MikroTik RB450G не могу настроить доступ из локалки в интернет (Провайдер VPN)?

Question

[gad26032]

Всем привет!
Настраиваю MikroTik RB450G
При подключении по vpn пакеты не ходят через него а продолжают ходить через ether1
Рукаи создал правило для маскарадинга на исходящем интерфейсе pptp
Так же на внешнем интерфейсе тоже есть маскарад
Подскажите куда глядеть, а то идеи кончились =(

Answer 1

[Konkase]

Покажите лучше
ip route print и ip address print

Невозможно этот гуй смотреть.

Comments

[gad26032]

ip route print
0 ADS 0.0.0.0/0 192.168.0.250 1
1 DS 0.0.0.0/0 192.168.200.250 1
2 ADC 192.168.0.0/24 192.168.0.27 ether1-gateway 0
3 ADC 192.168.88.0/24 192.168.88.1 ether2-master-l... 0
4 ADC 192.168.200.250/32 192.168.200.2 pptp-out2 0
ip address print
192.168.88.1/24 192.168.88.0 ether2-master-local
1 D 192.168.0.27/24 192.168.0.0 ether1-gateway
2 D 192.168.200.2/32 192.168.200.250 pptp-out2

[Konkase]

ip route set distance=2 number=0

[gad26032]

Konkase: да, заработало! Спасибо =)
Но есть еще одна проблемма =)
Теперь этот сын порочной женщины не пускает меня на некоторые сайты
Например на developer.apple.com www.vesti.ru
пишет вот такое мне
Код ошибки: ERR_CONNECTION_REFUSED
google.ru между тем работает и пингуется

[Konkase]

ping и traceroute до сайтов.
telnet www.vesti.ru 80

[gad26032]

Трасировка и пинги ничего не дают, те же результаты с компьютера рядом который ходит по тем же каналам (Сайты открываются) минуя mikrotik.

Причем микротик без включенного впн пускает на эти сайты без проблем а вот с включенным впн он как то выборочно пускает =\
PS C:\Users\gad> telnet www.vesti.ru 80
Подключение к www.vesti.ru...Не удалось открыть подключение к этому узлу, на порт 80: Сбой подключения

Трассировка маршрута к developer.apple.com.akadns.net [17.151.140.30]
с максимальным числом прыжков 30:

1 <1 мс 1 ms <1 мс router [192.168.88.1]
2 1 ms 1 ms <1 мс CITADEL [192.168.200.250]
3 2 ms 1 ms 2 ms 10.1.5.1
4 2 ms 2 ms 2 ms 10.200.255.15
5 2 ms 1 ms 2 ms 62-140-245-4.fiord.ru [62.140.245.4]
6 42 ms 42 ms 42 ms frankfurt-anc-b1-xe0-0-0.fiord.net [93.191.9.155]
7 39 ms 38 ms 40 ms 212.162.9.21
8 184 ms 185 ms 185 ms ae-1-60.edge8.sanjose1.level3.net [4.69.152.20]
9 185 ms 184 ms 184 ms ae-1-60.edge8.sanjose1.level3.net [4.69.152.20]
10 185 ms 185 ms 184 ms 209.244.104.134
11 190 ms 190 ms 189 ms 17.0.129.80
12 191 ms 191 ms 191 ms 17.0.129.105
13 * * * Превышен интервал ожидания для запроса.
14 * * * Превышен интервал ожидания для запроса.
15 * * * Превышен интервал ожидания для запроса.
16 * * * Превышен интервал ожидания для запроса.

Трассировка маршрута к vesti.ru [80.247.32.206]
с максимальным числом прыжков 30:

1 <1 мс <1 мс <1 мс router [192.168.88.1]
2 1 ms <1 мс 1 ms CITADEL [192.168.200.250]
3 2 ms 1 ms 1 ms 10.1.5.1
4 21 ms 2 ms 2 ms 10.200.255.15
5 2 ms 2 ms 2 ms voxnet-gw1.citylan.ru [212.118.49.25]
6 * * * Превышен интервал ожидания для запроса.

Control-C
PS C:\Users\gad> ping developer.apple.com

Обмен пакетами с developer.apple.com.akadns.net [17.151.140.30] с 32 байтами данных:
Превышен интервал ожидания для запроса.
Превышен интервал ожидания для запроса.
Превышен интервал ожидания для запроса.
Превышен интервал ожидания для запроса.

Статистика Ping для 17.151.140.30:
Пакетов: отправлено = 4, получено = 0, потеряно = 4
(100% потерь)

PS C:\Users\gad> ping vesti.ru

Обмен пакетами с vesti.ru [80.247.32.206] с 32 байтами данных:
Превышен интервал ожидания для запроса.

Статистика Ping для 80.247.32.206:
Пакетов: отправлено = 1, получено = 0, потеряно = 1
(100% потерь)
Control-C

[Konkase]

Проверить маршрутизацию на VPN сервере

[gad26032]

Konkase: Если ноутом подключаюсь а не микротиком то все работает. Учетка впн та же

[gad26032]

Таблица маршутизации ядра протокола IP
Destination Gateway Genmask Flags Metric Ref Use Iface
default 10.1.5.1 0.0.0.0 UG 0 0 0 eth1
10.0.0.5 10.1.5.1 255.255.255.255 UGH 0 0 0 eth1
10.0.0.69 10.1.5.1 255.255.255.255 UGH 0 0 0 eth1
10.1.5.0 * 255.255.255.0 U 0 0 0 eth1
192.168.0.0 * 255.255.255.0 U 0 0 0 eth0
192.168.200.2 * 255.255.255.255 UH 0 0 0 ppp1

На сервере при подключенном клиенте

[Konkase]

скиньте трассировку с ноута на котором работает

[gad26032]

Без микротика, ноут подключен к VPN
PS C:\Users\gad> tracert vesti.ru

Трассировка маршрута к vesti.ru [80.247.32.206]
с максимальным числом прыжков 30:

1 2 ms 2 ms 2 ms CITADEL [192.168.200.250]
2 3 ms 3 ms 3 ms 10.1.5.1
3 3 ms 6 ms 3 ms 10.200.255.15
4 839 ms 2866 ms 1682 ms voxnet-gw1.citylan.ru [212.118.49.25]
5 * * * Превышен интервал ожидания для запроса.
6 * * * Превышен интервал ожидания для запроса.
7 * * * Превышен интервал ожидания для запроса.
8 * PS C:\Users\gad>
PS C:\Users\gad> tracert google.ru

Трассировка маршрута к google.ru [173.194.122.207]
с максимальным числом прыжков 30:

1 2 ms 2 ms 2 ms CITADEL [192.168.200.250]
2 2 ms 3 ms 5 ms 10.1.5.1
3 3 ms 3 ms 3 ms 10.200.255.15
4 5 ms 3 ms 4 ms voxnet-gw1.citylan.ru [212.118.49.25]
5 4 ms 4 ms 4 ms msk-ix-gw3.google.com [193.232.244.250]
6 4 ms 4 ms 4 ms 66.249.94.170
7 5 ms 4 ms 4 ms 72.14.252.20
8 5 ms 5 ms 7 ms 173.194.122.207

Трассировка завершена.
PS C:\Users\gad> ping google.ru

Обмен пакетами с google.ru [173.194.122.207] с 32 байтами данных:
Ответ от 173.194.122.207: число байт=32 время=5мс TTL=57
Ответ от 173.194.122.207: число байт=32 время=8мс TTL=57
Ответ от 173.194.122.207: число байт=32 время=5мс TTL=57
Ответ от 173.194.122.207: число байт=32 время=5мс TTL=57

Статистика Ping для 173.194.122.207:
Пакетов: отправлено = 4, получено = 4, потеряно = 0
(0% потерь)
Приблизительное время приема-передачи в мс:
Минимальное = 5мсек, Максимальное = 8 мсек, Среднее = 5 мсек
PS C:\Users\gad> ping vesti.ru

Обмен пакетами с vesti.ru [80.247.32.206] с 32 байтами данных:
Превышен интервал ожидания для запроса.
Превышен интервал ожидания для запроса.
Превышен интервал ожидания для запроса.
Превышен интервал ожидания для запроса.

Статистика Ping для 80.247.32.206:
Пакетов: отправлено = 4, получено = 0, потеряно = 4
(100% потерь)

Через Микротик, микротик подключен к тому же VPN под той же учеткой
PS C:\Users\gad> tracert vesti.ru

Трассировка маршрута к vesti.ru [80.247.32.206]
с максимальным числом прыжков 30:

1 <1 мс <1 мс <1 мс router [192.168.88.1]
2 1 ms <1 мс <1 мс CITADEL [192.168.200.250]
3 4 ms 4 ms 1 ms 10.1.5.1
4 2 ms 1 ms 2 ms 10.200.255.15
5 4 ms 6 ms 2 ms voxnet-gw1.citylan.ru [212.118.49.25]
6 * * * Превышен интервал ожидания для запроса.
7 * * * Превышен интервал ожидания для запроса.
8 * * * Превышен интервал ожидания для запроса.
9 * PS C:\Users\gad>
PS C:\Users\gad> tracert google.ru

Трассировка маршрута к google.ru [173.194.122.207]
с максимальным числом прыжков 30:

1 <1 мс <1 мс <1 мс router [192.168.88.1]
2 1 ms 1 ms <1 мс CITADEL [192.168.200.250]
3 1 ms 1 ms 1 ms 10.1.5.1
4 2 ms 1 ms 2 ms 10.200.255.15
5 3 ms 6 ms 2 ms voxnet-gw1.citylan.ru [212.118.49.25]
6 3 ms 2 ms 2 ms msk-ix-gw3.google.com [193.232.244.250]
7 16 ms 4 ms 5 ms 66.249.94.170
8 5 ms 3 ms 3 ms 72.14.252.20
9 3 ms 3 ms 3 ms 173.194.122.207

Трассировка завершена.
PS C:\Users\gad> ping vesti.ru

Обмен пакетами с vesti.ru [80.247.32.206] с 32 байтами данных:
Превышен интервал ожидания для запроса.
Превышен интервал ожидания для запроса.

Статистика Ping для 80.247.32.206:
Пакетов: отправлено = 2, получено = 0, потеряно = 2
(100% потерь)
Control-C
PS C:\Users\gad> ping google.ru

Обмен пакетами с google.ru [173.194.122.207] с 32 байтами данных:
Ответ от 173.194.122.207: число байт=32 время=4мс TTL=56
Ответ от 173.194.122.207: число байт=32 время=3мс TTL=56
Ответ от 173.194.122.207: число байт=32 время=3мс TTL=56
Ответ от 173.194.122.207: число байт=32 время=3мс TTL=56

Статистика Ping для 173.194.122.207:
Пакетов: отправлено = 4, получено = 4, потеряно = 0
(0% потерь)
Приблизительное время приема-передачи в мс:
Минимальное = 3мсек, Максимальное = 4 мсек, Среднее = 3 мсек
PS C:\Users\gad>

Но вот еще один момент! Я тут попробовал на вести ру зайти явно указывая https:// и он таки собака пустил но выдал ошибку проверки сертификата

Ваше подключение не защищено

Злоумышленники могут пытаться похитить ваши данные с сайта russia.tv (например, пароли, сообщения или номера банковских карт).

Назад к безопасностиСкрыть подробности
Не удалось подтвердить, что это сервер russia.tv. Его сертификат безопасности относится к *.vgtrk.com. Возможно, сервер настроен неправильно или кто-то пытается перехватить ваши данные.

Перейти на сайт russia.tv (небезопасно)

NET::ERR_CERT_COMMON_NAME_INVALID

[gad26032]

Konkase: Мне кажется что микротик как то не так маскарадинг делает

[Konkase]

У вас нат за натом?
Отключите маскарадинг на ppp интерфейсе микротика, на vpn серере пропишите маршрут до LAN микротика через ppp0 и разрешите натить эту сетку

[gad26032]

Konkase: Но как тогда пакеты из подсети микротика дойдут до сервера vpn ? у микротика своя подсеть

[Konkase]

gad26032: Судя по сообщению от ТС он добавил маскарадинг на тунельный интерфейс. Микротик ходит на vpn серевер не через этот интерфейс, у него есть свой дефолт.
Сейчас по все видимости маскарадинг маскарадит пакеты и на микротике в ppp0 и на vpn сервере во внешнюю сеть.

[gad26032]

Ну вобщем я так понял что два раза маскарадить нельзя?... Попробую уже на месте а то получается у себя в кустарных условиях не получится. У меня инет через nat. Если и там такая же беда болучится то значит у провайдера тоже нат стоит. Хотя я если честно не понимаю чем это может мешать, ведь некоторые сайты открываются же =/

Answer 2

[throughtheether]

Не знаток Mikrotik, но отвечу, раз вы меня призвали.

На мой взгляд, у вас активен маршрут по умолчанию (0.0.0.0/0) через 192.168.0.250. Попробуйте задать ему худшую (т.е. большую) метрику, чем у маршрута через pptp-интерфейс.

Comments

[gad26032]

Все равно спасибо!
Я его даже удалял =/ не помогло

[throughtheether]

gad26032: Если я правильно понимаю, рекомендация Konkase, а именно команда ip route set distance=2 number=0 как раз и задает худшую метрику (distance) для маршрута 0.0.0.0/0 через 192.168.0.250.

[Konkase]

throughtheether: Так и есть. Видимо ТС путается в понятиях

Answer 3

[vovannovig]

Согласен, меняем метрику и ставим маскарадинг