http://mikrotik.moscow Новое в теме Проблема маршрутизации через VPN "site to site". форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Fri, 31 Jul 2026 17:27:58 -0400 Проблема маршрутизации через VPN "site to site". RouterOS в форуме RouterOS.
Я не вижу маршрут 0.0.0.0/0 через 172.10.0.2 или 172.10.0.1 — удалённый адрес?
31.05.2024 04:42:00, JohnTRIVOLTA.]]> http://mikrotik.moscow/forum/forum57/87963-problema-marshrutizatsii-cherez-vpn-_site-to-site_./message422087 http://mikrotik.moscow/forum/forum57/87963-problema-marshrutizatsii-cherez-vpn-_site-to-site_./message422087 Fri, 31 May 2024 04:42:00 -0400 RouterOS Проблема маршрутизации через VPN "site to site". RouterOS в форуме RouterOS.
Порядок правил файервола имеет значение, а ты показал только одно из них. Значит, то, что ты опубликовал — это первое правило, а за ним (ниже) идёт оригинальное правило action=masquerade без дополнительных условий (как ты и говорил, что вставил). Первое (вставленное) правило ничего не делает, поэтому второе (оригинальное) правило работает так же, как и раньше. Всё, что идёт с приватного адреса в интернет через WAN, должно быть src-nated (masquerade — это src-nat с дополнительной обработкой для динамически меняющихся WAN-адресов).
30.05.2024 19:30:00, sindy.]]> http://mikrotik.moscow/forum/forum57/87963-problema-marshrutizatsii-cherez-vpn-_site-to-site_./message422086 http://mikrotik.moscow/forum/forum57/87963-problema-marshrutizatsii-cherez-vpn-_site-to-site_./message422086 Thu, 30 May 2024 19:30:00 -0400 RouterOS Проблема маршрутизации через VPN "site to site". RouterOS в форуме RouterOS.
Мне удалось, очевидно, в зале B никакого маскарада не было. Большое спасибо за ценный совет.
30.05.2024 19:29:00, abbio90.]]> http://mikrotik.moscow/forum/forum57/87963-problema-marshrutizatsii-cherez-vpn-_site-to-site_./message422085 http://mikrotik.moscow/forum/forum57/87963-problema-marshrutizatsii-cherez-vpn-_site-to-site_./message422085 Thu, 30 May 2024 19:29:00 -0400 RouterOS Проблема маршрутизации через VPN "site to site". RouterOS в форуме RouterOS.
Если я добавляю это правило, интернет не работает:
/ip firewall nat add src-address=10.246.159.0/24 ipsec-policy=out,none out-interface=pppoe1 action=masquerade
Нужно ли для локальной сети 10.246.159.0/24 в офисе B делать masquerade?
30.05.2024 19:23:00, abbio90.]]> http://mikrotik.moscow/forum/forum57/87963-problema-marshrutizatsii-cherez-vpn-_site-to-site_./message422084 http://mikrotik.moscow/forum/forum57/87963-problema-marshrutizatsii-cherez-vpn-_site-to-site_./message422084 Thu, 30 May 2024 19:23:00 -0400 RouterOS Проблема маршрутизации через VPN "site to site". RouterOS в форуме RouterOS.
IPsec ищет свою добычу на предпоследнем этапе обработки пакета, то есть прямо перед тем, как пакет будет отправлен через выбранный интерфейс, уже после того, как src-nat выполнил свою работу. Так что, если вы не исключили трафик из сети 10.246.159.0/24 → интернет из-под действия правила action=srcnat или action=masquerade, например, добавив к этому правилу условие совпадения ipsec-policy=out,none, то пакеты будут пронатированы на WAN-адрес и, соответственно, станут невидимыми для селектора трафика политики.
30.05.2024 19:02:00, sindy.]]> http://mikrotik.moscow/forum/forum57/87963-problema-marshrutizatsii-cherez-vpn-_site-to-site_./message422083 http://mikrotik.moscow/forum/forum57/87963-problema-marshrutizatsii-cherez-vpn-_site-to-site_./message422083 Thu, 30 May 2024 19:02:00 -0400 RouterOS Проблема маршрутизации через VPN "site to site". RouterOS в форуме RouterOS.
Я написал это неверно, но на самом деле всё настроено так, как я исправил в коде. Тем не менее, я всё ещё выхожу в интернет через шлюз местоположения A вместо B по IPsec.
30.05.2024 18:56:00, abbio90.]]> http://mikrotik.moscow/forum/forum57/87963-problema-marshrutizatsii-cherez-vpn-_site-to-site_./message422082 http://mikrotik.moscow/forum/forum57/87963-problema-marshrutizatsii-cherez-vpn-_site-to-site_./message422082 Thu, 30 May 2024 18:56:00 -0400 RouterOS Проблема маршрутизации через VPN "site to site". RouterOS в форуме RouterOS.
Я бы сказал, что ты забыл поставить tunnel в положение yes в политиках с действием action=encrypt. После исправления снова сделай экспорт, чтобы проверить, не вызвало ли это упущение каких-то других изменений, и при необходимости исправь их вручную.
30.05.2024 18:53:00, sindy.]]> http://mikrotik.moscow/forum/forum57/87963-problema-marshrutizatsii-cherez-vpn-_site-to-site_./message422081 http://mikrotik.moscow/forum/forum57/87963-problema-marshrutizatsii-cherez-vpn-_site-to-site_./message422081 Thu, 30 May 2024 18:53:00 -0400 RouterOS Проблема маршрутизации через VPN "site to site". RouterOS в форуме RouterOS.
@Sindy, я пытаюсь это смоделировать. С сайта A хочу выйти через IPsec сайта 2. То есть моя локальная сеть сайта A (10.246.159.0/24) использует IPsec как шлюз. На сайте A следующая конфигурация:  
/ip ipsec policy  
add action=none dst-address=10.246.159.0/24 src-address=10.246.159.0/24 tunnel=no  

add action=encrypt dst-address=0.0.0.0/0 src-address=10.246.159.0/24 peer=ikev2-mik proposal=proposal-ikev2-mik tunnel=yes  

На сайте B такая конфигурация:  
/ip ipsec policy  
add action=encrypt dst-address=10.246.159.0/24 src-address=0.0.0.0/0 peer=ikev2-mik proposal=proposal-ikev2-mik tunnel=yes  

Фаза вторая поднимается на обоих, но трафик, направляемый в интернет, всегда выходит через PPPoE-шлюз офиса A, вместо того чтобы идти через IPsec в офис B. Где я ошибаюсь? Надо ли мне ещё что-то менять в маршрутах?
30.05.2024 18:30:00, abbio90.]]> http://mikrotik.moscow/forum/forum57/87963-problema-marshrutizatsii-cherez-vpn-_site-to-site_./message422080 http://mikrotik.moscow/forum/forum57/87963-problema-marshrutizatsii-cherez-vpn-_site-to-site_./message422080 Thu, 30 May 2024 18:30:00 -0400 RouterOS Проблема маршрутизации через VPN "site to site". RouterOS в форуме RouterOS.
Всем привет! У меня есть 2 локации: 1 хаб и 1 спок. Хочу, чтобы весь трафик шел через VPN. Site-to-site IPsec VPN настроен, всё вроде работает, но не могу пропинговать Mikrotik в локальной сети на стороне спока, хотя на стороне хаба всё нормально. Как решить эту проблему?

/interface bridge add admin-mac=XX:XX:XX:XX:XX:XX arp=proxy-arp auto-mac=no comment=defconf name=bridge  
/interface pppoe-client add add-default-route=yes disabled=no interface=ether1 name=pppoe-out1 use-peer-dns=yes user=xxx@xxx  
/interface list add comment=defconf name=WAN  
add comment=defconf name=LAN  
/ip ipsec profile add dh-group=modp1024 dpd-maximum-failures=50 enc-algorithm=3des hash-algorithm=md5 lifetime=8h name=bld nat-traversal=no  
/ip ipsec peer add address=172.10.0.1/32 local-address=172.10.0.2 name=bld profile=bld  
/ip ipsec proposal add auth-algorithms=sha1,md5 enc-algorithms=aes-128-cbc,aes-128-ctr,3des name=bld  
/interface bridge port add bridge=bridge comment=defconf interface=ether2  
add bridge=bridge interface=ether3  
add bridge=bridge interface=ether4  
add bridge=bridge interface=ether5  
/ip neighbor discovery-settings set discover-interface-list=LAN  
/interface list member add comment=defconf interface=bridge list=LAN  
add comment=defconf interface=ether1 list=WAN  
add interface=pppoe-out1 list=WAN  
/ip address add address=192.168.14.3/26 comment=defconf interface=bridge network=192.168.14.0  
/ip dhcp-client add comment=defconf interface=ether1  
/ip dhcp-relay add dhcp-server=192.168.0.10 disabled=no interface=bridge name=relay1  
/ip dns set allow-remote-requests=yes servers=8.8.8.8  
/ip dns static add address=192.168.14.3 comment=defconf name=router.lan  
/ip firewall filter add action=accept chain=input comment="defconf: accept established,related,untracked" connection-state=established,related,untracked  
add action=drop chain=input comment="defconf: drop invalid" connection-state=invalid  
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp  
add action=accept chain=input src-address=192.168.14.0/26  
add action=accept chain=input src-address=192.168.0.0/22  
add action=accept chain=input src-address=172.10.0.1  
add action=accept chain=input comment="defconf: accept to local loopback (for CAPsMAN)" dst-address=127.0.0.1  
add action=accept chain=forward comment="defconf: accept in ipsec policy" ipsec-policy=in,ipsec  
add action=accept chain=forward comment="defconf: accept out ipsec policy" ipsec-policy=out,ipsec  
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" connection-state=established,related hw-offload=yes  
add action=accept chain=forward comment="defconf: accept established,related, untracked" connection-state=established,related,untracked  
add action=drop chain=input comment="defconf: drop all not coming from LAN" in-interface-list=!LAN  
add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid  
add action=drop chain=forward comment="defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat connection-state=new in-interface-list=WAN  
/ip firewall nat add action=masquerade chain=srcnat comment="defconf: masquerade" ipsec-policy=out,none out-interface-list=WAN  
/ip ipsec identity add my-id=address:172.10.0.2 peer=bld  
/ip ipsec policy set 0 disabled=yes  
add dst-address=0.0.0.0/0 peer=bld proposal=bld src-address=192.168.14.0/26 tunnel=yes  
/system routerboard settings set auto-upgrade=yes  
/tool mac-server set allowed-interface-list=LAN  
/tool mac-server mac-winbox set allowed-interface-list=LAN
08.05.2024 17:01:00, bap.]]> http://mikrotik.moscow/forum/forum57/87963-problema-marshrutizatsii-cherez-vpn-_site-to-site_./message422079 http://mikrotik.moscow/forum/forum57/87963-problema-marshrutizatsii-cherez-vpn-_site-to-site_./message422079 Wed, 08 May 2024 17:01:00 -0400 RouterOS