доступ к vpn

[stanislav.nikolaevich]

Привет всем. Подскажите как разрешить по vpn ping микротика.Вот правила

Код: Выделить всё

add action=drop chain=input comment=invalid connection-state=invalid
add action=accept chain=input
    connection-state=established,related
add action=accept chain=input dst-port=8291 in-interface=pppoe-out1 protocol=\
    tcp src-port=""
add action=accept chain=input  protocol=icmp
add action=accept chain=input  dst-port=\
    500,4500,1701 protocol=udp
add action=accept chain=input protocol=ipsec-esp
add action=drop chain=input  in-interface=!bridge1
add action=drop chain=forward connection-state=invalid
add action=accept chain=forward  connection-state=\
    established,related
add action=accept chain=forward disabled=yes in-interface=bridge1 \
    out-interface=pppoe-out1
add action=drop chain=forward in-interface=pppoe-out1 out-interface=bridge1
/ip firewall nat
add action=masquerade chain=srcnat out-interface=pppoe-out1

[xvo]

У вас и так разрешено.

[stanislav.nikolaevich]

У вас и так разрешено.

Можете объяснить как это работает?
Я думал что пинговать можно будет по внутреннему ip из удаленного компьютера
например внутренняя сеть 192.168.3.2 микротик

[xvo]

Код: Выделить всё

add action=accept chain=input  protocol=icmp

Вот эта строчка.
Разрешает icmp (ping) без всяких других условий.
И расположена выше запрещающих правил.

[stanislav.nikolaevich]

Код: Выделить всё

add action=accept chain=input  protocol=icmp

Вот эта строчка.
Разрешает icmp (ping) без всяких других условий.
И расположена выше запрещающих правил.

а как разрешить именно от vpn сети что бы был разрешен пинг?Пинг для всех я думал убрать

[xvo]

Указать в этом правиле in-interface (или in-interface-list).
Но вообще особого смысла запрещать пинг - нет.

[stanislav.nikolaevich]

Указать в этом правиле in-interface (или in-interface-list).
Но вообще особого смысла запрещать пинг - нет.

Ну я хотел посмотреть именно реализацию. Вот например add action=accept chain=input dst-port=8291 in-interface=pppoe-out1 protocol=\
tcp src-port=""
Получается доступ для любого,а как сделать только для vpn.

[xvo]

Ну я хотел посмотреть именно реализацию. Вот например add action=accept chain=input dst-port=8291 in-interface=pppoe-out1 protocol=\
tcp src-port=""
Получается доступ для любого,а как сделать только для vpn.

В таком виде как раз будет просто из интернета, но не из vpn.
Если указать нужный vpn-интерфейс - будет только из vpn.

[stanislav.nikolaevich]

Ну я хотел посмотреть именно реализацию. Вот например add action=accept chain=input dst-port=8291 in-interface=pppoe-out1 protocol=\
tcp src-port=""
Получается доступ для любого,а как сделать только для vpn.

В таком виде как раз будет просто из интернета, но не из vpn.
Если указать нужный vpn-интерфейс - будет только из vpn.

Ну вот я менял уже да,думал что интерфейс подставить vpn



при подключение правило становится нормальным цветом,ноооо я пробовал зайти и по имени no-ip (нет статики) и пробовал по внутреннему ip микротику 192.168.3.2 Не пробовал только из пула адресов vpn.Так и по какому адресу искать

[xvo]

Ну вот я менял уже да,думал что интерфейс подставить vpn



при подключение правило становится нормальным цветом,ноооо я пробовал зайти и по имени no-ip (нет статики) и пробовал по внутреннему ip микротику 192.168.3.2 Не пробовал только из пула адресов vpn.Так и по какому адресу искать

1) Надо либо сделать этот впн-интерфейс статическим (создать интерфейс типа l2tp-server-binding), либо прописать в ppp-профиле interface-list, куда добавлять будет добавляться динамический интерфейс, и в вправиле уже использовать этот interface-list.

2) Если подключающаяся машина использует vpn, как маршрут по-умолчанию (шлет весь трафик в туннель), то подключаться можно на любой ip микротика, хоть туннельный, хоть внутренний, хоть какой другой - он разберется. Если же в туннель отправляется только трафик до туннельной подсети, то логично, что подключиться можно будет только на туннельный адрес микротика, либо же руками добавлять маршруты на клиентской машине.