🙇🏼 🍲 🧦 Mikrotik। एक ग्राहक के रूप में NAT के लिए IPSEC vpn 🛀🏼 🏺 🔤

सभी को शुभ दिन!

ऐसा हुआ कि पिछले दो वर्षों में हमारी कंपनी में, हम धीरे-धीरे माइक्रोटिक्स की ओर बढ़ रहे हैं। मुख्य नोड CCR1072 पर बनाए गए हैं, और उपकरणों पर कंप्यूटर के लिए स्थानीय कनेक्शन बिंदु सरल हैं। बेशक, IPSEC सुरंग के माध्यम से नेटवर्क का एक संघ है, इस मामले में, कॉन्फ़िगरेशन काफी सरल है और किसी भी कठिनाइयों का कारण नहीं है, क्योंकि नेटवर्क पर कई सामग्रियां हैं। लेकिन ग्राहकों के मोबाइल कनेक्शन के साथ कुछ कठिनाइयाँ हैं, निर्माता की विकि आपको बताती है कि क्रू सॉफ्ट वीपीएन क्लाइंट का उपयोग कैसे करें (इस सेटिंग के साथ सब कुछ स्पष्ट लग रहा है) और यह विशेष क्लाइंट 99% रिमोट एक्सेस उपयोगकर्ताओं का उपयोग करता है, और 1% मैं, मैं बस आलसी हो गया हूं बस क्लाइंट में उपयोगकर्ता नाम और पासवर्ड दर्ज करें और मैं सोफे पर एक आलसी व्यवस्था और कार्य नेटवर्क के लिए सुविधाजनक कनेक्शन चाहता था। परिस्थितियों के लिए मिकरोटिक को कॉन्फ़िगर करने के निर्देश जब यह ग्रे पते के पीछे भी नहीं है, लेकिन पूरी तरह से काले एक के पीछे है और शायद नेटवर्क पर कई नेट भी हैं, मुझे नहीं मिला। क्योंकि मुझे सुधार करना था, और इसलिए मैं परिणाम को देखने का प्रस्ताव करता हूं।

वहाँ है:

CCR1072 मुख्य उपकरण के रूप में। संस्करण 6.44.1
घर कनेक्शन बिंदु के रूप में सीएपी एसी। संस्करण 6.44.1

सेटअप की मुख्य विशेषता यह है कि पीसी और मिक्रोटिक एक ही पते के साथ एक ही नेटवर्क पर होना चाहिए, जो कि मुख्य 1072 द्वारा जारी किया गया है।

सेटिंग पर जाएं:

1. बेशक, फास्टट्रैक को सक्षम करें, लेकिन चूंकि फास्टट्रैक वीपीएन के साथ संगत नहीं है, इसलिए आपको इसके ट्रैफ़िक में कटौती करनी होगी।

/ip firewall mangle add action=mark-connection chain=forward comment="ipsec in" ipsec-policy=\ in,ipsec new-connection-mark=ipsec passthrough=yes add action=mark-connection chain=forward comment="ipsec out" ipsec-policy=\ out,ipsec new-connection-mark=ipsec passthrough=yes /ip firewall filter add action=fasttrack-connection chain=forward connection-mark=!ipsec

2. घर से और काम करने के लिए / से नेटवर्क अग्रेषण जोड़ें

 /ip firewall raw add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=\ 10.7.76.0/24 add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=\ 10.7.98.0/24 add action=accept chain=prerouting dst-address=10.7.76.0/24 src-address=\ 192.168.33.0/24 add action=accept chain=prerouting dst-address=10.7.77.0/24 src-address=\ 192.168.33.0/24 add action=accept chain=prerouting dst-address=10.7.98.0/24 src-address=\ 192.168.33.0/24 add action=accept chain=prerouting dst-address=192.168.33.0/24 src-address=\ 10.7.77.0/24

3. एक उपयोगकर्ता कनेक्शन विवरण बनाएं

 /ip ipsec identity add auth-method=pre-shared-key-xauth notrack-chain=prerouting peer=CO secret=\   xauth-login=username xauth-password=password

4. IPSEC प्रस्ताव बनाएं

 /ip ipsec proposal add enc-algorithms=3des lifetime=5m name="prop1" pfs-group=none

5. IPSEC पॉलिसी बनाएं

 /ip ipsec policy add dst-address=10.7.76.0/24 level=unique proposal="prop1" \ sa-dst-address=<white IP 1072> sa-src-address=0.0.0.0 src-address=\ 192.168.33.0/24 tunnel=yes add dst-address=10.7.77.0/24 level=unique proposal="prop1" \ sa-dst-address=<white IP 1072> sa-src-address=0.0.0.0 src-address=\ 192.168.33.0/24 tunnel=yes

6. एक IPSEC प्रोफाइल बनाएं

 /ip ipsec profile set [ find default=yes ] dpd-interval=disable-dpd enc-algorithm=\ aes-192,aes-128,3des nat-traversal=no add dh-group=modp1024 enc-algorithm=aes-192,aes-128,3des name=profile_1 add name=profile_88 add dh-group=modp1024 lifetime=4h name=profile246

7. एक IPSEC सहकर्मी बनाएँ

 /ip ipsec peer add address=<white IP 1072>/32 local-address=<  > name=CO profile=\ profile_88

और अब थोड़ा सरल जादू। चूंकि मैं वास्तव में होम नेटवर्क पर सभी उपकरणों पर सेटिंग्स बदलना नहीं चाहता हूं, इसलिए मुझे किसी तरह एक ही नेटवर्क पर डीएचसीपी को लटका देना था, लेकिन यह उचित है कि मिकरोटिक एक पुल पर एक से अधिक एड्रेस पूल को लटकाने की अनुमति नहीं देता है, इसलिए मुझे एक वर्कअराउंड मिल गया है, अर्थात् मैंने बस मैनुअल मापदंडों के साथ लैपटॉप के लिए एक डीएचसीपी लीज बनाया है, और चूंकि नेटमैस्क, गेटवे और डीएनएस में डीएचसीपी में विकल्प नंबर भी हैं, वे मैन्युअल रूप से भी निर्दिष्ट किए गए थे।

1. डीएचसीपी विकल्प

 /ip dhcp-server option add code=3 name=option3-gateway value="'192.168.33.1'" add code=1 name=option1-netmask value="'255.255.255.0'" add code=6 name=option6-dns value="'8.8.8.8'"

2. डीएचसीपी लीज

 /ip dhcp-server lease add address=192.168.33.4 dhcp-option=\ option1-netmask,option3-gateway,option6-dns mac-address=<MAC  >

उसी समय, 1072 की स्थापना लगभग बुनियादी है, केवल जब ग्राहक को एक आईपी पता जारी किया जाता है, तो सेटिंग्स इंगित करती है कि इसे आईपी पते को मैन्युअल रूप से दर्ज किया जाना चाहिए, और पूल से नहीं। व्यक्तिगत कंप्यूटर का उपयोग करने वाले सामान्य ग्राहकों के लिए, सबनेट वही है जो कि विकी 192.168.55.0/24 के साथ कॉन्फ़िगरेशन में है।

और मैं थोड़ा जोड़ूंगा, मुख्य कनेक्शन सर्वर 1072 पर, आपको आईपी-फ़ायरवॉल-रॉ को अग्रेषित करने वाले सममित नेटवर्क के लिए भी नियम जोड़ने होंगे। एक नया नेटवर्क अग्रेषण जोड़ते समय, क्लाइंट, सर्वर, साथ ही आईपी-फ़ायरवॉल-रॉ सर्वर और NAT कटिंग की सूची पर IPSEC-Policy के नियमों को जोड़ना आवश्यक है।

यह सेटिंग आपको तृतीय-पक्ष सॉफ़्टवेयर के माध्यम से पीसी से कनेक्ट नहीं करने की अनुमति देता है, और सुरंग स्वयं राउटर को आवश्यकतानुसार बढ़ाती है। सुरंग में 9-10MB / s की गति से ग्राहक CAP एसी लोड लगभग न्यूनतम, 8-11% है।

सभी सेटिंग्स विनबॉक्स के माध्यम से बनाई गई थीं, हालांकि उसी सफलता के साथ यह कंसोल के माध्यम से किया जा सकता है।

Mikrotik। एक ग्राहक के रूप में NAT के लिए IPSEC vpn

More articles: