http://mikrotik.moscow Новое в теме Mikrotik VPN с настройкой IKEv1 форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Mon, 03 Aug 2026 00:37:59 -0400 Mikrotik VPN с настройкой IKEv1 RouterOS в форуме RouterOS.
Привет, мне нужно было настроить такой же тип VPN, и мне также нужно NAT-ировать локальные IP на класс 10.x.x.x, потому что наши локальные IP адреса уже используются. Мне нужно NAT-ировать только 5 IP-адресов, а не всю подсеть (чтобы предоставить доступ только соответствующим ПК). У нас уже работает туннель, но другая сторона не может пинговать ни один из NAT-ированных IP. Я создал 10 разных NAT-правил для каждого локального IP, объявив правило srcnat и dstnat. У меня вопрос: что мне добавить в поле “dst-address-list=remote-vpn-subnets”? Могу я поставить что-то вроде dst-address-list=192.a.a.a/29? (где 192.a.a.a/29 — это список IP, которые будут обращаться к NAT-ированным) Я также создал правило NAT в цепочке srcnat с действием “accept” для src-address = 10.x.x.x с dst-address=192.a.a.a/29. Когда я создавал политики IPSec, я использовал NAT-ированные адреса как src-addresses, а dst-addresses (10.x.x.x) — удалённую подсеть (92.a.a.a/29). Это нормально? Позже добавлю: также на маршрутизаторе определено соединение L2TP VPN, и когда я подключен удалённо к этому L2TP, я могу пинговать NAT-ированные IP 10.x.x.x — может это как-то повлиять? Спасибо!
25.05.2022 13:26:00, emanuelp.]]> http://mikrotik.moscow/forum/forum57/88780-mikrotik-vpn-s-nastroykoy-ikev1/message430276 http://mikrotik.moscow/forum/forum57/88780-mikrotik-vpn-s-nastroykoy-ikev1/message430276 Wed, 25 May 2022 13:26:00 -0400 RouterOS Mikrotik VPN с настройкой IKEv1 RouterOS в форуме RouterOS.
Хорошо. Это не те задачи, которые я обычно выполняю, так что хотел уточнить, правильно ли я понял. Огромное спасибо еще раз!
15.07.2020 00:01:00, mariuskf.]]> http://mikrotik.moscow/forum/forum57/88780-mikrotik-vpn-s-nastroykoy-ikev1/message430275 http://mikrotik.moscow/forum/forum57/88780-mikrotik-vpn-s-nastroykoy-ikev1/message430275 Wed, 15 Jul 2020 00:01:00 -0400 RouterOS Mikrotik VPN с настройкой IKEv1 RouterOS в форуме RouterOS.
Да, но в данном сценарии (хост с вашей стороны является инициатором/клиентом, а хост на удаленной стороне является респондентом/сервером) правило action=netmap в цепочке srcnat на вашей стороне гарантирует, что респондент/отправитель увидит запрос как исходящий от 10.10.10.5. Поэтому удаленный хост ничего не знает о 172.16.1.5 с вашей стороны, он видит только 10.10.10.5. Не знаю, в курсе ли вы, как работает NAT, но цепочки src-nat и dst-nat таблицы NAT рассматриваются только для первого пакета каждого соединения, и если правило в соответствующей таблице совпадает и задает действие NAT, то необходимая обработка (src-nat, dst-nat или оба) фиксируется в контексте, связанном с этим отслеживаемым соединением, так что все последующие пакеты, относящиеся к этому соединению, обрабатываются аналогичным (или зеркальным, в зависимости от их направления) образом. Таким образом, ответы на src-nated запросы автоматически становятся "un-src-nated".
14.07.2020 22:16:00, sindy.]]> http://mikrotik.moscow/forum/forum57/88780-mikrotik-vpn-s-nastroykoy-ikev1/message430274 http://mikrotik.moscow/forum/forum57/88780-mikrotik-vpn-s-nastroykoy-ikev1/message430274 Tue, 14 Jul 2020 22:16:00 -0400 RouterOS Mikrotik VPN с настройкой IKEv1 RouterOS в форуме RouterOS.
К счастью, с моей стороны нет необходимости общаться с 172.16.1.0/24 и 172.16.2.0/24. В любом случае, спасибо за предупреждение и объяснение! Возвращаясь к работе с представленным случаем, с netmap как в srcnat, так и в dstnat, просто уточню, правильно ли я понимаю, как это будет работать. Хост с моей стороны, например, 172.16.1.5, может общаться с удалённым хостом, указывая на его IP, например, 192.168.1.22. Теперь, чтобы удалённый хост ответил, он должен сделать это на netmapped IP, например, 10.10.10.5, верно?
14.07.2020 22:07:00, mariuskf.]]> http://mikrotik.moscow/forum/forum57/88780-mikrotik-vpn-s-nastroykoy-ikev1/message430273 http://mikrotik.moscow/forum/forum57/88780-mikrotik-vpn-s-nastroykoy-ikev1/message430273 Tue, 14 Jul 2020 22:07:00 -0400 RouterOS Mikrotik VPN с настройкой IKEv1 RouterOS в форуме RouterOS.
Что я не написал изначально, так это то, что настройки netmap выше позволяют удаленной стороне взаимодействовать только с вашими 172.16.1.0/24 и 172.16.2.0/24. Но если вашей стороне нужно общаться с 172.16.1.0/24 и 172.16.2.0/24 на их стороне, нужно использовать другой набор правил netmap, помимо тех, что уже показаны, чтобы назначить некоторые псевдонимы удаленным 172.16.1.0/24 и 172.16.2.0/24, которые не конфликтуют ни с чем на вашей стороне. Это можно сделать на вашей стороне, но это намного сложнее, чем если сделать это на удаленной, потому что dst-nat выполняется только тогда, когда пакет поступает в маршрутизатор, а src-nat только когда пакет покидает маршрутизатор. Вам нужно будет использовать политику маршрутизации (которая не имеет ничего общего с политиками IPsec), чтобы предотвратить маршрутизацию пакетов с вашей локальной сети обратно в локальную сеть после того, как они будут подвергнуты dst-nat к 172.16.[12].0/24 сразу при входе в маршрутизатор, и политики IPsec должны быть ограничены конкретными удаленными направлениями, иначе ваш локальный трафик может быть украден из-за этих политик.
13.07.2020 07:59:00, sindy.]]> http://mikrotik.moscow/forum/forum57/88780-mikrotik-vpn-s-nastroykoy-ikev1/message430272 http://mikrotik.moscow/forum/forum57/88780-mikrotik-vpn-s-nastroykoy-ikev1/message430272 Mon, 13 Jul 2020 07:59:00 -0400 RouterOS Mikrotik VPN с настройкой IKEv1 RouterOS в форуме RouterOS.
Я хорошо понимаю. Мне нужна полная прозрачность между подсетями с каждой стороны туннеля, поэтому перечисленные команды именно то, что мне нужно. Мне также придется попросить другую сторону предоставить еще одну подсеть, чтобы составить сетевую карту с каждой из них. Ваша помощь бесценна, большое спасибо.
12.07.2020 22:42:00, mariuskf.]]> http://mikrotik.moscow/forum/forum57/88780-mikrotik-vpn-s-nastroykoy-ikev1/message430271 http://mikrotik.moscow/forum/forum57/88780-mikrotik-vpn-s-nastroykoy-ikev1/message430271 Sun, 12 Jul 2020 22:42:00 -0400 RouterOS Mikrotik VPN с настройкой IKEv1 RouterOS в форуме RouterOS.
Во-первых, нельзя сделать 1:1 NAT между двумя /24 с одной стороны и одним /24 с другой стороны. Поэтому вам потребуется еще одна подсеть-алиас, например 10.10.10.0/24. Во-вторых, в netmap нет никакой магии, просто помните, что его нужно использовать в обеих цепочках: chain=srcnat и chain=dstnat, чтобы достичь полной прозрачности между подсетями, т.е. клиенты на одном конце VPN-туннеля могли инициализировать соединения с серверами на другом конце и наоборот. Если нет необходимости в полной прозрачности и все клиенты находятся на вашей стороне, то в netmap нет смысла, и вы можете использовать обычный src-nat, скрывая обе подсети за одним адресом. В-третьих, действие правила происходит только в том случае, если пакет соответствует всем условиям соответствия, так что вы можете использовать netmap для каждой подсети выборочно, только если удаленный конец соединения находится в какой-то подсети, доступной через VPN: /ip firewall nat add chain=srcnat src-address=172.16.1.0/24 dst-address-list=remote-vpn-subnets action=netmap to-addresses=10.10.10.0/24 add chain=srcnat src-address=172.16.2.0/24 dst-address-list=remote-vpn-subnets action=netmap to-addresses=10.10.33.0/24 add chain=dstnat dst-address=10.10.10.0/24 src-address-list=remote-vpn-subnets action=netmap to-addresses=172.16.1.0/24 add chain=dstnat dst-address=10.10.33.0/24 src-address-list=remote-vpn-subnets action=netmap to-addresses=172.16.2.0/24 Я намеренно ссылаюсь на src-address-list/dst-address-list, а не на in-interface/out-interface, потому что мы говорим здесь о чистом IPsec. Правила выше должны быть на правильных позициях в своих соответствующих цепочках, чтобы их не затеняли более общие правила.
11.07.2020 08:55:00, sindy.]]> http://mikrotik.moscow/forum/forum57/88780-mikrotik-vpn-s-nastroykoy-ikev1/message430270 http://mikrotik.moscow/forum/forum57/88780-mikrotik-vpn-s-nastroykoy-ikev1/message430270 Sat, 11 Jul 2020 08:55:00 -0400 RouterOS Mikrotik VPN с настройкой IKEv1 RouterOS в форуме RouterOS.
Спасибо, @sindy, я многое понял благодаря твоему отличному объяснению. Извини, что использую Google Translator. Что касается возможности перекрытия, которую ты описываешь, у меня есть случай, где у меня есть две подсети 172.16.1.0/24 и 172.16.2.0/24, которые перекрываются с другими, используемыми для другой цели с другой стороны VPN-канала. Поэтому меня просят сделать NAT на 10.10.10.0/24 до VPN. Проведя некоторые исследования, я думал сделать NAT с действием = “netmap”, но могу ли я сделать NAT только для одной из моих подсетей? Или могу сделать его для обеих подсетей, и Mikrotik будет отвечать за различение трафика? Если это невозможно, могу ли я сделать что-то с действием = “same”? Какие команды в таком случае будут? Большое спасибо всем, кто сможет дать советы.
10.07.2020 00:06:00, mariuskf.]]> http://mikrotik.moscow/forum/forum57/88780-mikrotik-vpn-s-nastroykoy-ikev1/message430269 http://mikrotik.moscow/forum/forum57/88780-mikrotik-vpn-s-nastroykoy-ikev1/message430269 Fri, 10 Jul 2020 00:06:00 -0400 RouterOS Mikrotik VPN с настройкой IKEv1 RouterOS в форуме RouterOS.
Я новичок в Mikrotik и у меня возникли проблемы с настройкой VPN на Mikrotik для неизвестного производителя оборудования. Они отправили мне конфигурации, но я не могу понять, где в Winbox их использовать и как настроить. Я просмотрел учебник, но пока он не очень помогает. Есть ли какие-нибудь быстрые и простые руководства по настройке?
11.04.2020 19:51:00, ski1123.]]> http://mikrotik.moscow/forum/forum57/88780-mikrotik-vpn-s-nastroykoy-ikev1/message430268 http://mikrotik.moscow/forum/forum57/88780-mikrotik-vpn-s-nastroykoy-ikev1/message430268 Sat, 11 Apr 2020 19:51:00 -0400 RouterOS