их через свое Секьюрити Ассошиэйшн.

SaS Guest	#5 0 03.09.2022 10:21:00 Я использовал «%bridge» (мой мост называется «bridge») в качестве шлюза, и всё сразу заработало! КРУТО!! Твой ответ должен войти в официальную документацию RouterOS. Ещё раз спасибо!

TomosRider Guest	#6 0 20.10.2022 12:36:00 Должен добавить, у меня это работает, если добавить DNS для клиентов — это Domain DNS на другой стороне туннеля.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры