Можно ли так настроить маршрутизатор?
Добавлено: 22 окт 2014, 12:31
Доброго времени суток!
Имеется RouterBOARD 2011UiAS-2HnD-IN. Хочется его настроить для работы с 5 компьютерами в локальной сети (в т.ч. и сервера терминала) и двумя интернетами: проводного со статическим IP и беспроводным Yota. Также к этой сети хочется подключаться извне по vpn, чтобы иметь возможность подключиться к серверу терминалов.
Причём, весь интернет-трафик локальной сети нужно пустить через Yota, если вдруг интернет от Yota пропадает (флешка отключилась, деньги закончились, скорость упала почти до нуля), то нужно пустить трафик через проводной интернет. Но как только интернет от Yota появится -- переключиться снова на него.
Удалённое подключение к сети нужно реализовать только через проводной интернет, у которого есть статический IP адрес.
Первым дело прошивка микротика была обновлена на последнюю версию 6.20.
Далее, была попытка дать возможность подключаться к локальной сети извне без участия Yota.
Локальная сеть-- это 192.168.1.0, ip-адрес микротика 192.168.1.88
192.168.1.111 -- адрес терминального сервера
В микроте был задан пул для vpn-адресов 192.168.89.2-192.168.89.8
Далее был создан pptp-профиль vpn с Local Address 192.168.89.1 и Remote Address - пул vpn-адресов
Use Encryption - yes
Далее был включен PPTP_Server с Authentication mschap2
и создан vpn-пользователь, где были указаны логин-пароль + профиль vpn + Service pptp
Далее, было создано правило для firewall, которое позволяла бы удалённо подключаться по vpn к сети.
chain=input action=accept protocol=tcp in-interface=ether1-gateway dst-port=1723 log=no log-prefix=""
В итоге удалённый клиент создаёт vpn-подключение по статическому IP-адресу, получает ip-адрес клиента 192.168.89.7 и может заходить через веб-морду на микротик по адресам 192.168.89.1 или 192.168.1.88 (кстати, почему по два может заходить?) и подключаться по rdp к серверу терминалов по адресу 192.168.1.111
Всё здорово, но весь интернет трафик клиентской машины идёт через vpn-соединение, что не устраивает, т.к. проводной интернет лимитирован по трафики. Как в микроте указать, чтобы весь трафик, кроме сети 192.168.1.0 не шёл через vpn-соединение.
На клиенте vpn в свойствах подключения, на закладке сеть, в свойствах компоненты протокола TCP/IPv4, в дополнительных параметрах TCP/IP нашёл установленную галку "Использовать основной шлюз удалённой сети".
Если эту галку снять и переподключить соединение, то весь трафик идёт через интернет клиента, но тогда веб-морда микротика по адресу 192.168.1.88 станет не доступна (хотя по 192.168.89.1 доступна) и не будет возможности подключиться к серверу терминалов.
Помогает только, если на клиенте добавить маршрут
route add 192.168.1.0 mast 255.255.255.0 192.168.89.7
и тогда сервер терминалов станет доступным и на микротик можно будет заходить по http://192.168.1.88
Как реализовать, что на клиенте никаких маршрутов не писать и весь инет-трафик не шёл через vpn-соедиенение?
Имеется RouterBOARD 2011UiAS-2HnD-IN. Хочется его настроить для работы с 5 компьютерами в локальной сети (в т.ч. и сервера терминала) и двумя интернетами: проводного со статическим IP и беспроводным Yota. Также к этой сети хочется подключаться извне по vpn, чтобы иметь возможность подключиться к серверу терминалов.
Причём, весь интернет-трафик локальной сети нужно пустить через Yota, если вдруг интернет от Yota пропадает (флешка отключилась, деньги закончились, скорость упала почти до нуля), то нужно пустить трафик через проводной интернет. Но как только интернет от Yota появится -- переключиться снова на него.
Удалённое подключение к сети нужно реализовать только через проводной интернет, у которого есть статический IP адрес.
Первым дело прошивка микротика была обновлена на последнюю версию 6.20.
Далее, была попытка дать возможность подключаться к локальной сети извне без участия Yota.
Локальная сеть-- это 192.168.1.0, ip-адрес микротика 192.168.1.88
192.168.1.111 -- адрес терминального сервера
В микроте был задан пул для vpn-адресов 192.168.89.2-192.168.89.8
Далее был создан pptp-профиль vpn с Local Address 192.168.89.1 и Remote Address - пул vpn-адресов
Use Encryption - yes
Далее был включен PPTP_Server с Authentication mschap2
и создан vpn-пользователь, где были указаны логин-пароль + профиль vpn + Service pptp
Далее, было создано правило для firewall, которое позволяла бы удалённо подключаться по vpn к сети.
chain=input action=accept protocol=tcp in-interface=ether1-gateway dst-port=1723 log=no log-prefix=""
В итоге удалённый клиент создаёт vpn-подключение по статическому IP-адресу, получает ip-адрес клиента 192.168.89.7 и может заходить через веб-морду на микротик по адресам 192.168.89.1 или 192.168.1.88 (кстати, почему по два может заходить?) и подключаться по rdp к серверу терминалов по адресу 192.168.1.111
Всё здорово, но весь интернет трафик клиентской машины идёт через vpn-соединение, что не устраивает, т.к. проводной интернет лимитирован по трафики. Как в микроте указать, чтобы весь трафик, кроме сети 192.168.1.0 не шёл через vpn-соединение.
На клиенте vpn в свойствах подключения, на закладке сеть, в свойствах компоненты протокола TCP/IPv4, в дополнительных параметрах TCP/IP нашёл установленную галку "Использовать основной шлюз удалённой сети".
Если эту галку снять и переподключить соединение, то весь трафик идёт через интернет клиента, но тогда веб-морда микротика по адресу 192.168.1.88 станет не доступна (хотя по 192.168.89.1 доступна) и не будет возможности подключиться к серверу терминалов.
Помогает только, если на клиенте добавить маршрут
route add 192.168.1.0 mast 255.255.255.0 192.168.89.7
и тогда сервер терминалов станет доступным и на микротик можно будет заходить по http://192.168.1.88
Как реализовать, что на клиенте никаких маршрутов не писать и весь инет-трафик не шёл через vpn-соедиенение?
с ЁТОЙ