http://mikrotik.moscow Новое в теме Проблема с DHCP Relay и IPSec форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Tue, 14 Jul 2026 07:32:01 +0300 Проблема с DHCP Relay и IPSec RouterOS в форуме RouterOS.
Привет. Я нашёл проблему. [admin@MikroTik] > ip firewall nat print Флаги: X - отключено, I - некорректно, D - динамическое 0 chain=srcnat action=accept src-address=192.168.233.0/24 dst-address=192.168.112.0/24 log=no log-prefix=“” В этом правиле NAT указан исходный адрес. В DHCP-запросе исходный IP не установлен. Решение: правило NAT с назначением, равным адресу DHCP-сервера, и действием accept.
24.05.2018 14:38:00, manelfl.]]> http://mikrotik.moscow/forum/forum57/85348-problema-s-dhcp-relay-i-ipsec/message395553 http://mikrotik.moscow/forum/forum57/85348-problema-s-dhcp-relay-i-ipsec/message395553 Thu, 24 May 2018 14:38:00 +0300 RouterOS Проблема с DHCP Relay и IPSec RouterOS в форуме RouterOS.
Здравствуйте. Я новичок на этом форуме, и у меня похожая проблема с DHCP relay и IPsec VPN. У меня есть центральный DHCP-сервер и DHCP relay в удалённых филиалах. Для тестов я использую маршрутизатор Mikrotik RB2011iL-IN, но это такой же тип роутера, как и в удалённых филиалах. Думаю, проблема в том, что пакеты relay проходят NAT на маршрутизаторе:  
0 время=174.501 номер=1 направление=приём интерфейс=ether2 src-address=0.0.0.0:68 (bootpc) dst-address=255.255.255.255:67 (bootps) протокол=ip ip-протокол=udp размер=328 cpu=0 размер-ip-пакета=328 размер-ip-заголовка=20 dscp=4 идентификатор=0 смещение-фрагмента=0 ttl=128  
1 время=174.502 номер=2 направление=передача интерфейс=pppoe-out1 src-address=2.139.155.188:67 (bootps) dst-address=192.168.112.11:67 (bootps) протокол=ip ip-протокол=udp размер=328 cpu=0 размер-ip-пакета=328 размер-ip-заголовка=20 dscp=0 идентификатор=0 смещение-фрагмента=0 ttl=64  

Не понимаю, почему:  
[admin@MikroTik] > ip firewall nat print
Флаги: X - отключено, I - невалидно, D - динамическое  
0    chain=srcnat action=accept src-address=192.168.233.0/24 dst-address=192.168.112.0/24 log=no log-prefix=""  
1 X  chain=srcnat action=accept log=no log-prefix=""  
2    ;;; стандартная конфигурация chain=srcnat action=masquerade out-interface=pppoe-out1 log=no log-prefix=""  

Правило 1 отключено. При его активации проблема сохраняется. Это правило нужно, чтобы не применять маскарадинг ко всему трафику. Правило 2 — для маскарадинга интернет-трафика. Правило 0 — чтобы не маскарадить трафик между удалёнными филиалами.  

Какое правило source NAT вы настраиваете для трафика между филиалами?  

Заранее спасибо за помощь!
18.05.2015 10:39:00, manelfl.]]> http://mikrotik.moscow/forum/forum57/85348-problema-s-dhcp-relay-i-ipsec/message395552 http://mikrotik.moscow/forum/forum57/85348-problema-s-dhcp-relay-i-ipsec/message395552 Mon, 18 May 2015 10:39:00 +0300 RouterOS Проблема с DHCP Relay и IPSec RouterOS в форуме RouterOS.
Отредактировано. Теперь проблема решена, и это было связано с парой ошибок в настройках. А именно: DHCP snooping на коммутаторе в главном офисе и правило Source NAT, которое применялось к трафику, идущему между сайтами.
16.05.2015 19:26:00, sjoram.]]> http://mikrotik.moscow/forum/forum57/85348-problema-s-dhcp-relay-i-ipsec/message395551 http://mikrotik.moscow/forum/forum57/85348-problema-s-dhcp-relay-i-ipsec/message395551 Sat, 16 May 2015 19:26:00 +0300 RouterOS Проблема с DHCP Relay и IPSec RouterOS в форуме RouterOS.
Да, IPSec-туннель работает. Снятие пакетов на DHCP-сервере не показывает никаких DHCP-пакетов, исходящих из удалённой сети.
03.05.2015 10:31:00, sjoram.]]> http://mikrotik.moscow/forum/forum57/85348-problema-s-dhcp-relay-i-ipsec/message395550 http://mikrotik.moscow/forum/forum57/85348-problema-s-dhcp-relay-i-ipsec/message395550 Sun, 03 May 2015 10:31:00 +0300 RouterOS Проблема с DHCP Relay и IPSec RouterOS в форуме RouterOS.
Ваш IPsec-туннель между сайтами действительно работает? Как продвигается настройка DHCP relay? Вы так и не сказали, в чём именно проблема. Пытались сделать захват пакетов на целевом сервере, пока на удалённом сайте делается запрос?
03.05.2015 09:18:00, troffasky.]]> http://mikrotik.moscow/forum/forum57/85348-problema-s-dhcp-relay-i-ipsec/message395549 http://mikrotik.moscow/forum/forum57/85348-problema-s-dhcp-relay-i-ipsec/message395549 Sun, 03 May 2015 09:18:00 +0300 RouterOS Проблема с DHCP Relay и IPSec RouterOS в форуме RouterOS.
Поднимаю тему, так как никто не ответил, и проблема всё ещё не решена... Я также пытался развернуть это на своей новой линии FTTC (VDSL) и столкнулся с той же проблемой, при этом там не стоит другой NAT роутер...
02.05.2015 18:53:00, sjoram.]]> http://mikrotik.moscow/forum/forum57/85348-problema-s-dhcp-relay-i-ipsec/message395548 http://mikrotik.moscow/forum/forum57/85348-problema-s-dhcp-relay-i-ipsec/message395548 Sat, 02 May 2015 18:53:00 +0300 RouterOS Проблема с DHCP Relay и IPSec RouterOS в форуме RouterOS.
Проблема с DHCP Relay, который не работает через IPSec туннель. Нашёл несколько предыдущих сообщений и попробовал предложенные там решения — без результата. Это временная схема на несколько месяцев, поэтому не хочу тратить на это слишком много времени, но было бы здорово, если бы всё заработало.

Сейчас использую встроенный DHCP сервер RouterOS на «удалённой» стороне, но хотел бы при помощи релэя обслуживать «удалённую» сторону с помощью Windows 2008R2 DHCP сервера на «основной» стороне.

Настройка осложнена небольшим «костылём», который пришлось сделать на «удалённом» роутере, чтобы IPSec туннель поднялся, из-за неидеальной конфигурации вне моего контроля.

Основный сайт: RB750 — интерфейс PPPoE Client выступает в роли шлюза в Интернет.
Удалённый сайт: RB750 — интерфейс Ether1 настроен как шлюз с адресом 192.168.0.250. Он подключается к другому устройству с адресом 192.168.0.1, которое через NAT выходит в Интернет.

Чтобы IPSec туннель заработал, пришлось добавить публичный IP удалённого сайта на RB750 как дополнительный IP для интерфейса Ether1. Есть правило src-nat masquerade по умолчанию, плюс правило src-nat с источником 10.10.0.0/16 (удалённый сайт), назначение 10.0.0.0/16 (один VLAN на основном сайте) с действием ‘accept’. Также пробовал добавить правило src-nat с источником без указания, назначением 10.0.0.0/16 и src-nat на адрес 10.10.0.254 — не сработало.

Есть идеи? Как уже сказал, это временная настройка, которая будет отключена через пару месяцев — удалённый сайт заменят другим, где RB750GL будет напрямую получать публичный IP через PPPoE клиент.
14.03.2015 15:54:00, sjoram.]]> http://mikrotik.moscow/forum/forum57/85348-problema-s-dhcp-relay-i-ipsec/message395547 http://mikrotik.moscow/forum/forum57/85348-problema-s-dhcp-relay-i-ipsec/message395547 Sat, 14 Mar 2015 15:54:00 +0300 RouterOS