Как исключить трафик vpn пользователей на Mikrotik?

Question

[alexeirus]

Приветствую,
я не специалист в оборудование mikrotik, появилась задача в следующем: Как исключить трафик vpn пользователей на Mikrotik?
чтоб удалённые пользовали не загружали центральный mikrotik, а пользовались своим каналом.

то что есть в конфиге:
# sep/06/2022 10:17:58 by RouterOS 6.47.9
# software id = NN8D-4H80
#
# model = RB951Ui-2nD
# serial number = 00000000000
/interface l2tp-server
add name=l2tp-in1 user=""
/interface bridge
add admin-mac=00:00:00:00:00:00 auto-mac=no comment=defconf name=bridge
/interface wireless
set [ find default-name=wlan1 ] band=2ghz-g/n channel-width=20/40mhz-XX \
country=russia disabled=no distance=indoors frequency=auto installation=\
indoor mode=ap-bridge ssid=MikroTik-BA2A3D wireless-protocol=802.11
/interface list
add comment=defconf name=WAN
add comment=defconf name=LAN
/interface wireless security-profiles
set [ find default=yes ] authentication-types=wpa-psk,wpa2-psk mode=\
dynamic-keys supplicant-identity=MikroTik wpa-pre-shared-key=0000000000 \
wpa2-pre-shared-key=0000000000
/ip hotspot profile
set [ find default=yes ] html-directory=flash/hotspot
/ip pool
add name=dhcp ranges=192.168.88.10-192.168.88.254
add name=vpn ranges=192.168.89.2-192.168.89.255
/ip dhcp-server
add address-pool=dhcp disabled=no interface=bridge name=defconf
/ppp profile
set *FFFFFFFE local-address=192.168.89.1 remote-address=vpn
/interface bridge port
add bridge=bridge comment=defconf interface=ether2
add bridge=bridge comment=defconf interface=ether3
add bridge=bridge comment=defconf interface=ether4
add bridge=bridge comment=defconf interface=ether5
add bridge=bridge comment=defconf interface=wlan1
/ip neighbor discovery-settings
set discover-interface-list=LAN
/ip settings
set allow-fast-path=no
/interface l2tp-server server
set authentication=mschap2 enabled=yes ipsec-secret=0000000000000 use-ipsec=yes
/interface list member
add comment=defconf interface=bridge list=LAN
add comment=defconf interface=ether1 list=WAN
/interface pptp-server server
set enabled=yes
/interface sstp-server server
set default-profile=default-encryption enabled=yes
/ip address
add address=192.168.88.1/24 comment=defconf interface=ether2 network=\
192.168.88.0
add address=46.0.100.100/24 interface=ether1 network=46.0.100.0
/ip cloud
set ddns-update-interval=10m update-time=no
/ip dhcp-client
add comment=defconf interface=ether1
/ip dhcp-server network
add address=192.168.88.0/24 comment=defconf dns-server=192.168.88.1 domain=\
router.lan gateway=192.168.88.1 netmask=24 ntp-server=192.168.88.1 \
wins-server=192.168.88.1
/ip dns
set allow-remote-requests=yes cache-max-ttl=1d servers=\
94.140.14.15,94.140.15.16
/ip dns static
add address=192.168.88.1 comment=defconf name=router.lan
/ip firewall filter
add action=accept chain=input comment="allow IPsec NAT" dst-port=4500 \
protocol=udp
add action=accept chain=input comment="allow IKE" dst-port=500 protocol=udp
add action=accept chain=input comment="allow l2tp" dst-port=1701 protocol=udp
add action=accept chain=input comment="allow pptp" dst-port=1723 protocol=tcp
add action=accept chain=input comment="allow sstp" dst-port=443 protocol=tcp
add action=drop chain=input comment="defconf: drop invalid" connection-state=\
invalid
add action=accept chain=input comment="defconf: accept ICMP" protocol=icmp
add action=drop chain=input comment="defconf: drop all not coming from LAN" \
in-interface-list=!LAN
add action=drop chain=forward comment="defconf: drop invalid" \
connection-state=invalid
add action=drop chain=forward comment=\
"defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat \
connection-state=new in-interface-list=WAN
/ip firewall nat
add action=masquerade chain=srcnat comment="defconf: masquerade" \
ipsec-policy=out,none out-interface-list=WAN
add action=masquerade chain=srcnat comment="masq. vpn traffic" src-address=\
192.168.89.0/24
/ip firewall service-port
set ftp disabled=yes
set tftp disabled=yes
set irc disabled=yes
set h323 disabled=yes
set sip disabled=yes
set pptp disabled=yes
set udplite disabled=yes
set dccp disabled=yes
set sctp disabled=yes
/ip route
add distance=1 gateway=46.0.195.254
/ip service
set telnet disabled=yes
set ftp disabled=yes
set ssh disabled=yes
set api disabled=yes
set api-ssl disabled=yes
/ppp secret
add name=vpn password=00000000 service=l2tp
add name=user1 password=0000 service=l2tp
add name=user2 password=0000 service=l2tp
add name=user3 password=0000 service=l2tp
add name=user4 password=0000 service=l2tp
add name=user5 password=0000 service=l2tp
/system clock
set time-zone-name=Europe/Moscow
/tool mac-server
set allowed-interface-list=LAN
/tool mac-server mac-winbox
set allowed-interface-list=LAN

Comments

[Valentin Barbolin]

Гуглиться через Mikrotik VPN Split Tunnel

Answer 1

[Keffer]

чтоб удалённые пользовали не загружали центральный mikrotik, а пользовались своим каналом.

Снять одну единственную галочку на впн клиентах - "Использовать основной шлюз в удаленной сети"

Answer 2

[Максим]

Снять галочку "Использовать основной шлюз в удаленной сети".
Что бы попасть на ПК за микротиком через впн, надо на бридже микротика в поле arp поставить proxy-arp.
Возможно прописать маршруты на клиенте.

Comments

[alexeirus]

Максим
спасибо за подсказку с proxy-arp, совсем забыл про это.
поступил следующим образом, указал /ip address add address=192.168.88.1/23
теперь всё работает как нужно.
спасибо.

Answer 3

[alexeirus]

Keffer Тогда не идёт трафик в подсеть 192.168.88.0/24
а именно нужно только на RDP порт 3389 ip 192.168.88.254

Comments

[Keffer]

А тогда нужно использовать для впн клиентов ту же сеть что и основная, будет работать "классовая маршрутизация"

[TheBigBear]

Снять о галочку в настройках VPN клиентах - "Использовать основной шлюз в удаленной сети"
в командной строке Windows у клиента
route /p add 192.168.88.0 mask 255.255.255.0 [IP адрес VPN шлюза]
ключ /p прописывает его в постоянные маршруты

[kprohorow]

TheBigBear, в десятке давно есть powershell командлет Add-VpnConnectionRoute вместо этого костыля с route.exe

[TheBigBear]

Уважаемый kprohorow!
Спасибо большое за подсказку - буду знать, но у меня половина сотрудников до сих пор дома "сидит" на Win7
И когда нас массово загоняли на удалёнку - мне проще было скинуть всем готовый батник

[kprohorow]

TheBigBear, с route.exe кстати тоже не всё так просто. При задании постоянного маршрута необходимо так же указывать номер интерфейса VPN через директиву IF, иначе при совпадении адресации у пользователя дома и в корпоративной сети могут быть проблемы.
Например так: route.exe -p ADD 192.168.33.44 MASK 255.255.255.255 IF 34

Номер интерфейса можно узнать через ту же команду route.exe с директивой print.
Список интерфейсов будет в формате <НОМЕР>....<ИМЯ>

[TheBigBear]

kprohorow, Согласен
Именно поэтому я в микротике каждому VPN юзеру сразу прописывал его статичный IP адрес из пула, который в огромной вероятностью не может у него дома быть (например 172.19.81.11) За 2 года ни разу проблем не было
С номером интерфейса не все так гладко. Если пользователь его нечаянно удалит и потом создаст новый по инструкции - номер поменяется