Возможен ли туннель между Linux машиной и Mikrotik за NAT?

Question

[Борода]

Добрый день!
Прошу подсказать наиболее оптимальную технологию создания VPN-туннеля для следующей конфигурации:
- VPS Linux с "белым" IP в качестве сервера;
- клиент Mikrotik SXT R (LTE) за NAT провайдера (возможность получения "белого" IP отсутствует).

До этого пробовал 2 варианта - по обоим есть замечания:
1. OpenVPN - клиент Mikrotik не поддерживает UDP, по TCP падает скорость, большая нагрузка на процессор Mikrotik из-за шифрования;
2. IPIP туннель + IPSec. Реализация подробно описана здесь. Соединение получилось очень не стабильным, возможно из-за LTE, или криво настроенного IPSec. Основная проблема заключается в том, что ping не показывает потерь м-ду узлами, ICMP-пакеты проходят в обоих направлениях, в то-же время трафик приложений переодически полносью блокируется - причину я так и не нашел. Скорость примерно в 5 раз ниже, по сравнению с OpenVPN, загрузка CPU на Mikrotik в районе 25-35%.

Прошу поделиться опытом, возможно, кому-то уже доводилось решать похожую задачу.

Comments

[Valentin Barbolin]

В routerOS 7.1.1 появилась поддержка wireguard и zerotier. Оба работают за NAT, оба быстрые.

Answer 1

[Sergey]

Ставишь на vps https://github.com/Kingston-kms/setup-ipsec-vpn а из микротика конектишься

Answer 2

[CityCat4]

мироктик клиентом на VPS (в смысле микротик для VPS - клиент, он к нему обращается). На VPS ставится strongswan, на микротике есть ikev2 (не знаю как в SXT, там level3 ROS), но вообще микротиковский VPS на линух работает годами без обрывов (имеется в виду IPSec, кстати никаких городушек типа IPIP туннеля ему не надо - он прекрасно работает сам по себе)

Answer 3

[nApoBo3]

ipsec ike2.
В routeros7 вроде завезли openvpn udp, он уже даже зарелизился и более менее стабилен в простых конфигурациях.

Answer 4

[Drno]

Опенвпн. Работает и есть не просит
На udp - пофиг
Остальное мож резаться провайдером мобильным

Answer 5

[Ragnar Black]

Обновляйте вашу микротик-железку до RouterOS v7 и используйте UDP в openvpn или сразу wireguard.