Страница 1 из 1
Маргрутизация с ipsec
Добавлено: 18 апр 2018, 12:16
mocr
Приветствую. Прошу совета с настройкой маршрутизации.
Вообще это логическое продолжение вот этой темы:
viewtopic.php?f=15&t=8612
если кому интересно.
Что имеем:
Код: Выделить всё
LAN (192.168.106.0/24)
|
Mikrotik (bridge IP 192.168.106.252, pppoe dynamic IP x.x.x.x)
|
ISP
|
internet
|
strongswan vps (IP a.b.c.d)
Mikrotik инициирует IKEv2 соединение с Strongswan, Strongswan выдает Vitrual IP 172.17.2.60, policy получается 172.17.2.60/32 <> 0.0.0.0/0
172.17.2.60 назначается на bridge интерфейс (я это делаю вручную).
Необходимо чтобы клиенты из LAN выходили в интернет через ipsec тунель... и вот тут у меня никак не получается настроить маршрутизацию.
Если добавить маршрут
Код: Выделить всё
# DST-ADDRESS PREF-SRC GATEWAY DISTANCE
2 S 0.0.0.0/0 172.17.2.60 pppoe-out 2
то сам mikrotik (и пользователи mikrotik прокси) ходят через ipsec, но обычные пользователи из LAN ходят напрямую, понимаю что как то надо изменить NAT правило, но как именно не знаю.
Re: Маргрутизация с ipsec
Добавлено: 18 апр 2018, 12:35
Erik_U
На граничном устройстве нужно маскарадинг для всех маршрутизируемых сетей добавить.
Re: Маргрутизация с ipsec
Добавлено: 18 апр 2018, 13:02
mocr
А можно попросить Вас немного подробней расписать, в данный момент у меня такое правило
Код: Выделить всё
/ip firewall nat
add action=masquerade chain=srcnat out-interface=pppoe-out
с ним ходят напрямую. У меня мало опыта работы с микротик, насколько я понимаю, правило как раз для всех сетей, ну и в случае с out-interface=pppoe-out, если я опять же все правильно понял, трафик никак не может соответствовать ipsec policy, а значит трафик пойдем мимо, что собственно и происходит.
Re: Маргрутизация с ipsec
Добавлено: 18 апр 2018, 14:05
Erik_U
полностью маршруты покажите
Re: Маргрутизация с ipsec
Добавлено: 18 апр 2018, 15:02
mocr
Код: Выделить всё
Flags: X - disabled, A - active, D - dynamic, C - connect, S - static, r - rip, b - bgp, o - ospf, m - mme, B - blackhole, U - unreachable, P - prohibit
# DST-ADDRESS PREF-SRC GATEWAY DISTANCE
0 ADS 0.0.0.0/0 pppoe-out 3
1 X S 0.0.0.0/0 172.17.2.60 pppoe-out 2
2 ADC y.y.y.y/32 x.x.x.x pppoe-out 0
3 ADC 172.17.2.60/32 172.17.2.60 bridge 0
4 ADC 192.168.106.0/24 192.168.106.252 bridge 0
После включения #1 сам роутер и пользовтаели mikrotik web-proxy (но не обычные), ходят в интернет через ipsec.
Re: Маргрутизация с ipsec
Добавлено: 18 апр 2018, 16:47
Erik_U
1. Микротик соединение с Strongswan инициирует по какой сети? Лан? Интернет?
2. А с другой стороны туннеля знают маршрут в сетку 192.168.106.0/24 ?
Re: Маргрутизация с ipsec
Добавлено: 18 апр 2018, 18:18
mocr
инициируется с x.x.x.x (c pppoe интерфейса), с той стороны о 192.168.106.0/24 не знают, ipsec traffic selector 172.17.2.60/32 <> 0.0.0.0/0, где 172.17.2.60 virtual IP который выдается Strongswan (локальной сети за strongswan нет вообще, только 1 глобальный интерфейс с ip a.b.c.d).
Т.е. mikrotik тут в качестве ikev2 roadwarrior клиента, честно говоря по другому у меня и не получилось настроить (в случае когда микротик за NAT), но мне в принципе оно и надо, учитывая что необходимо, чтобы сети за ipsec друг о друге не знали (видимость только по virtual IP, ну и уточню на всякий, микротик доступен другим участникам без всяких дополнительных маршрутов, так же как и он всех видит).
Если на других клиентах, которые подключаются с такой же конфигурацией ipsec к тому же серверу, создается отдельный интерфейс и можно создать NAT правило с этим интерфейсом, то на микротике интерфейс не создается (да и вообще ip не назначается), вот на этом моменте я и застрял, попробовал посоздовать правила с SNAT - 172.17.2.60, но ничего хорошего не получилось, нет достаточного понимания.
Re: Маргрутизация с ipsec
Добавлено: 19 апр 2018, 10:05
Erik_U
у вас на pppoe интерфейсе адрес x.x.x.x
172.17.2.60 выдается Strongswan
172.17.2.60 назначается на bridge интерфейс (я это делаю вручную).
не понятно, зачем так?
Вы потом используете маршрут
он написан так, как будто 172.17.2.60 висит на pppoe-out.
Если он там не висит - маршрут и не работает.
Дальше, маскарадинг вы повесили на pppoe.
Код: Выделить всё
/ip firewall nat
add action=masquerade chain=srcnat out-interface=pppoe-out
а адрес там у вас x.x.x.x
Поэтому в интернет все натится с адреса x.x.x.x.
Т.е. у вас как настроено, так и работает.
Я не знаю, как работает Strongswan, не сталкивался.
Но микротику было бы на мой взгляд правильно 172.17.2.60 повесить на pppoe-out (если никакого виртуального интерфейса не создается).
И правило ната написать
Код: Выделить всё
/ ip firewall nat
add chain = srcnat src-address = 192.168.106.0/24 action = src-nat to-addresses = 172.17.2.60 out-interface = pppoe-out
Re: Маргрутизация с ipsec
Добавлено: 19 апр 2018, 13:46
mocr
а ведь действительно, я даже не обратил особо внимания что на бридж повесил, как будто так и надо.
Спасибо! теперь все работает.
Вот бы еще ip адресa vps'а не нужно было перебирить каждые сутки из-за блокировок
