http://mikrotik.moscow Новое в теме IPsec-аварийный выключатель, когда VPN отключен форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Tue, 14 Jul 2026 08:01:05 +0300 IPsec-аварийный выключатель, когда VPN отключен RouterOS в форуме RouterOS.
Я это решил: они должны создать статический маршрут с расстоянием 1, используя в качестве шлюза VPN-соединение, и с расстоянием 2 — WAN, а также только одно правило NAT, выходящее через VPN-туннель. Если туннель не работает, интернет отключается.
15.11.2020 11:21:00, ronal01.]]> http://mikrotik.moscow/forum/forum57/88492-ipsec_avariynyy-vyklyuchatel_-kogda-vpn-otklyuchen/message427430 http://mikrotik.moscow/forum/forum57/88492-ipsec_avariynyy-vyklyuchatel_-kogda-vpn-otklyuchen/message427430 Sun, 15 Nov 2020 11:21:00 +0300 RouterOS IPsec-аварийный выключатель, когда VPN отключен RouterOS в форуме RouterOS.
Привет, я тоже пытаюсь сделать килл-свитч для IPSec Ikev2. Ты смог настроить его так, как хотел?
23.10.2020 06:47:00, starleaf.]]> http://mikrotik.moscow/forum/forum57/88492-ipsec_avariynyy-vyklyuchatel_-kogda-vpn-otklyuchen/message427429 http://mikrotik.moscow/forum/forum57/88492-ipsec_avariynyy-vyklyuchatel_-kogda-vpn-otklyuchen/message427429 Fri, 23 Oct 2020 06:47:00 +0300 RouterOS IPsec-аварийный выключатель, когда VPN отключен RouterOS в форуме RouterOS.
Спасибо, icsterm, я попробую… Однако, насколько я помню, одна из проблем, с которой я столкнулся, заключалась в том, что даже используя mangling для маркировки соединений, я не смог "перехватить" и пометить соединения IPSec к NordVPN. РЕДАКТИРОВАНИЕ: Чтобы упростить задачу, я начал заново, сбросил маршрутизатор, настроил только IPSec VPN и добавил эти правила, как вы предложили, но это все равно не работает. 192.168.88.254 — это мой клиент Winbox, мне нужно разрешить подключения к нему, иначе я больше не смогу управлять устройством. /ip firewall mangle add action=mark-connection chain=forward comment="Mark IPsec" ipsec-policy=in,ipsec new-connection-mark=ipsec /ip firewall mangle add action=mark-connection chain=forward comment="Mark non IPsec" ipsec-policy=in,none new-connection-mark=nonipsec /ip firewall filter add chain=output dst-address=192.168.88.254 action=accept /ip firewall filter add chain=output src-address=192.168.88.0/24 connection-mark=no-mark action=drop comment="VPN Kill Switch" Есть ли что-то неправильно в этом?
11.01.2020 13:30:00, superuzzo.]]> http://mikrotik.moscow/forum/forum57/88492-ipsec_avariynyy-vyklyuchatel_-kogda-vpn-otklyuchen/message427428 http://mikrotik.moscow/forum/forum57/88492-ipsec_avariynyy-vyklyuchatel_-kogda-vpn-otklyuchen/message427428 Sat, 11 Jan 2020 13:30:00 +0300 RouterOS IPsec-аварийный выключатель, когда VPN отключен RouterOS в форуме RouterOS.
Я улучшил выключатель, переместив фильтр в цепочке выхода: 2 ;;; выключатель chain=output action=drop src-address=192.168.88.0/24 connection-mark=no-mark log=no log-prefix="" Поскольку я маркирую как IPsec, так и не IPsec трафик с помощью mangle в цепочке пересылки, не IPsec трафик блокируется, как только туннель падает, потому что цепочка выхода вторична по отношению к цепочке пересылки.
02.01.2020 13:14:00, icsterm.]]> http://mikrotik.moscow/forum/forum57/88492-ipsec_avariynyy-vyklyuchatel_-kogda-vpn-otklyuchen/message427427 http://mikrotik.moscow/forum/forum57/88492-ipsec_avariynyy-vyklyuchatel_-kogda-vpn-otklyuchen/message427427 Thu, 02 Jan 2020 13:14:00 +0300 RouterOS IPsec-аварийный выключатель, когда VPN отключен RouterOS в форуме RouterOS.
После поисков решения я нашёл одно, которое работает: 1 ;;; fasttrack-no-ipsec chain=forward action=fasttrack-connection connection-state=established,related connection-mark=no-mark log=no log-prefix="" 2 ;;; killswitch chain=forward action=drop connection-state=established,related src-address=192.168.88.0/24 connection-mark=!ipsec log=no log-prefix="" Главное — это только сбрасывать ‘established,related’ в сочетании с “!ipsec” connection-mark, потому что фильтр межсетевого экрана сработает до инкапсуляции ipsec. Думаю, что пакеты SYN окажутся незамеченными, когда VPN отключится, но как только они попытаются установить соединение, фильтр сработает.
01.01.2020 15:28:00, icsterm.]]> http://mikrotik.moscow/forum/forum57/88492-ipsec_avariynyy-vyklyuchatel_-kogda-vpn-otklyuchen/message427426 http://mikrotik.moscow/forum/forum57/88492-ipsec_avariynyy-vyklyuchatel_-kogda-vpn-otklyuchen/message427426 Wed, 01 Jan 2020 15:28:00 +0300 RouterOS IPsec-аварийный выключатель, когда VPN отключен RouterOS в форуме RouterOS.
Я также интересуюсь правилом, которое блокирует не-IPsec трафик, как только туннель IKEv2 разрывается. Использование исключающей маркировки соединений, как мы делаем с fasttrack, кроме IPsec, похоже, вообще не работает в правилах firewall - filter, весь трафик блокируется, лол: mangle: 4 ;;; mark-ipsec chain=forward action=mark-connection new-connection-mark=ipsec passthrough=yes log=no log-prefix="" ipsec-policy=in,ipsec filter: 2 ;;; killswitch chain=forward action=drop connection-mark=!ipsec log=no log-prefix="" Ранее я использовал L2TP/IPSec, и это было очень удобно, потому что у меня действительно была таблица маршрутизации, и если интерфейс падал, я мог использовать черную дыру в маршруте, но чистый IPsec, брат, это уровень сложности повыше. Я тоже пробовал, и это не сработало: 2 ;;; killswitch chain=forward action=drop log=no log-prefix="" ipsec-policy=out,none Надеюсь, кто-то подскажет мне решение, я буду очень признателен.
31.12.2019 20:43:00, icsterm.]]> http://mikrotik.moscow/forum/forum57/88492-ipsec_avariynyy-vyklyuchatel_-kogda-vpn-otklyuchen/message427425 http://mikrotik.moscow/forum/forum57/88492-ipsec_avariynyy-vyklyuchatel_-kogda-vpn-otklyuchen/message427425 Tue, 31 Dec 2019 20:43:00 +0300 RouterOS IPsec-аварийный выключатель, когда VPN отключен RouterOS в форуме RouterOS.
Что я сделал для своего "килл-свитча" на клиенте, так это активировал NAT только для диапазона адресов тюнера, чтобы скрыть всё, что выходит через VPN, и статическую маршрутизацию, 0.0.0.0 шлюз L2TP расстояние 1. Когда VPN падает, роутер остаётся без интернета.
19.11.2020 11:45:00, ronal01.]]> http://mikrotik.moscow/forum/forum57/88492-ipsec_avariynyy-vyklyuchatel_-kogda-vpn-otklyuchen/message427424 http://mikrotik.moscow/forum/forum57/88492-ipsec_avariynyy-vyklyuchatel_-kogda-vpn-otklyuchen/message427424 Thu, 19 Nov 2020 11:45:00 +0300 RouterOS IPsec-аварийный выключатель, когда VPN отключен RouterOS в форуме RouterOS.
Привет, ребята! Я новичок в MikroTik и RouterOS, и мне это нравится. У меня есть маршрутизатор hap lite (RB941-2ND-TC), подключенный к моему домашнему DSL модему (FritzBox 3272) на порту ether1 (wan). Я настроил wlan1, ether2 и ether3 на новом "bridge-p2p" с собственными адресами, DHCP, публичным DNS и так далее... Ether4 оставил на стандартном мосту. Я также настроил IPSEC, как описано здесь https://wiki.mikrotik.com/wiki/IKEv2_EAP_between_NordVPN_and_RouterOS. Моя цель - в основном использовать устройство для Netflix/p2p/серфинга через NordVPN, кроме порта ether4, который должен работать всегда, даже если VPN недоступен. Всё работает, но я бы хотел избежать подключения "bridge-p2p" к интернету, когда VPN не работает, в то время как "bridge" должен продолжать серфинг без ограничений. Поскольку весь исходящий трафик проходит через ether1, у меня возникают некоторые трудности с правильной настройкой фильтров. Не уверен, что это также может быть связано с маршрутами. Можете помочь, пожалуйста? Спасибо!
15.12.2019 17:03:00, superuzzo.]]> http://mikrotik.moscow/forum/forum57/88492-ipsec_avariynyy-vyklyuchatel_-kogda-vpn-otklyuchen/message427423 http://mikrotik.moscow/forum/forum57/88492-ipsec_avariynyy-vyklyuchatel_-kogda-vpn-otklyuchen/message427423 Sun, 15 Dec 2019 17:03:00 +0300 RouterOS