Страница 1 из 4
доступ к vpn
Добавлено: 14 янв 2021, 19:28
stanislav.nikolaevich
Привет всем. Подскажите как разрешить по vpn ping микротика.Вот правила
Код: Выделить всё
add action=drop chain=input comment=invalid connection-state=invalid
add action=accept chain=input
connection-state=established,related
add action=accept chain=input dst-port=8291 in-interface=pppoe-out1 protocol=\
tcp src-port=""
add action=accept chain=input protocol=icmp
add action=accept chain=input dst-port=\
500,4500,1701 protocol=udp
add action=accept chain=input protocol=ipsec-esp
add action=drop chain=input in-interface=!bridge1
add action=drop chain=forward connection-state=invalid
add action=accept chain=forward connection-state=\
established,related
add action=accept chain=forward disabled=yes in-interface=bridge1 \
out-interface=pppoe-out1
add action=drop chain=forward in-interface=pppoe-out1 out-interface=bridge1
/ip firewall nat
add action=masquerade chain=srcnat out-interface=pppoe-out1
Re: доступ к vpn
Добавлено: 14 янв 2021, 19:38
xvo
У вас и так разрешено.
Re: доступ к vpn
Добавлено: 14 янв 2021, 21:01
stanislav.nikolaevich
xvo писал(а): ↑14 янв 2021, 19:38
У вас и так разрешено.
Можете объяснить как это работает?
Я думал что пинговать можно будет по внутреннему ip из удаленного компьютера
например внутренняя сеть 192.168.3.2 микротик
Re: доступ к vpn
Добавлено: 14 янв 2021, 21:14
xvo
Код: Выделить всё
add action=accept chain=input protocol=icmp
Вот эта строчка.
Разрешает icmp (ping) без всяких других условий.
И расположена выше запрещающих правил.
Re: доступ к vpn
Добавлено: 14 янв 2021, 21:32
stanislav.nikolaevich
xvo писал(а): ↑14 янв 2021, 21:14
Код: Выделить всё
add action=accept chain=input protocol=icmp
Вот эта строчка.
Разрешает icmp (ping) без всяких других условий.
И расположена выше запрещающих правил.
а как разрешить
именно от vpn сети что бы был разрешен пинг?Пинг для всех я думал убрать
Re: доступ к vpn
Добавлено: 14 янв 2021, 23:05
xvo
Указать в этом правиле in-interface (или in-interface-list).
Но вообще особого смысла запрещать пинг - нет.
Re: доступ к vpn
Добавлено: 15 янв 2021, 08:49
stanislav.nikolaevich
xvo писал(а): ↑14 янв 2021, 23:05
Указать в этом правиле in-interface (или in-interface-list).
Но вообще особого смысла запрещать пинг - нет.
Ну я хотел посмотреть именно реализацию. Вот например add action=accept chain=input dst-port=8291 in-interface=pppoe-out1 protocol=\
tcp src-port=""
Получается доступ для любого,а как сделать только для vpn.
Re: доступ к vpn
Добавлено: 15 янв 2021, 10:28
xvo
stanislav.nikolaevich писал(а): ↑15 янв 2021, 08:49
Ну я хотел посмотреть именно реализацию. Вот например add action=accept chain=input dst-port=8291 in-interface=pppoe-out1 protocol=\
tcp src-port=""
Получается доступ для любого,а как сделать только для vpn.
В таком виде как раз будет просто из интернета, но не из vpn.
Если указать нужный vpn-интерфейс - будет только из vpn.
Re: доступ к vpn
Добавлено: 15 янв 2021, 11:55
stanislav.nikolaevich
xvo писал(а): ↑15 янв 2021, 10:28
stanislav.nikolaevich писал(а): ↑15 янв 2021, 08:49
Ну я хотел посмотреть именно реализацию. Вот например add action=accept chain=input dst-port=8291 in-interface=pppoe-out1 protocol=\
tcp src-port=""
Получается доступ для любого,а как сделать только для vpn.
В таком виде как раз будет просто из интернета, но не из vpn.
Если указать нужный vpn-интерфейс - будет только из vpn.
Ну вот я менял уже да,думал что интерфейс подставить vpn
при подключение правило становится нормальным цветом,ноооо я пробовал зайти и по имени no-ip (нет статики) и пробовал по внутреннему ip микротику 192.168.3.2 Не пробовал только из пула адресов vpn.Так и по какому адресу искать
Re: доступ к vpn
Добавлено: 15 янв 2021, 12:36
xvo
stanislav.nikolaevich писал(а): ↑15 янв 2021, 11:55
Ну вот я менял уже да,думал что интерфейс подставить vpn
при подключение правило становится нормальным цветом,ноооо я пробовал зайти и по имени no-ip (нет статики) и пробовал по внутреннему ip микротику 192.168.3.2 Не пробовал только из пула адресов vpn.Так и по какому адресу искать
1) Надо либо сделать этот впн-интерфейс статическим (создать интерфейс типа l2tp-server-binding), либо прописать в ppp-профиле interface-list, куда добавлять будет добавляться динамический интерфейс, и в вправиле уже использовать этот interface-list.
2) Если подключающаяся машина использует vpn, как маршрут по-умолчанию (шлет весь трафик в туннель), то подключаться можно на любой ip микротика, хоть туннельный, хоть внутренний, хоть какой другой - он разберется. Если же в туннель отправляется только трафик до туннельной подсети, то логично, что подключиться можно будет только на туннельный адрес микротика, либо же руками добавлять маршруты на клиентской машине.