+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

IPsec-аварийный выключатель, когда VPN отключен

IPsec-аварийный выключатель, когда VPN отключен, RouterOS

superuzzo

Guest

15.12.2019 17:03:00

Привет, ребята! Я новичок в MikroTik и RouterOS, и мне это нравится. У меня есть маршрутизатор hap lite (RB941-2ND-TC), подключенный к моему домашнему DSL модему (FritzBox 3272) на порту ether1 (wan). Я настроил wlan1, ether2 и ether3 на новом "bridge-p2p" с собственными адресами, DHCP, публичным DNS и так далее... Ether4 оставил на стандартном мосту. Я также настроил IPSEC, как описано здесь https://wiki.mikrotik.com/wiki/IKEv2_EAP_between_NordVPN_and_RouterOS. Моя цель - в основном использовать устройство для Netflix/p2p/серфинга через NordVPN, кроме порта ether4, который должен работать всегда, даже если VPN недоступен. Всё работает, но я бы хотел избежать подключения "bridge-p2p" к интернету, когда VPN не работает, в то время как "bridge" должен продолжать серфинг без ограничений. Поскольку весь исходящий трафик проходит через ether1, у меня возникают некоторые трудности с правильной настройкой фильтров. Не уверен, что это также может быть связано с маршрутами. Можете помочь, пожалуйста? Спасибо!

ronal01

Guest

19.11.2020 11:45:00

Что я сделал для своего "килл-свитча" на клиенте, так это активировал NAT только для диапазона адресов тюнера, чтобы скрыть всё, что выходит через VPN, и статическую маршрутизацию, 0.0.0.0 шлюз L2TP расстояние 1. Когда VPN падает, роутер остаётся без интернета.

icsterm

Guest

31.12.2019 20:43:00

Я также интересуюсь правилом, которое блокирует не-IPsec трафик, как только туннель IKEv2 разрывается. Использование исключающей маркировки соединений, как мы делаем с fasttrack, кроме IPsec, похоже, вообще не работает в правилах firewall - filter, весь трафик блокируется, лол: mangle: 4 ;;; mark-ipsec chain=forward action=mark-connection new-connection-mark=ipsec passthrough=yes log=no log-prefix="" ipsec-policy=in,ipsec filter: 2 ;;; killswitch chain=forward action=drop connection-mark=!ipsec log=no log-prefix="" Ранее я использовал L2TP/IPSec, и это было очень удобно, потому что у меня действительно была таблица маршрутизации, и если интерфейс падал, я мог использовать черную дыру в маршруте, но чистый IPsec, брат, это уровень сложности повыше. Я тоже пробовал, и это не сработало: 2 ;;; killswitch chain=forward action=drop log=no log-prefix="" ipsec-policy=out,none Надеюсь, кто-то подскажет мне решение, я буду очень признателен.

icsterm

Guest

01.01.2020 15:28:00

После поисков решения я нашёл одно, которое работает: 1 ;;; fasttrack-no-ipsec chain=forward action=fasttrack-connection connection-state=established,related connection-mark=no-mark log=no log-prefix="" 2 ;;; killswitch chain=forward action=drop connection-state=established,related src-address=192.168.88.0/24 connection-mark=!ipsec log=no log-prefix="" Главное — это только сбрасывать ‘established,related’ в сочетании с “!ipsec” connection-mark, потому что фильтр межсетевого экрана сработает до инкапсуляции ipsec. Думаю, что пакеты SYN окажутся незамеченными, когда VPN отключится, но как только они попытаются установить соединение, фильтр сработает.

icsterm

Guest

02.01.2020 13:14:00

Я улучшил выключатель, переместив фильтр в цепочке выхода: 2 ;;; выключатель chain=output action=drop src-address=192.168.88.0/24 connection-mark=no-mark log=no log-prefix="" Поскольку я маркирую как IPsec, так и не IPsec трафик с помощью mangle в цепочке пересылки, не IPsec трафик блокируется, как только туннель падает, потому что цепочка выхода вторична по отношению к цепочке пересылки.

superuzzo

Guest

11.01.2020 13:30:00

Спасибо, icsterm, я попробую… Однако, насколько я помню, одна из проблем, с которой я столкнулся, заключалась в том, что даже используя mangling для маркировки соединений, я не смог "перехватить" и пометить соединения IPSec к NordVPN. РЕДАКТИРОВАНИЕ: Чтобы упростить задачу, я начал заново, сбросил маршрутизатор, настроил только IPSec VPN и добавил эти правила, как вы предложили, но это все равно не работает. 192.168.88.254 — это мой клиент Winbox, мне нужно разрешить подключения к нему, иначе я больше не смогу управлять устройством. /ip firewall mangle add action=mark-connection chain=forward comment="Mark IPsec" ipsec-policy=in,ipsec new-connection-mark=ipsec /ip firewall mangle add action=mark-connection chain=forward comment="Mark non IPsec" ipsec-policy=in,none new-connection-mark=nonipsec /ip firewall filter add chain=output dst-address=192.168.88.254 action=accept /ip firewall filter add chain=output src-address=192.168.88.0/24 connection-mark=no-mark action=drop comment="VPN Kill Switch" Есть ли что-то неправильно в этом?

starleaf Guest	#7 0 23.10.2020 06:47:00 Привет, я тоже пытаюсь сделать килл-свитч для IPSec Ikev2. Ты смог настроить его так, как хотел?

ronal01 Guest	#8 0 15.11.2020 11:21:00 Я это решил: они должны создать статический маршрут с расстоянием 1, используя в качестве шлюза VPN-соединение, и с расстоянием 2 — WAN, а также только одно правило NAT, выходящее через VPN-туннель. Если туннель не работает, интернет отключается.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры