Как получить доступ к модему из-под VPN сети?

Question

[gromlin]

Приветствую. Подскажите, кто сталкивался с такой проблемой, когда есть микротик с подсетью (сеть 192.168.88.0/24) с подключенным модемом Huawei(сеть 192.168.8.1) и в сети с ним компьютер, на котором развёрнут VPN сервер(10.10.10.0/24). И проблема в том, что являясь клиентом VPN сети c IP 10.10.10.135 я не могу получить доступ к веб интерфейсу Huawei. Доступ к Микротику по порту 8291 я получаю. Порт 80 у микротика отключен. Пробовал в NAT добавить правило переадресации на нужный ip, получаю Gateway Default. В остальных случаях 192.168.8.1/html/index.html?url=10.10.10.135. Увидел подобную проблему в данной теме https://qna.habr.com/q/531124, но ее так и не решили. Помогите, пожалуйста, с решением задачи.

Comments

[Bermut]

Маршрут с пк до модема прописан? Так же нужно иметь snat на микротике для трафика, идущего с клиентов VPN на адрес 192.168.8.1.

[gromlin]

Я могу общаться со всеми устройствами в сети 192.168.88.0/24. Просто модем и даёт выход в интернет, значит маршрут к нему есть. Или я неправильно понял?

[Дмитрий]

У меня подобная проблема была решена посредством включения на роутере проси сервиса (IP -> Web Proxy) и соответственно прописывания этого прокси в браузере. Не очень удобно, но если доступ нужен от случая к случаю, то лучше, чем ничего.

[gromlin]

Дмитрий, А не могли бы подробно описать, как это всё осуществить? Мне самому не постоянно нужен доступ.

[Дмитрий]

На примере LTE-модема Alcatel IK41VE1, веб-интерфейс которого требуется открывать по ссылке ik41.home

Включаем на микротике сервис web-прокси, настраиваем только необходимые разрешения:



Или то же самое в консоли роутера:

/ip proxy
# включаем прокси 
set enabled=yes 
/ip proxy access
# разрешаем http-доступ к модему
add dst-address=192.168.1.1
# запрещаем весь остальной http-трафик
add action=deny
/ip proxy direct
# запрещаем все прямые соединения 
add action=deny

И нужно проверить, что входящие соединения на TCP-порт 8080 на роутере не блокируются файрволом (со стороны интернета порт веб-прокси естественно должен быть закрыт)

Если микротик не использует модем в качестве DNS-резолвера, то надо также создать статическую DNS-запись для него:

/ip dns static
add address=192.168.1.1 name=ik41.home

В настройках браузера указываем в качестве прокси-сервера доступный ip-адрес микротика


Открываем в браузере http://IP_АДРЕС_МОДЕМА (192.168.1.1 в данном случае) или http://ЛОКАЛЬНОЕ_DNS_ИМЯ_МОДЕМА (для Alcatel ik41.home) и видим что-то вроде такого:

Answer 1

[ValdikSS]

Вы, наверное, пытаетесь открыть страницу по IP-адресу 10.10.10.135, а не 192.168.8.1, из-за чего у вас заголовок HTTP Host: 10.10.10.135. Веб-интерфейс модема на такое не рассчитан и зацикливается в бесконечной переадресации.

Обращайтесь к нему по IP-адресу 192.168.8.1.

Comments

[gromlin]

Я делал перенаправление трафика. При обращении на 80 порт 10.10.10.135 я должен попасть на порт 80 модема.

[ValdikSS]

gromlin, вы и попадаете на порт 80 модема. С сетевой точки зрения вы всё сделали правильно и всё работает правильно, только веб-интерфейс модема ожидает значение заголовка Host: 192.168.8.1, а не 10.10.10.135, какое сейчас у вас передаётся.

Либо заходите по адресу 192.168.8.1, либо устанавливайте дополнения для браузера, которые будут перезаписывать заголовок Host при обращении к 10.10.10.135, либо устанавливайте прокси, с настройками перезаписи заголовка.

[gromlin]

ValdikSS, А вы не могли бы подсказать,пожалуйста, как установить прокси с перезаписью?

[ValdikSS]

gromlin, nginx точно в таком режиме можно настроить, опция proxy_pass с add_header.

[gromlin]

ValdikSS, Это на микротике все прописывается?

[ValdikSS]

gromlin, я не работал с mikrotik.

Answer 2

[Владимир Лобанов]

Находясь в за тунелем, вы, тем не менее, находитесь в локальной сети микротика. Это случай hairpin nat, т.к. для микрота 192.168.8.1 - ВНЕШНИЙ интерфейс. https://blog.mark99.ru/pravilnyj-nat-loopback-hair...

Comments

[gromlin]

Прописал. Такое чувство, что маскарадинг не работает. Пакет от клиента к модему идёт (от 10.10.10.135 к 192.168.8.1), а обратно пакет теряется после 192.168.8.100, а не напрямую на клиента поступает. Делает проброс портов, но только получил gateway timeout.

[Владимир Лобанов]

gromlin, шайтан однако. Осталось последнее. В DHCP сервере во вкладrе Networks прописать 192.168.8.0/24 gateway - физический интерфейс модема, dns - любой из доступных (обычно для модема - он сам - 192.168.8.1). Про эту настройку обычно забывают, но без нее точно не заработает.