Нет доступа к локальным адресам за VPN SSTP

[Andrey_BDK]

Здравствуйте! Прошу помощи решить банальную проблему. Есть 2 микротика, WANами получают адреса 88.88.88.200 и 88.88.88.210. Тот что 88.200 - vpn SSTP сервер. соответственно 210 клиент.
VPN соединение прекрасно поднимается. На сервере IP 10.0.0.1, на клиенте 10.0.0.2
Локалка на сервере 192.168.50.1
на клиенте 192.168.51.1
Маршрут на сервере 192.168.51.0/24 gw 10.0.0.2 src 192.168.50.1
...на клиенте 192.168.50.0/24 gw 10.0.0.1 src 192.168.51.1
собственно проблема в том, что с адресов 50.0 пингуется только 51.1 и наоборот с 51.0 только 50.1
У меня есть ip камера со статическим адресом 192.168.51.100 и ее не видно с сервера. Не могу понять, что сделано не так.

 Сервер:

#
# model = RB750Gr3
# serial number = 8AFF0xxxxxx
/interface bridge
add admin-mac=B8:69:xx:xx:xx:xx auto-mac=no comment=defconf name=bridge
/interface sstp-server
add name=device1 user=client_dev1
/interface list
add comment=defconf name=WAN
add comment=defconf name=LAN
/interface wireless security-profiles
set [ find default=yes ] supplicant-identity=MikroTik
/ip hotspot profile
set [ find default=yes ] html-directory=flash/hotspot
/ip pool
add name=dhcp ranges=192.168.50.10-192.168.50.254
/ip dhcp-server
add address-pool=dhcp disabled=no interface=bridge name=defconf
/interface bridge port
add bridge=bridge comment=defconf interface=ether2
add bridge=bridge comment=defconf interface=ether3
add bridge=bridge comment=defconf interface=ether4
add bridge=bridge comment=defconf interface=ether5
/ip neighbor discovery-settings
set discover-interface-list=LAN
/interface list member
add comment=defconf interface=bridge list=LAN
add comment=defconf interface=ether1 list=WAN
/interface sstp-server server
set authentication=mschap2 enabled=yes
/ip address
add address=192.168.50.1/24 comment=defconf interface=ether2 network=\
192.168.50.0
/ip dhcp-client
add comment=defconf dhcp-options=hostname,clientid disabled=no interface=ether1
/ip dhcp-server network
add address=192.168.50.0/24 comment=defconf gateway=192.168.50.1 netmask=24
/ip dns
set allow-remote-requests=yes
/ip dns static
add address=192.168.50.1 comment=defconf name=router.lan
/ip firewall filter
add action=accept chain=forward disabled=yes
add action=accept chain=input disabled=yes dst-port=443,80,8291 log=yes \
protocol=tcp
add action=accept chain=input comment=\
"defconf: accept established,related,untracked" connection-state=\
established,related,untracked disabled=yes
add action=drop chain=input comment="defconf: drop invalid" connection-state=\
invalid disabled=yes
add action=accept chain=input comment="defconf: accept ICMP" disabled=yes \
protocol=icmp
add action=accept chain=input comment=\
"defconf: accept to local loopback (for CAPsMAN)" disabled=yes dst-address=\
127.0.0.1
add action=drop chain=input comment="defconf: drop all not coming from LAN" \
disabled=yes in-interface-list=!LAN
add action=accept chain=forward comment="defconf: accept in ipsec policy" \
disabled=yes ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" \
disabled=yes ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \
connection-state=established,related disabled=yes
add action=accept chain=forward comment=\
"defconf: accept established,related, untracked" connection-state=\
established,related,untracked disabled=yes
add action=drop chain=forward comment="defconf: drop invalid" connection-state=\
invalid disabled=yes
add action=drop chain=forward comment="defconf: drop all from WAN not DSTNATed" \
connection-nat-state=!dstnat connection-state=new disabled=yes \
in-interface-list=WAN
/ip firewall nat
add action=masquerade chain=srcnat comment="defconf: masquerade" ipsec-policy=\
out,none out-interface-list=WAN
/ip route
add comment="route to device 1" distance=1 dst-address=192.168.51.0/24 gateway=\
10.0.0.2
/ppp secret
add local-address=10.0.0.1 name=client_dev1 remote-address=10.0.0.2 service=\
sstp
/system identity
set name=server
/tool mac-server
set allowed-interface-list=LAN
/tool
[admin
@serve
[admin@server] >

 Клиент:

# model = RB750Gr3
# serial number = 8AFF0xxxxxxx
/interface bridge
add admin-mac=B8:69:xx:xx:xx:xx auto-mac=no comment=defconf name=bridge
/interface list
add comment=defconf name=WAN
add comment=defconf name=LAN
/interface wireless security-profiles
set [ find default=yes ] supplicant-identity=MikroTik
/ip hotspot profile
set [ find default=yes ] html-directory=flash/hotspot
/ip pool
add name=dhcp ranges=192.168.51.10-192.168.51.254
/ip dhcp-server
add address-pool=dhcp disabled=no interface=bridge name=defconf
/interface sstp-client
add authentication=mschap2 connect-to=88.88.88.200 disabled=no name=sstp-out1 profile=default-encryption user=client_dev1
/interface bridge port
add bridge=bridge comment=defconf interface=ether2
add bridge=bridge comment=defconf interface=ether3
add bridge=bridge comment=defconf interface=ether4
add bridge=bridge comment=defconf interface=ether5
/ip neighbor discovery-settings
set discover-interface-list=LAN
/interface list member
add comment=defconf interface=bridge list=LAN
add comment=defconf interface=ether1 list=WAN
/ip address
add address=192.168.51.1/24 comment=defconf interface=ether2 network=192.168.51.0
/ip dhcp-client
add comment=defconf dhcp-options=hostname,clientid disabled=no interface=ether1
/ip dhcp-server network
add address=192.168.51.0/24 comment=defconf gateway=192.168.51.1 netmask=24
/ip dns
set allow-remote-requests=yes
/ip dns static
add address=192.168.51.1 comment=defconf name=router.lan
/ip firewall filter
add action=passthrough chain=forward
add action=accept chain=forward disabled=yes log=yes out-interface=bridge src-address=192.168.50.1
add action=accept chain=input disabled=yes dst-port=80,8291,443 protocol=tcp
add action=accept chain=input comment="defconf: accept established,related,untracked" connection-state=established,related,untracked disabled=yes
add action=drop chain=input comment="defconf: drop invalid" connection-state=invalid disabled=yes
add action=accept chain=input comment="defconf: accept ICMP" disabled=yes protocol=icmp
add action=accept chain=input comment="defconf: accept to local loopback (for CAPsMAN)" disabled=yes dst-address=127.0.0.1
add action=drop chain=input comment="defconf: drop all not coming from LAN" disabled=yes in-interface-list=!LAN
add action=accept chain=forward comment="defconf: accept in ipsec policy" disabled=yes ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" disabled=yes ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" connection-state=established,related disabled=yes
add action=accept chain=forward comment="defconf: accept established,related, untracked" connection-state=established,related,untracked disabled=yes
add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid disabled=yes
add action=drop chain=forward comment="defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat connection-state=new disabled=yes in-interface-list=WAN
/ip firewall nat
add action=masquerade chain=srcnat comment="defconf: masquerade" ipsec-policy=out,none out-interface-list=WAN
/ip route
add comment="route to server" disabled=no distance=1 dst-address=192.168.50.0/24 gateway=10.0.0.1
/system identity
set name=client_dev1
/tool mac-server
set allowed-interface-list=LAN
/tool mac-server mac-winbox
set allowed-interface-list=LAN
[admin@client_dev1] >

[xvo]

Firewall проверяли?
NAT чтобы на туннель не работал?

[Andrey_BDK]

Firewall проверяли?
NAT чтобы на туннель не работал?

Не знаю, что там посмотреть или создать правило какое. Запутался совсем. Отключал его. Ничего не меняется. Последнее что я видел с traceroute это 10.0.0.2 а дальше непонятно куда пакет уходит

[xvo]

Firewall проверяли?
NAT чтобы на туннель не работал?

Не знаю, что там посмотреть или создать правило какое. Запутался совсем. Отключал его. Ничего не меняется. Последнее что я видел с traceroute это 10.0.0.2 а дальше непонятно куда пакет уходит

В firewall'е в цепочке forward можете последнее правило отключить на обоих маршрутизаторах на время теста.
NAT - опять же на обоих - проверьте чтобы стандартный маскарад (или src-nat) работал только на WAN-порт, но не на трафик, который уходит в туннель.

[Ca6ko]

Последнее что я видел с traceroute это 10.0.0.2 а дальше непонятно куда пакет уходит

Как непонятно, вероятнее всего в WAN 10.0.0.2

п.5, п.6 красных правил вверху страницы

[Andrey_BDK]

Последнее что я видел с traceroute это 10.0.0.2 а дальше непонятно куда пакет уходит

Как непонятно, вероятнее всего в WAN 10.0.0.2

п.5, п.6 красных правил вверху страницы

п5.6. пока не могу, только завтра

[Andrey_BDK]

В firewall'е в цепочке forward можете последнее правило отключить на обоих маршрутизаторах на время теста.
NAT - опять же на обоих - проверьте чтобы стандартный маскарад (или src-nat) работал только на WAN-порт, но не на трафик, который уходит в туннель.

так и есть, не помогает

[xvo]

Ну тогда ждем-с конфиг :)

[Andrey_BDK]

Ну тогда ждем-с конфиг :)

В первом сообщении выложил

[Ca6ko]

Ошибки выделил красным
1. Если порт в бридже то адрес вешаем на бридж
2. DHCP должен выдавать и адрес DNS сервера
3. Если используете SSTP, которое работает по 443 TCP, ну так откройте порт.

Сервер
/ip address
add address=192.168.50.1/24 comment=defconf interface=ether2 network=\
192.168.50.0
/ip dhcp-server network
add address=192.168.50.0/24 comment=defconf gateway=192.168.50.1 netmask=24 DNS ???

/ip firewall filter

add action=accept chain=input disabled=yes dst-port=443,80,8291 log=yes \
protocol=tcp


Клиент

/ip address
add address=192.168.51.1/24 comment=defconf interface=ether2 network=192.168.51.0

/ip dhcp-server network
add address=192.168.51.0/24 comment=defconf gateway=192.168.51.1 netmask=24 DNS ???

/ip firewall filter

add action=accept chain=input disabled=yes dst-port=80,8291,443 protocol=tcp