RB750G VPN не проходит (не работает).

Я даже не знал, что такое существует! Хаха, может, добавь в подпись, что надо использовать терминал, я перелопатил все меню в поисках опции экспорта, но в итоге нашёл. Я заменил внешние данные, как ты советовал, и сменил имена пользователей на user1 и т.д. Надеюсь, кто-то поймёт, где я ошибся! Спасибо.

# jul/08/2020 09:22:42 by RouterOS 6.46.4  
# software id = KHPA-LRZY  
#  
# model = 750G  
# serial number = 268D01736223  

/interface bridge  
add arp=proxy-arp disabled=yes name=bridge1  
/interface ethernet  
set [ find default-name=ether1 ] name=ISP1-Static
set [ find default-name=ether2 ] name=ISP2-DHCP
set [ find default-name=ether3 ] name=LAN3
/interface pppoe-client  
add add-default-route=yes disabled=no interface=ISP1-Static name=pppoe-out1 use-peer-dns=yes user=xxxxxxxxxxx@talktalkbusiness.net  
/interface bonding  
add disabled=yes name=bonding1 slaves=ISP1-Static,ISP2-DHCP  
/interface list  
add name=WAN  
add name=LAN  
/interface wireless security-profiles  
set [ find default=yes ] supplicant-identity=MikroTik
/ip pool  
add name=dhcp ranges=10.11.2.230-10.11.2.254  
add name=vpn ranges=10.11.2.180-10.11.2.189  
/ip dhcp-server  
add address-pool=dhcp disabled=no interface=LAN3 name=DHCP-Local  
/ppp profile  
set *FFFFFFFE local-address=192.168.89.1 remote-address=vpn  
/interface bridge port  
add bridge=bridge1 disabled=yes interface=ISP2-DHCP  
add bridge=bridge1 interface=LAN3  
add bridge=bridge1 interface=ether4  
add bridge=bridge1 interface=ether5  
/ip firewall connection tracking  
set enabled=yes  
/interface l2tp-server server  
set enabled=yes use-ipsec=yes  
/interface list member  
add interface=ISP1-Static list=WAN  
add interface=LAN3 list=LAN  
add interface=pppoe-out1 list=WAN  
/interface pptp-server server  
set authentication=pap,chap,mschap1,mschap2 enabled=yes  
/interface sstp-server server  
set default-profile=default-encryption enabled=yes  
/ip address  
add address=10.11.2.10/24 interface=LAN3 network=10.11.2.0  
/ip cloud  
set ddns-enabled=yes  
/ip dhcp-client  
add interface=ISP1-Static  
add disabled=no interface=ISP2-DHCP  
/ip dhcp-server lease  
add address=10.11.2.141 client-id=1:10:e7:c6:f3:f8:ab comment="Marks Laptop" mac-address=10:E7:C6:F3:F8:AB server=DHCP-Local  
add address=10.11.2.191 comment="Datto Backup LAN1" mac-address=00:01:2E:82:75:11 server=DHCP-Local  
add address=10.11.2.1 mac-address=80:18:44:F2:7B:70 server=DHCP-Local  
add address=10.11.2.82 comment=ukju-winserver01 mac-address=00:0C:29:02:DC:98 server=DHCP-Local  
add address=10.11.2.11 comment="24 Port Ubiquiti" mac-address=78:8A:20:C5:D5:60  
add address=10.11.2.12 comment="48 Port Ubiquiti" mac-address=FC:EC:DA:02:7E:FC  
add address=10.11.2.20 comment="UKJU-WAP01" mac-address=F0:9F:C2:8E:D4:5B  
add address=10.11.2.21 comment=UKJU-WAP02 mac-address=F0:9F:C2:8E:D4:D8  
add address=10.11.2.22 comment=UKJU-WAP03 mac-address=F0:9F:C2:8E:D8:72  
add address=10.11.2.60 comment="Brother Printer 1" mac-address=00:1B:A9:C9:1E:8B  
add address=10.11.2.190 comment="D-Link Nas Drive" mac-address=CC:B2:55:04:BA:BA  
add address=10.11.2.192 comment="Datto Backup Lan2" mac-address=00:01:2E:82:75:12  
add address=10.11.2.220 comment="CCTV Entrance" mac-address=BC:AD:28:8B:72:E6  
add address=10.11.2.221 comment="CCTV Office Side Run" mac-address=00:0F:7C:15:36:B2  
add address=10.11.2.52 client-id=1:6c:e8:5c:d5:1f:ee mac-address=6C:E8:5C:D5:1F:EE server=DHCP-Local  
add address=10.11.2.140 client-id=1:38:ba:f8:b6:bc:e6 mac-address=38:BA:F8:B6:BC:E6 server=DHCP-Local  
add address=10.11.2.50 client-id=1:c2:62:2d:8f:bf:35 comment="Mobile Phones" mac-address=C2:62:2D:8F:BF:35 server=DHCP-Local  
add address=10.11.2.51 client-id=1:dc:8:f:6b:52:cb mac-address=DC:08:0F:6B:52:CB server=DHCP-Local  
/ip dhcp-server network  
add address=10.11.2.0/24 dns-server=10.11.2.82,8.8.8.8 gateway=10.11.2.10 netmask=24  
/ip dns  
set allow-remote-requests=yes servers=8.8.8.8,8.8.4.4  
/ip dns static  
add address=10.11.2.82 disabled=yes name=winserv01  
/ip firewall mangle  
add action=mark-connection chain=input in-interface=pppoe-out1 new-connection-mark=traffic-wan1 passthrough=yes  
add action=mark-connection chain=input in-interface=ISP2-DHCP new-connection-mark=traffic-wan2 passthrough=yes  
add action=mark-routing chain=output connection-mark=traffic-wan1 new-routing-mark=to-wan1 passthrough=yes  
add action=mark-routing chain=output connection-mark=traffic-wan2 new-routing-mark=to-wan2 passthrough=yes  
add action=accept chain=prerouting dst-address=my.public.iprange.0/24 in-interface=LAN3  
add action=accept chain=prerouting dst-address=192.168.1.0/24 in-interface=LAN3  
add action=mark-connection chain=prerouting dst-address-type=!local in-interface=LAN3 new-connection-mark=traffic-wan1 passthrough=yes per-connection-classifier=both-addresses-and-ports:2/0  
add action=mark-connection chain=prerouting dst-address-type=!local in-interface=LAN3 new-connection-mark=traffic-wan2 passthrough=yes per-connection-classifier=both-addresses-and-ports:2/1  
add action=mark-routing chain=prerouting connection-mark=traffic-wan1 in-interface=LAN3 new-routing-mark=to-wan1 passthrough=yes  
add action=mark-routing chain=prerouting connection-mark=traffic-wan2 in-interface=LAN3 new-routing-mark=to-wan2 passthrough=yes  
/ip firewall nat  
add action=masquerade chain=srcnat out-interface-list=WAN  
add action=masquerade chain=srcnat comment="masq. vpn traffic" src-address=192.168.89.0/24  
add action=redirect chain=dstnat dst-port=53 protocol=udp to-ports=53  
add action=redirect chain=dstnat dst-port=53 protocol=tcp to-ports=53  
add action=dst-nat chain=dstnat dst-port=8000 log=yes log-prefix=cctv_ protocol=tcp to-addresses=10.11.2.220 to-ports=8000  
add action=dst-nat chain=dstnat dst-port=554 in-interface=ISP1-Static protocol=tcp to-addresses=10.11.2.220 to-ports=554  
add action=masquerade chain=srcnat out-interface=ISP1-Static  
add action=masquerade chain=srcnat out-interface=ISP2-DHCP  
add action=dst-nat chain=dstnat dst-port=8240 log=yes log-prefix=cctv_ protocol=tcp to-addresses=10.11.2.220 to-ports=8240  
/ip route  
add check-gateway=ping distance=1 gateway=static.gateway.ip routing-mark=to-wan1  
add check-gateway=ping distance=1 gateway=192.168.1.1 routing-mark=to-wan2  
add check-gateway=ping distance=1 gateway=static.gateway.ip  
add check-gateway=ping distance=2 gateway=192.168.1.1  
/ppp secret  
add local-address=10.11.2.10 name=user1 profile=default-encryption remote-address=10.11.2.180  
add local-address=10.11.2.10 name=user2 profile=default-encryption remote-address=10.11.2.181  
add local-address=10.11.2.10 name=user3 profile=default-encryption remote-address=10.11.2.182  
add local-address=10.11.2.10 name=user4 profile=default-encryption remote-address=10.11.2.183  
add local-address=10.11.2.10 name=user5 profile=default-encryption remote-address=10.11.2.184  
add local-address=10.11.2.10 name=user6 profile=default-encryption remote-address=10.11.2.186  
add local-address=10.11.2.10 name=user7 profile=default-encryption remote-address=10.11.2.185  
add name=vpn  
/system clock  
set time-zone-name=Europe/London  
/system identity

Самое важное — вашего файервола в плане защиты самого роутера от несанкционированного доступа на сетевом уровне просто нет. В цепочке input в /ip firewall filter ничего нет, и ты даже не настроил разрешённые диапазоны для отдельных сервисов управления (winbox, api, http, telnet, ssh — но этот способ не такой надёжный, как правила файервола). Значит, единственное, что стоит на пути у злоумышленника к полноценно управлению роутером — это логин и пароль. Так что очень вероятно, что ты уже не единственный администратор своего роутера.

Что касается твоей изначальной проблемы, оба типа VPN, которые ты используешь, — это L3 точка-точка, и назначение IP из подсети LAN клиентам вызывает проблемы с маршрутизацией. Клиенты LAN считают VPN-клиентов частью той же подсети, поэтому они шлют ARP-запросы, но не получают ответа. Это можно решить двумя способами, у каждого из которых есть свои плюсы и минусы.

Чище — использовать пул адресов вне подсети LAN для VPN-клиентов, но тогда Windows-хосты в LAN с дефолтной настройкой файервола не отвечают на пинги от VPN-клиентов.

Другой вариант — установить arp свойство LAN-интерфейса роутера в proxy-arp. В этом режиме роутер отвечает на ARP-запросы, приходящие из LAN, если запрашиваемый IP напрямую доступен через другой интерфейс (в данном случае VPN-туннель) своим MAC-адресом. Тогда LAN-хосты отправляют пакеты роутеру, а он уже доставляет их по назначению.

Но проблема «VPN-клиенты не могут достучаться до LAN-хостов» не связана с настройкой dual WAN — та часть твоей конфигурации, что касается dual WAN, выглядит нормально.

Что касается «CCTV не перенаправляет трафик на DVR», где вообще подключены эти устройства? Оба в LAN? Или CCTV в LAN этого Mikrotik, а DVR — в другой локации и должен быть доступен через VPN?

Я только что подключился к VPN и посмотрел детали соединения, там написано: DHCP включён: Нет IPv4 основной шлюз: (ПУСТО) IPv4 DNS: 10.11.2.10 (IP роутера mikrotik) 192.168.1.1 Это нормально? Я подключусь, когда буду вне офиса, и проверю VPN, смогу ли я получить доступ к файловому серверу.