VPN матрешкой. Как победить IPSec?

Question

[valkiry99]

Задача сделать VPN матрешкой в виде
Микротик подключается к VPN серверу по IPSec ikev2 и все оборудование в сети микротика (ethernet подключения) выходят с внешним IP VPN сервиса
На компьютере включаем Windows VPN приложение(ProtonVPN, NordVPN) и так же подключаемся к VPN сервису. Протоколы пробовал все доступные: WireGuard, OpenVPN - UDP, OpenVPN - TCP

В комплекте имеем
Микротик RB750Gr3 6.48.3
Windows VPN приложение от различных VPN сервисов

По отдельности только микротик или только приложение Windows работают. Как совместить?

Answer 1

[rPman]

Все зависит от того, что именно за vpn на windows машине, и какие у него требования к сети

Например если сеть, к которой подключает первая vpn сама из себя представляет локальную сеть, а выход в мир через NAT то некоторые типы vpn (например тот же ip sec или pptp) могут потребовать на роутере этой сети соответствующую поддержку

p.s. openvpn будет работать даже если сеть за NAT, без поддержки GRE (требуется для pptp) и даже с использованием udp (или tcp как обычно), с ним многоуровневое каскадирование vpn возможно

Comments

[valkiry99]

>что именно за vpn на windows машине

Пробовал разные сервисы VPN, у каждого из них свой софт под винду
Протоколы OpenVPN - UDP, OpenVPN - TCP, WireGuard
Все работают криво...

[rPman]

понятия не имею что у тебя значит 'работают криво'

[valkiry99]

Если оставить VPN только на микротике - все отлично работает. Все компьютеры в сети микротика работают через VPN. Но только включаешь на любом компьютере в сети программу (NordVPN, ProtonVPN или любой другой сервис) - интернет то работает, то не работает (cmd ping google.com -t, потеря пакетов рандомная и рандомное время)

[rPman]

на всех машинах в сети перестает работать интернет? вот это сюрприз

могу предположить конфигурацию, этот nordvpn/protonvpn/... ставишь их виртуальный адаптер в бридж к сетевой карте (это можно сделать но по умолчанию никто из них так не делает) и dhcp их vpn становится виден во всей сети и машины начинают по окончанию времени жизни полученных адресов получать шлюз этого vpn (точнее туда сюда переключаться) правда речь идет о десятках минут/часах

другого способа нагадить в сеть я хз

[valkiry99]

>на всех машинах в сети перестает работать интернет? вот это сюрприз
рандомно, где-то может работать, где-то нет

Answer 2

[CityCat4]

Нихрена не понятно, как обычно, кроме того, что как обычно считается, что VPN внутри VPN даст больше анонимности :) без уточнения против кого :)

Микротик подключается к VPN серверу

Ну, подключается, да. Каким образом, по какому протоколу? У микротика их как минимум три - pptp, ovpn, ipsec (esp)

все оборудование в сети микротика (ethernet подключения) получают соответствующий IP адрес

Не коррелирует. У микротика есть свой dhcp-сервер, который раздает адреса вне зависимости от того, есть vpn или нет.

На компьютере включаем Windows VPN приложение

На каком компьютере, какое приложение, по какому протоколу?

Comments

[valkiry99]

Я понял, дал мало инфы. Сейчас отвечу на все вопросы :)

>VPN внутри VPN даст больше анонимности
Нет, весь конфиг не для этого. Любой софт имеет свойство сбоить. Посему было принято решение сделать просто 2 прослойки VPN
В микротике сбой -> работает программа VPN на компьютере
В программе сбой -> работает VPN микротик

>Ну, подключается, да. Каким образом, по какому протоколу? У микротика их как минимум три - pptp, ovpn, ipsec (esp)
IPSec

>На каком компьютере, какое приложение, по какому протоколу?

Windows x64
Приложения разные пробовал от разных сервисов. NordVPN, ProtonVPN
Протоколы перепробывал все доступные во всех приложениях, а именно WireGuard, OpenVPN - UDP, OpenVPN - TCP

------------------------------

Еще раз. самое основное. Если оставить VPN только на микротике - все отлично работает. Все компьютеры в сети микротика работают через VPN. Но только включаешь на любом компьютере в сети программу (NordVPN, ProtonVPN или любой другой сервис) - интернет то работает, то не работает (cmd ping google.com -t, потеря пакетов рандомная и рандомное время)

[CityCat4]

valkiry99, Хм. Наверное мой микротик не знает, что он должен сбоить и держит туннель годами :) Я нифига не шучу - он перегружается только при обновлении либо просадке питания.
Что касается NordVPN и прочей шушеры то, не считая того, что я им просто не верю, вполне возможно, что он просто тупо заворачивает на себя default route. И начинается фигня и неразбериха. (ну и если этот VPN использует IPSec - вполне возможно, он какие-то политики ставит, которые направляют пакеты туда, куда ему надо, а роутер считает, что пакеты должны идти туда, куда ему надо)
Еще возможно такое, что если этот VPN базируется на IPSec, то роутер эти пакеты натит, а этого делать никак нельзя - ломается контрольная сумма и та сторона их просто отбросит, как поврежденные.

[valkiry99]

>Что касается NordVPN и прочей шушеры
Я специально несколько шушер попробовал, чтобы отбросить факт что конкретная из них глючит. Но конечно может они все по одному принципу работают, тут уж не знаю :)
Есть возможность помочь? В личном диалоге где-то, я скину конфиг и учетки VPN'ов, чтобы у себя можно было проверить (разумеется все за платно)

[CityCat4]

valkiry99, Нет. Странная, нетипичная задача, вряд ли мне пригодится в дальнейшем. Я не берусь за работу, в результате которой не уверен :)

[valkiry99]

CityCat4, оплачу время значит потраченное. я сам уже точно не разберусь с этим

[valkiry99]

Попробуем ? В гонораре не обижу при любом исходе, над задачей бьюсь уже давно