http://mikrotik.moscow Новое в теме IPsec VPN — потерял доступ к роутеру из локальной сети форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Sun, 02 Aug 2026 15:10:09 -0400 IPsec VPN — потерял доступ к роутеру из локальной сети RouterOS в форуме RouterOS.
Спасибо
20.10.2022 16:58:00, StefanVP.]]> http://mikrotik.moscow/forum/forum57/88576-ipsec-vpn-_-poteryal-dostup-k-routeru-iz-lokalnoy-seti/message428301 http://mikrotik.moscow/forum/forum57/88576-ipsec-vpn-_-poteryal-dostup-k-routeru-iz-lokalnoy-seti/message428301 Thu, 20 Oct 2022 16:58:00 -0400 RouterOS IPsec VPN — потерял доступ к роутеру из локальной сети RouterOS в форуме RouterOS.
Я просто хотел быстро отметить кое-что… В этой строке: /ip ipsec policy add dst-address=172.28.0.0/16 peer=VPN_PMR_Nettet proposal=“IKEv1 Proposal” src-address=172.28.10.0/24 tunnel=yes Ты указываешь ДВЕ подсети: 172.28.0.0/16  и 172.28.10.0/24 Первая подсеть — это IP-адреса от 172.28.0.1 до 172.28.15.255 Вторая подсеть полностью входит в первую, поэтому туннель между ними не создашь. Твое решение — сделать первую подсеть /24 — решает эту проблему.
20.10.2022 16:41:00, pietvwakpm.]]> http://mikrotik.moscow/forum/forum57/88576-ipsec-vpn-_-poteryal-dostup-k-routeru-iz-lokalnoy-seti/message428300 http://mikrotik.moscow/forum/forum57/88576-ipsec-vpn-_-poteryal-dostup-k-routeru-iz-lokalnoy-seti/message428300 Thu, 20 Oct 2022 16:41:00 -0400 RouterOS IPsec VPN — потерял доступ к роутеру из локальной сети RouterOS в форуме RouterOS.
Спасибо за разъяснение, тогда оставлю как есть.
16.10.2022 19:15:00, StefanVP.]]> http://mikrotik.moscow/forum/forum57/88576-ipsec-vpn-_-poteryal-dostup-k-routeru-iz-lokalnoy-seti/message428299 http://mikrotik.moscow/forum/forum57/88576-ipsec-vpn-_-poteryal-dostup-k-routeru-iz-lokalnoy-seti/message428299 Sun, 16 Oct 2022 19:15:00 -0400 RouterOS IPsec VPN — потерял доступ к роутеру из локальной сети RouterOS в форуме RouterOS.
Mikrotik реализует только базовый IPsec с политиками и селекторами трафика, поэтому для каждого dst-адреса (192.168.50.0/24 и 172.28.0.0/16) должна быть отдельная политика. Будет ли согласован один или два пары SA, зависит от параметра level в политике — если он установлен в require, то одного набора SA может быть достаточно, если это поддерживает пира (в вашем случае Fortigate). По пропускной способности разницы нет — используете ли вы отдельную пару SA для каждой политики или две политики разделяют одну пару. Mikrotik не поддерживает IPsec VTI, поэтому если хотите использовать «обычную» маршрутизацию вместо селекторов трафика, единственный вариант — это GRE-over-IPSec, IPencap-over-IPSec или L2TP-over-IPSec, если Fortigate это поддерживает.
16.10.2022 18:40:00, sindy.]]> http://mikrotik.moscow/forum/forum57/88576-ipsec-vpn-_-poteryal-dostup-k-routeru-iz-lokalnoy-seti/message428298 http://mikrotik.moscow/forum/forum57/88576-ipsec-vpn-_-poteryal-dostup-k-routeru-iz-lokalnoy-seti/message428298 Sun, 16 Oct 2022 18:40:00 -0400 RouterOS IPsec VPN — потерял доступ к роутеру из локальной сети RouterOS в форуме RouterOS.
Большое спасибо! Теперь всё работает в сети 172.28.0.0/16, как я и хотел. Теперь у меня два туннеля вместо одного для каждого спока. Но, скорее всего, мне понадобится только один туннель, если я смогу направлять все запросы в обоих направлениях для 192.168.50.0/24 через туннель 172.28.0.0/16. Было бы здорово, если бы вы помогли мне и с этой проблемой. Наверное, это базовое, но я пока не очень хорошо разбираюсь в вариантах маршрутизации на Mikrotik.
16.10.2022 13:38:00, StefanVP.]]> http://mikrotik.moscow/forum/forum57/88576-ipsec-vpn-_-poteryal-dostup-k-routeru-iz-lokalnoy-seti/message428297 http://mikrotik.moscow/forum/forum57/88576-ipsec-vpn-_-poteryal-dostup-k-routeru-iz-lokalnoy-seti/message428297 Sun, 16 Oct 2022 13:38:00 -0400 RouterOS IPsec VPN — потерял доступ к роутеру из локальной сети RouterOS в форуме RouterOS.
Кто-нибудь?
15.10.2022 19:49:00, StefanVP.]]> http://mikrotik.moscow/forum/forum57/88576-ipsec-vpn-_-poteryal-dostup-k-routeru-iz-lokalnoy-seti/message428296 http://mikrotik.moscow/forum/forum57/88576-ipsec-vpn-_-poteryal-dostup-k-routeru-iz-lokalnoy-seti/message428296 Sat, 15 Oct 2022 19:49:00 -0400 RouterOS IPsec VPN — потерял доступ к роутеру из локальной сети RouterOS в форуме RouterOS.
Думаю, вам нужен такой вариант: /ip ipsec policy
add action=none src-address=172.28.x.0/24 dst-address=172.28.x.0/24 И порядок политик имеет значение.
15.10.2022 22:47:00, Sob.]]> http://mikrotik.moscow/forum/forum57/88576-ipsec-vpn-_-poteryal-dostup-k-routeru-iz-lokalnoy-seti/message428295 http://mikrotik.moscow/forum/forum57/88576-ipsec-vpn-_-poteryal-dostup-k-routeru-iz-lokalnoy-seti/message428295 Sat, 15 Oct 2022 22:47:00 -0400 RouterOS IPsec VPN — потерял доступ к роутеру из локальной сети RouterOS в форуме RouterOS.
Здравствуйте, я настраиваю VPN с Fortigate в роли хаба (с динамическим DNS) и несколькими Mikrotik mAP в роли споков (DialUp). Споки сконфигурированы с подсетями 172.28.10.0/24, 172.28.11.0/24 и так далее. LAN на Fortigate — 192.168.50.0/24, mAP имеют адреса 172.28.x.1. VPN-туннели подняты и работают, пинги с 172.28.10.0/24 до 172.28.11.0/24 и 192.168.50.0/24 проходят и наоборот.

НО я не могу добраться до mAP из локальной LAN (если только не использую Winbox и MAC-адрес mAP). 172.28.10.50 не пингует 172.28.10.1, 172.28.11.50 — 172.28.11.1, и так далее.

Чтобы сделать решение гибким и легко расширяемым без необходимости менять конфигурацию на всех mAP при добавлении нового сайта, у меня такая конфигурация (пример для 172.28.10.1):

/ip ipsec policy add dst-address=172.28.0.0/16 peer=VPN_PMR_Nettet proposal=“IKEv1 Proposal” src-address=172.28.10.0/24 tunnel=yes  
/ip ipsec policy add dst-address=192.168.50.0/24 peer=VPN_PMR_Nettet proposal=“IKEv1 Proposal” src-address=172.28.10.0/24 tunnel=yes

Если же я меняю на:

/ip ipsec policy add dst-address=172.28.11.0/24 peer=VPN_PMR_Nettet proposal=“IKEv1 Proposal” src-address=172.28.10.0/24 tunnel=yes  
/ip ipsec policy add dst-address=192.168.50.0/24 peer=VPN_PMR_Nettet proposal=“IKEv1 Proposal” src-address=172.28.10.0/24 tunnel=yes

то всё работает между 172.28.10.0/24, 172.28.11.0/24 и 192.168.50.0/24, и я могу достучаться до mAP из LAN.

Так что, думаю, нужно добавить какую-то маршрутизацию или исключение, чтобы заработало с dst-address=172.28.0.0/16.

Кстати, возможно ли отказаться от политики для 192.168.50.0 и решить это через маршрутизацию?

Буду очень благодарен за любую помощь.  
/Stefan
01.10.2022 18:19:00, StefanVP.]]> http://mikrotik.moscow/forum/forum57/88576-ipsec-vpn-_-poteryal-dostup-k-routeru-iz-lokalnoy-seti/message428294 http://mikrotik.moscow/forum/forum57/88576-ipsec-vpn-_-poteryal-dostup-k-routeru-iz-lokalnoy-seti/message428294 Sat, 01 Oct 2022 18:19:00 -0400 RouterOS