+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Разместить подключение клиента VPN в отдельном VRF.

Разместить подключение клиента VPN в отдельном VRF., RouterOS

rkrisi

Guest

09.11.2022 14:51:00

Всем привет! Хочу сделать VPN-подключение с роутера для управленческих целей. Планирую разместить этот VPN в отдельном VRF, чтобы к нему нельзя было обратиться с интерфейсов роутера, а VPN был доступен только для удалённого подключения. Создал ovpn-client как обычно, создал таблицу VRF и поместил интерфейс ovpn-client в этот VRF. Но ничего не происходит: туннель запущен и работает, но подключиться удалённо не получается. Пробовал отмечать соединения из подсети VPN и направлять их в соответствующую таблицу маршрутизации, но не смог найти пример для такого случая. Спасибо всем, кто поможет!

spippan

Guest

28.12.2022 13:23:00

Не нужно усложнять настройку, думаю, всё примерно так:

Насколько я понимаю, автор просто хочет, чтобы удалённый mgmt туннель был в своём собственном «mgmt vrf» на роутере. ПРИМЕЧАНИЕ: rOS 7.6 (стабильная версия) добавила эту возможность → https://mikrotik.com/download/changelogs *) ovpn — добавлена поддержка VRF для клиента;

rkrisi

Guest

05.01.2023 13:35:00

Да, именно этого я и хотел добиться! Спасибо за твою схему. Но я так и не нашёл рабочего решения для этого. Я открыт к другим вариантам, но сети «клиентов» за этими роутерами обычно включают несколько подсетей, иногда даже пересекающихся с моей VPN-подсетью. Поэтому было бы идеально, если бы я мог использовать отдельный VRF. Да, поддержка VRF есть для ovpn, можно поместить ovpn-соединение в отдельный VRF, и это будет работать. Однако некоторые сервисы в Mikrotik не поддерживают VRF, поэтому я не могу перенести управление в другой VRF, потому что (например, syslog) может использовать только основную таблицу маршрутизации. Также не знаю, можно ли сделать какие-то сервисы доступными в нескольких VRF одновременно. Например, Winbox должен быть доступен и локально. Как обычно это делают? Привязывают порт к управленческому VRF?

spippan

Guest

05.01.2023 15:48:00

Сервисы, которые поддерживают только VRF, могут работать только в ОДНОМ VRF. В rOS пока нет функции мульти-VRF-сервиса (пока что?). Так что winbox может быть либо в MAIN, либо в «VRF-xy». Да, пересылка в syslog в rOS не поддерживает VRF, но в качестве временного решения можно сделать утечку маршрута в основную таблицу или выполнить поиск нужного маршрута в VRF и проверить его.

anav Guest	#5 0 05.01.2023 21:56:00 Тот же ответ — поставь CHR на этот VPS и запусти WireGuard через CHR на VPS... избавься от OpenVPN. VRF не нужен.

rkrisi Guest	#6 0 06.01.2023 06:09:00 Спасибо за помощь! Я попробую эти методы.

rkrisi Guest	#7 0 06.01.2023 06:12:00 Я до сих пор не понимаю твоих ответов. Это рабочая система, а не хобби-проект, где я могу менять всё, как захочу. И ещё я до сих пор не понимаю, чем это поможет в моей ситуации. Зачем мне вообще использовать CHR? Я же могу запустить Wireguard-сервер на обычном Linux-сервере. Даже если я перейду на Wireguard, эти вопросы останутся. Как мне обеспечить доступ к некоторым сервисам и через VPN, и локально? Как отделить VPN-туннель от остальных сетей и так далее…

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры