+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

IPSEC-туннель Azure с BGP

IPSEC-туннель Azure с BGP, RouterOS

fernandf

Guest

04.11.2018 12:13:00

Привет! У меня есть RB951G-2HnD, подключённый к Azure через IPSEC. Со статической маршрутизацией всё работает без проблем, но когда я пытаюсь использовать BGP для передачи маршрутов, ничего не получается. Я создаю BGP-пиринги, и маршруты распространяются как из Azure на мой RB951G-2HnD, так и наоборот. Хотя роутеры видны, достучаться до удалённых сетей Azure не получается (доступен только Azure GW). Вот моя конфигурация:

192.168.100.0/24 — моя локальная сеть.
192.168.200.0/24 — сеть, к которой подключён Azure GW.
192.168.202.0/24 — тестовая сеть в Azure с виртуальной машиной.

```
/ip ipsec policy add dst-address=192.168.202.254/32 sa-dst-address=a.b.c.d sa-src-address=a.b.c.d src-address=192.168.100.0/24 tunnel=yes
/ip ipsec peer add address=a.b.c.d/32 dh-group=modp1024 enc-algorithm=aes-256,aes-128 exchange-mode=ike2 lifetime=8h secret=********
/ip ipsec proposal set [ find default=yes ] enc-algorithms=aes-256-cbc,aes-128-cbc lifetime=7h30m pfs-group=none
/routing bgp instance set default as=65000 redistribute-connected=yes
/routing bgp peer add multihop=yes name=peer1 remote-address=192.168.202.254 remote-as=65515 ttl=default
/ip firewall nat add action=accept chain=srcnat comment=AzureNAT-BGP dst-address=192.168.202.0/24 src-address=192.168.100.0/24
/ip firewall nat add action=accept chain=srcnat comment=AzureNAT-BGP2 dst-address=192.168.200.0/24 src-address=192.168.100.0/24
/ip firewall raw add action=notrack chain=prerouting dst-address=192.168.100.0/24 src-address=192.168.202.0/24
/ip firewall raw add action=notrack chain=prerouting dst-address=192.168.202.0/24 src-address=192.168.100.0/24
/ip firewall raw add action=notrack chain=prerouting dst-address=192.168.100.0/24 src-address=192.168.200.0/24
/ip firewall raw add action=notrack chain=prerouting dst-address=192.168.200.0/24 src-address=192.168.100.0/24
```

Я видел документацию про использование IPIP и GRE, но эти протоколы в Azure не поддерживаются. Есть идеи?

С уважением.

Argon

Guest

03.12.2019 13:11:00

Чтобы настроить полноценный BGP поверх IPSec-туннеля, нужна поддержка маршрутизируемого IPSec, или, как его еще называют, VTI. С VTI у вас есть выделенный интерфейс для IPSec-туннеля, и политика настроена так, чтобы разрешать трафик с любого адреса на любой внутри этого туннеля, а управление трафиком происходит на уровне маршрутов, а не политик IPSec. У Mikrotik такой функции нет, хотя её просили еще 10 лет назад (можно проверить на форуме). Вы все равно можете подключить Mikrotik к маршрутизируемому Azure Gateway и рекламировать свои маршруты в Azure через BGP-инстанс Mikrotik, но маршруты, полученные из Azure, на Mikrotik работать не будут. Придется использовать статические политики IPSec на уровне Mikrotik. По моим тестам, Azure Gateway не поддерживает транспортный режим IPSec, только туннельный. Значит, создание транспортной IPSec-политики для IPIP-туннеля на Mikrotik работать не будет...

pe1chl

Guest

03.12.2019 14:33:00

Не знаю, насколько гибок этот Azure шлюз (скорее всего не очень…), но всё равно должно быть возможно наложить туннель IPIP или GRE поверх туннельной политики IPsec, и это должно работать. (Я делал так между MikroTik и обычными Linux-системами)

Argon

Guest

03.12.2019 15:07:00

Я провел пару бессонных ночей, пытаясь заставить IPIP работать с Azure Gateway, но безуспешно. Был бы признателен, если бы вы нашли способ, как это сделать... Насколько я понял, проблема с Azure Gateway в том, что он требует Tunnel mode и не работает в транспортном режиме IPsec.

dieselsuxx

Guest

02.08.2021 12:12:00

Знаю, что это старая тема, но, может, кому-то пригодится и спасёт от бессонных ночей: Azure поддерживает только 3 протокола уровня 4 модели OSI — TCP/IP, UDP и ICMP. Всё остальное просто тихо отбрасывается. То есть никакого OSPF, никакого IPIP, никакого EoIP, никакого GRE. Если вам нужно использовать что-то кроме этих трёх протоколов, придётся настроить L2TP-соединение и завершить его в виртуальной машине (например, Mikrotik CHR) в Azure.

hkusulja Guest	#6 0 01.03.2022 04:12:00 Кто-нибудь заставил это работать? Мне тоже интересно BGP для двустороннего обмена и объявления маршрутов в RouterOS 7.1.3 (стабильная версия).

galvesribeiro

Guest

08.04.2022 00:01:00

@hkusulja после 4 часов работы с поддержкой Azure Premier нам удалось поднять оба IPSec туннеля с Mikrotik и установить BGP-соединение на обоих туннелях сегодня. Я получаю маршруты VNet, которые рекламирует Azure, и они отображаются в моей таблице маршрутов. Однако ни один из маршрутов, которые я рекламирую с MikroTik, не принимается и не отображается на стороне Azure. Я использую CCR2004-1G-12S+2XS с RouterOS v7.1.5. Интересно, у кого-нибудь это вообще когда-нибудь получилось? Спасибо!

OlofL Guest	#8 0 03.05.2022 09:33:00 Итак? Что ты в итоге использовал? Есть ли у тебя маршрутизированный интерфейс? IPIP? GRE?

manolito2112 Guest	#9 0 31.08.2022 15:32:00 Он действительно рекламирует в Azure через BGP, обязательно добавьте свои сети в (Mikrotik BGP Networks), если у вас не настроена перераспределение BGP. Также убедитесь, что включили EBGP Multihop, если вы не используете подсеть VTI.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры