Микротик openVpn client настройка маршрутизации?

Question

[Серега Кузьмин]

День добрый!Нужна консультация по микротику!?Сервер CentOS 6 на нем openVPN сервер и внутренняя подсеть 192.168.0.1 в филиале стоит микротик openVPN clien и там подсеть 192.168.1.0 .Все работает все классно но из сети 192.168.1.0 я вижу сеть 192.168.0.1 а наоборот НЕТ. В чем проблема могу скинуть настройки сервера.

Answer 1

[lexalex]

Вам нужно выключить нат на микротике отключив необходимые правила в /ip firewall nat
На сервере с CentOS, как сказал выше gorczko, прописать маршрут как-то так: route add 192.168.1.0/24 gw 192.168.1.50, где 192.168.1.50 ip-адрес микротика в сети 192.168.1.0, также важно знать какого размера сеть /24?

Comments

[Серега Кузьмин]

Да маска 24. Я не понимаю зачем это - dd address=192.168.0.1/24 network=192.168.0.0 broadcast=192.168.0.255 \
interface=ether1 comment="local 0" disabled=no
Зачем? У меня нет физического подключения к сети 192.168.0.1/24

[lexalex]

Серега Кузьмин: видимо это всё же вопрос к gorczko. Я считаю описанная вами проблема, связана со включенным натом на микротике, и возможно отсутствующем маршруте на сервере openvpn. Вы пробовали проделать то, что я вам предложил?

[Серега Кузьмин]

lexalex: Да пробовал не помогло да и какой смысл, он по этому ip даже не пингуеться.
Из сети 192.168.0.0 микротик доступен по адресу 10.8.0.6

[Серега Кузьмин]

Сервак

# netstat -arn
Kernel IP routing table
Destination Gateway Genmask Flags MSS Window irtt Iface
10.8.0.2 0.0.0.0 255.255.255.255 UH 0 0 0 tun0
10.8.0.0 10.8.0.2 255.255.255.0 UG 0 0 0 tun0
192.168.1.0 10.8.0.1 255.255.255.0 UG 0 0 0 tun0
192.168.0.0 0.0.0.0 255.255.255.0 U 0 0 0 eth1
109.124.10.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0
169.254.0.0 0.0.0.0 255.255.0.0 U 0 0 0 eth0
169.254.0.0 0.0.0.0 255.255.0.0 U 0 0 0 eth1
0.0.0.0 109.124.10.1 0.0.0.0 UG 0 0 0 eth0

[lexalex]

Серега Кузьмин: ну что-то вы плохо объясняете. В вопросе вообще ничего не было сказано про сеть 10.8.0.0
Значит показывайте:
/ip firewall nat print
/ip address print
/ip route print

[Серега Кузьмин]

/ip firewall nat print
Flags: X - disabled, I - invalid, D - dynamic
0 ;;; default configuration
chain=srcnat action=masquerade out-interface=ether1-gateway

1 chain=srcnat action=masquerade out-interface=ovpn-pol

[lexalex]

всё, как я и предполагал.
выключаем нат /ip firewall nat disable 1
удаляем неверный маршрут /ip route remove 3
добавляем верный /ip route add dst-address=192.168.0.0/24 gateway=10.8.0.5
удаляем неверный на сервере route delete -net 192.168.1.0
добавляем маршрут на сервере route add 192.168.1.0/24 gw 10.8.0.6
p.s. с корректностью команд для centos могу ошибаться

[Серега Кузьмин]

Спасибо вечером попробую.отпишусь!

[Серега Кузьмин]

lexalex: ]# route add -net 192.168.1.0/24 gw 10.8.0.5
SIOCADDRT: Нет такого процесса

[Серега Кузьмин]

Сервер не видит gw 10.8.0.5 но зато видит 10.8.0.6 брет какой то

[lexalex]

Серега Кузьмин: я вам так и написал route add 192.168.1.0/24 gw 10.8.0.6
зачем вы в качестве шлюза 10.8.0.5 указываете?

[Серега Кузьмин]

lexalex: route add -net 192.168.1.0/24 gw 10.8.0.6
SIOCADDRT: Нет такого процесса
Тоже самое

[lexalex]

Серега Кузьмин: ничего не понимаю
пришлите ещё раз netstat -arn
и ifconfig

[Серега Кузьмин]

Destination Gateway Genmask Flags MSS Window irtt Iface
10.8.0.2 0.0.0.0 255.255.255.255 UH 0 0 0 tun0
10.8.0.0 10.8.0.2 255.255.255.0 UG 0 0 0 tun0
192.168.0.0 0.0.0.0 255.255.255.0 U 0 0 0 eth1
109.124.10.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0
169.254.0.0 0.0.0.0 255.255.0.0 U 0 0 0 eth0
169.254.0.0 0.0.0.0 255.255.0.0 U 0 0 0 eth1
0.0.0.0 109.124.10.1 0.0.0.0 UG 0 0 0 eth0

[lexalex]

Серега Кузьмин: погуглил, вроде нужно указывать ещё интерфейс как-то так: route add -net 192.168.1.0/24 gw 10.8.0.6 dev tun0

[lexalex]

Серега Кузьмин: судя по этой информации, ip-адрес микротика в тунеле 10.8.0.2, у сервера 10.8.0.1, а по приведенному ранее /ip address print, у микротика должен быть адрес 10.8.0.6, у сервера 10.8.0.5. Либо что-то я не понимиаю, либо ip-адреса поменялись, либо схема подключения на самом деле отличается от той, что вы описали

[Серега Кузьмин]

lexalex: Микротик 10.8.0.6 gw 10.8.0.6 CentOS 10.8.0.1 gw 10.8.0.2 Как то так.Из сети 192.168.0.1 микротик доступен по адресу 10.8.0.6

[lexalex]

Серега Кузьмин: Если мирокти подключен, то он должен появиться в выводе ifconfig c интерфейсом tunX (где x - любое число) и адресом: 10.8.0.5 P-t-P:10.8.0.6. Тогда почему его нет?
также я не понял что такое "10.8.0.1 gw 10.8.0.2" ?

[Серега Кузьмин]

lexalex: Если мирокти подключен, то он должен появиться в выводе ifconfig c интерфейсом tunX (где x - любое число) и адресом: 10.8.0.5 P-t-P:10.8.0.6. Тогда почему его нет?Не знаю может быть.
Как я понимаю это адрес сервера OpenVpn и его gateway типа так же как на микротике.

[Серега Кузьмин]

mode server
port 1194
proto tcp-server
dev tun

ca /etc/openvpn/keys/ca.crt
cert /etc/openvpn/keys/Pol.crt
key /etc/openvpn/keys/Pol.key
dh /etc/openvpn/keys/dh1024.pem

server 10.8.0.0 255.255.255.0

ifconfig 10.8.0.1 10.8.0.2

ifconfig-pool-persist ipp.txt

client-config-dir /etc/openvpn/ccd

push "route 192.168.0.0 255.255.255.0"

push "redirect-gateway def1 bypass-dhcp"

push "dhcp-option DNS 192.168.0.1"

route 192.168.1.0 255.255.255.0 10.8.0.1
client-to-client

keepalive 10 120

cipher AES-256-CBC
auth sha1

tun-mtu 1500
mssfix 1450

user nobody
group nobody

[lexalex]

Серега Кузьмин: оказывается в вашем случае openvpn работает в таком режиме, что создаётся один виртуальный интерфейс tun0 и все клиентские подключения работают через него, не создавая очередной интерфейс tun1, tun2.. У него ip-адрес 10.8.0.1 а шлюз 10.8.0.2. Значит нам нужен маршрут через него: route add -net 192.168.1.0/24 gw 10.8.0.2 dev tun0.

[Серега Кузьмин]

Добавил но не заработало((

[Серега Кузьмин]

lexalex:Кто то туда стучится)))

31 messages not shown)
may/01/2015 02:53:25 system,error,critical login failure for user root from 218.87.111.109 via ssh
may/01/2015 02:53:26 system,error,critical login failure for user root from 218.87.111.109 via ssh
may/01/2015 02:53:29 system,error,critical login failure for user root from 218.87.111.109 via ssh
may/01/2015 02:53:29 system,error,critical login failure for user root from 218.87.111.109 via ssh
may/01/2015 02:53:29 system,error,critical login failure for user root from 218.87.111.109 via ssh
may/01/2015 02:53:33 system,error,critical login failure for user root from 218.87.111.109 via ssh
may/01/2015 02:53:33 system,error,critical login failure for user root from 218.87.111.109 via ssh
may/01/2015 02:53:33 system,error,critical login failure for user root from 218.87.111.109 via ssh

[lexalex]

Серега Кузьмин: как проверяете? попробуйте пропинговать с микротика сервер так:
ping src-address=192.168.0.5 10.8.0.1

[lexalex]

Серега Кузьмин: если порт ssh открыт всем в интернете, то неудевительно, всегда рано или поздно кто-то ломится

[Серега Кузьмин]

lexalex: Вечером попробую, пока не когда.Я вчера все запрещающие правила firewalla отключал.

[Серега Кузьмин]

lexalex: ping src-address=192.168.0.5 10.8.0.1 Тишина.При настройке OpenVpn клиента нужна галочка add default route ??

[lexalex]

Серега Кузьмин: add default route в вашем случае не нужно. что же делать-то.. присылайте по новой все таблицы маршрутизации, айпи адреса, правила файрволла и ната, посмотрю может где ошибка

[Серега Кузьмин]

lexalex: CentOS server

10.8.0.2 0.0.0.0 255.255.255.255 UH 0 0 0 tun0
192.168.1.0 10.8.0.2 255.255.255.0 UG 0 0 0 tun0
10.8.0.0 10.8.0.2 255.255.255.0 UG 0 0 0 tun0
192.168.0.0 0.0.0.0 255.255.255.0 U 0 0 0 eth1
109.124.10.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0
169.254.0.0 0.0.0.0 255.255.0.0 U 0 0 0 eth0
169.254.0.0 0.0.0.0 255.255.0.0 U 0 0 0 eth1
0.0.0.0 109.124.10.1 0.0.0.0 UG 0 0 0 eth0

[Серега Кузьмин]

ip firewall nat print
Flags: X - disabled, I - invalid, D - dynamic
0 ;;; default configuration
chain=srcnat action=masquerade out-interface=ether1-gateway

1 X chain=srcnat action=masquerade out-interface=ovpn-pol

[Серега Кузьмин]

Как на ваш взгляд со стороны микротика все хорошо

[lexalex]

Серега Кузьмин: удалите 3 и 5 маршруты на микротике. И я вам не верную команду для пинга дал. Вот эту запустите ping src-address=192.168.1.5 10.8.0.1

[lexalex]

Серега Кузьмин: если не поможет пришлите результат iptables --list

[Серега Кузьмин]

lexalex: 3 маршрут удалить не удается 5 удалил
ping src-address=192.168.1.5 10.8.0.1
SEQ HOST SIZE TTL TIME STATUS
0 10.8.0.1 56 64 12ms
1 10.8.0.1 56 64 10ms
2 10.8.0.1 56 64 5ms
3 10.8.0.1 56 64 4ms

[lexalex]

Серега Кузьмин: это уже хорошо. Теперь ping src-address=192.168.1.5 192.168.0.5, если пинг будет, то проверьте пинг с любого компьютера в сети 192.168.1.0 до 192.168.0.5, если всё ок, то теперь проверьте связь до любого компьютера в сети 192.168.0.0

[Серега Кузьмин]

lexalex: Да пингуеться.Из сети 192.168.1.0 все идет в сеть 192.168.0.0. а вот из сети 192.168.0.0 в сеть 192.168.1.0 пинга нет(((

[lexalex]

Серега Кузьмин: /ip firewall filter print
iptables --list
в студию

[Серега Кузьмин]

lexalex:
0 ;;; Allow Ping
chain=input action=accept protocol=icmp log=no log-prefix=""

1 chain=forward action=accept protocol=icmp log=no log-prefix=""

2 ;;; Accept established connections
chain=input action=accept connection-state=established log=no log-prefix=""

3 chain=forward action=accept connection-state=established log=no log-prefix=""

4 ;;; Accept related connections
chain=input action=accept connection-state=related log=no log-prefix=""

5 chain=forward action=accept connection-state=related log=no log-prefix=""

6 ;;; Drop invalid connections
chain=input action=drop connection-state=invalid log=no log-prefix=""

7 chain=forward action=drop connection-state=invalid log=no log-prefix=""

8 ;;; Allow UDP
chain=input action=accept protocol=udp log=no log-prefix=""

9 chain=forward action=accept protocol=udp log=no log-prefix=""

10 ;;; Access to Internet from local network
chain=forward action=accept src-address=192.168.1.0/24 in-interface=ether2 log=no log-prefix=""

11 ;;; Access to Mikrotik only from our local network
chain=input action=accept src-address=192.168.0.0/16 log=no log-prefix=""

12 chain=input action=accept connection-state=new protocol=tcp src-address-list=whitelist
in-interface=ether1-gateway dst-port=80 log=no log-prefix=""

13 chain=input action=drop connection-state=new protocol=tcp in-interface=ether1-gateway dst-port=80
log=no log-prefix=""

14 ;;; All other drop
chain=input action=drop log=no log-prefix=""

15 chain=forward action=drop log=no log-prefix=""

[Серега Кузьмин]

[root@static-user-109-124-10-48 openvpn]# iptables --list
Chain INPUT (policy DROP)
target prot opt source destination
FW-INPUT all -- anywhere anywhere
FW-FORWARD all -- anywhere anywhere
ACCEPT all -- anywhere anywhere state RELATED,ESTABLISHED
REJECT all -- anywhere anywhere reject-with icmp-host-prohibited

Chain FORWARD (policy DROP)
target prot opt source destination
TCPMSS tcp -- anywhere anywhere tcp flags:SYN,RST/SYN TCPMSS clamp to PMTU
FW-FORWARD all -- anywhere anywhere
ACCEPT all -- anywhere anywhere state RELATED,ESTABLISHED
REJECT all -- anywhere anywhere reject-with icmp-host-prohibited

Chain OUTPUT (policy ACCEPT)
target prot opt source destination

Chain FW-FORWARD (2 references)
target prot opt source destination
ACCEPT all -- anywhere anywhere
ACCEPT icmp -- anywhere anywhere icmp any
ACCEPT all -- 192.168.0.0/16 192.168.0.0/16
ACCEPT all -- 10.8.0.0/24 10.8.0.0/24
ACCEPT all -- 192.168.0.0/16 anywhere
ACCEPT all -- 10.8.0.0/24 anywhere
ACCEPT tcp -- anywhere anywhere tcp dpt:ms-wbt-server
ACCEPT tcp -- anywhere anywhere tcp dpt:http

Chain FW-INPUT (1 references)
target prot opt source destination
ACCEPT all -- anywhere anywhere
ACCEPT icmp -- anywhere anywhere icmp any
ACCEPT tcp -- anywhere anywhere state NEW tcp dpt:ssh
ACCEPT tcp -- anywhere anywhere tcp dpt:domain
ACCEPT udp -- anywhere anywhere udp dpt:domain
ACCEPT tcp -- 192.168.0.0/24 anywhere tcp dpt:http
ACCEPT tcp -- 192.168.0.0/24 anywhere tcp dpt:ntp
ACCEPT udp -- 192.168.0.0/24 anywhere udp dpt:ntp
ACCEPT all -- anywhere anywhere
ACCEPT tcp -- anywhere anywhere tcp dpt:openvpn

[lexalex]

Серега Кузьмин: вроде всё ок. На всякий случай спрошу, на компьютерах указан шлюз? firewall включен? icmp запросы из другой сети не могут блокироваться на них?

Мне не понятно почему ping src-address=192.168.1.5 192.168.0.5 есть, а обратного нет. Т.к. если icmp ответ приходит, значит маршруты нужные прописаны и они корректны, соответсвтенно и пинг из сети сервера должен проходить.

Проверьте пинг с сервера так ping -I 192.168.0.5 192.168.1.5 есть?
При этом запустите сниффер на микротике, приходят ли icmp пакеты от 192.168.0.5?

Такое возможно ещё, если включен нат на стороне сервера, но, если я правильно понимаю, в выводе команды iptables --list тогда присутствовать такие правила, но их нет. Если всё так, остается одно - настройки сервера openvpn. Команда iroute 192.168.1.0 255.255.255.0 есть в файле расположенном в /etc/openvpn/ccd?

[Серега Кузьмин]

lexalex: iroute 192.168.1.0 255.255.255.0 есть в файле расположенном в /etc/openvpn/ccd? Есть!
ping -I 192.168.0.5 192.168.1.5 Тишина.(сли icmp ответ приходит, значит маршруты нужные прописаны и они корректны, соответсвтенно и пинг из сети сервера должен проходить) Полностью с вами согласен!
Там еще есть один момент.Ранее два филиала были связаны по VPN на входах стоял WIN2003 IIS2004 ))
Было принято решения избавиться от винды на входе так как они еще и контролеры домена))Прошлому амину зачет))Ну так вот в главном здании установлен CentOS в филиале микротик, но сервера работают с включенным IIS (так как там прокся) остались просто отключены WAN сетевки.Может на как обычно где ни будь пакастит вина?)) Сейчас задача зделать нормальный туннель настроить доверия доменов перегнать все в один домен избавиться от сервака в филиале.

[Серега Кузьмин]

С Packet Sniffer пока не разобрался почему то при старте файл не создается.

[lexalex]

Серега Кузьмин: ещё погуглил, похоже iptables --list не показывает правила ната. Покажите iptables -t nat -n -L
и ещё раз netstat -arsn

[Серега Кузьмин]

lexalex: Chain POSTROUTING (policy ACCEPT)
target prot opt source destination
MASQUERADE all -- 192.168.0.0/16 0.0.0.0/0
MASQUERADE all -- 10.8.0.0/24 0.0.0.0/0

Chain OUTPUT (policy ACCEPT)
target prot opt source destination

[Серега Кузьмин]

lexalex: Destination Gateway Genmask Flags MSS Window irtt Iface
10.8.0.2 0.0.0.0 255.255.255.255 UH 0 0 0 tun0
10.8.0.0 10.8.0.2 255.255.255.0 UG 0 0 0 tun0
192.168.1.0 10.8.0.1 255.255.255.0 UG 0 0 0 tun0
192.168.0.0 0.0.0.0 255.255.255.0 U 0 0 0 eth1
109.124.10.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0
169.254.0.0 0.0.0.0 255.255.0.0 U 0 0 0 eth0
169.254.0.0 0.0.0.0 255.255.0.0 U 0 0 0 eth1
0.0.0.0 109.124.10.1 0.0.0.0 UG 0 0 0 eth0

[lexalex]

Серега Кузьмин: можете временно убрать эти правила?:
MASQUERADE all -- 192.168.0.0/16 0.0.0.0/0
MASQUERADE all -- 10.8.0.0/24 0.0.0.0/0

по идее в этих правилах и должна быть проблема, т.к. при передаче icmp в сеть 192.168.1.0, в пакете подменяется src dst адрес на 10.8.0.1 и ответ уже приходит как бы от другого хоста

если пинги не начнуть ходить, измените ещё 192.168.1.0 10.8.0.1 255.255.255.0 UG 0 0 0 tun0 на 192.168.1.0 10.8.0.2 255.255.255.0 UG 0 0 0 tun0 (вы раньше это делали по моему совету, но похоже перезапускали сервер или openvpn)

[Серега Кузьмин]

Kernel IP routing table
Destination Gateway Genmask Flags MSS Window irtt Iface
10.8.0.2 0.0.0.0 255.255.255.255 UH 0 0 0 tun0
192.168.1.0 10.8.0.2 255.255.255.0 UG 0 0 0 tun0
10.8.0.0 10.8.0.2 255.255.255.0 UG 0 0 0 tun0
192.168.0.0 0.0.0.0 255.255.255.0 U 0 0 0 eth1
109.124.10.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0
169.254.0.0 0.0.0.0 255.255.0.0 U 0 0 0 eth0
169.254.0.0 0.0.0.0 255.255.0.0 U 0 0 0 eth1
0.0.0.0 109.124.10.1 0.0.0.0 UG 0 0 0 eth0

[Серега Кузьмин]

lexalex: Сделал не работает.Подскажи в чем ошибка проброса RDP мой добавлен в whitelist

0 ;;; Allow Ping
chain=input action=accept protocol=icmp log=no log-prefix=""

1 chain=forward action=accept protocol=icmp log=no log-prefix=""

2 ;;; Accept established connections
chain=input action=accept connection-state=established log=no log-prefix=""

3 chain=forward action=accept connection-state=established log=no log-prefix=""

4 ;;; Accept related connections
chain=input action=accept connection-state=related log=no log-prefix=""

5 chain=forward action=accept connection-state=related log=no log-prefix=""

6 ;;; Drop invalid connections
chain=input action=drop connection-state=invalid log=no log-prefix=""

7 chain=forward action=drop connection-state=invalid log=no log-prefix=""

8 ;;; Allow UDP
chain=input action=accept protocol=udp log=no log-prefix=""

9 chain=forward action=accept protocol=udp log=no log-prefix=""

10 ;;; Access to Internet from local network
chain=forward action=accept src-address=192.168.1.0/24 in-interface=ether2 log=no log-prefix=""

11 ;;; RDP
chain=forward action=accept protocol=tcp src-address-list=whitelist in-interface=ether1-gateway dst-port=3389 log=no log-prefix=""

12 ;;; Access to Mikrotik only from our local network
chain=input action=accept src-address=192.168.0.0/16 log=no log-prefix=""

13 chain=input action=accept connection-state=new protocol=tcp src-address-list=whitelist in-interface=ether1-gateway dst-port=80 log=no log-prefix=""

14 chain=input action=drop connection-state=new protocol=tcp in-interface=ether1-gateway dst-port=80 log=no log-prefix=""

15 X chain=forward action=drop protocol=tcp in-interface=ether1-gateway dst-port=3389 log=no log-prefix=""

16 ;;; All other drop
chain=input action=drop log=no log-prefix=""
-- [Q quit|D dump|down]

;;; RDP
chain=dstnat action=dst-nat to-addresses=192.168.1.1 to-ports=3389 protocol=tcp in-interface=ether1-gateway dst-port=3389 log=yes log-prefix=""

1 ;;; default configuration
chain=srcnat action=masquerade out-interface=ether1-gateway log=no log-prefix=""

2 chain=srcnat action=masquerade src-address=192.168.1.0/24 out-interface=ovpn-polygon log=no log-prefix=""

[lexalex]

Серега Кузьмин: потому что порядок обработки пакетов следующий:
1. Входящие пакеты
2. Маршрутизируемые пакеты
3. Исходящие

Ты разрешает маршрутизировать пакеты rdp пришедшие с айпи адреса из списка, но до маршрутизации пакет не доходит и отбрасывается правилом №16.

По поводу основного вопроса. Вот ты сейчас снова привёл правила нат микротика и из них видно, что опять включен нат пакетов отправляемых чере опенвпн... Чтобы связь между сетями работала как нужно, требуется отключения ната с обоих сторон! Будь внимательней!
Отключай правило ната №2 на микротике и все правиле на сервере и проверяй заного

[Серега Кузьмин]

lexalex:
Правило ната 2 отключил не помогло. Не совсем понял куда правило RDP поставить правило №16 выключал не помогло сейчас все дела обстоят так (правило 14 и 15 работают)

0 ;;; Allow Ping
chain=input action=accept protocol=icmp log=no log-prefix=""

1 chain=forward action=accept protocol=icmp log=no log-prefix=""

2 ;;; Accept established connections
chain=input action=accept connection-state=established log=no log-prefix=""

3 chain=forward action=accept connection-state=established log=no log-prefix=""

4 ;;; Accept related connections
chain=input action=accept connection-state=related log=no log-prefix=""

5 chain=forward action=accept connection-state=related log=no log-prefix=""

6 ;;; Drop invalid connections
chain=input action=drop connection-state=invalid log=no log-prefix=""

7 chain=forward action=drop connection-state=invalid log=no log-prefix=""

8 ;;; Allow UDP
chain=input action=accept protocol=udp log=no log-prefix=""

9 chain=forward action=accept protocol=udp log=no log-prefix=""

10 ;;; Access to Internet from local network
chain=forward action=accept src-address=192.168.1.0/24 in-interface=ether2 log=no log-prefix=""

11 ;;; Access to Mikrotik only from our local network
chain=input action=accept src-address=192.168.0.0/16 log=no log-prefix=""

12 ;;; RDP
chain=forward action=accept connection-state=established protocol=tcp dst-address=192.168.1.1
src-address-list=whitelist in-interface=ether1-gateway dst-port=3389 log=no log-prefix=""

13 chain=forward action=drop protocol=tcp in-interface=ether1-gateway dst-port=3389 log=no
log-prefix=""

14 ;;; web-interface
chain=input action=accept connection-state=new protocol=tcp src-address-list=whitelist
in-interface=ether1-gateway dst-port=80 log=no log-prefix=""

15 chain=input action=drop connection-state=new protocol=tcp in-interface=ether1-gateway dst-port=80
log=no log-prefix=""

16 ;;; All other drop
chain=input action=drop log=no log-prefix=""

17 chain=forward action=drop log=no log-prefix=""

[lexalex]

Серега Кузьмин: нужно добавить такое же разрешающее правило для rdp но chain=input перед 16 и 17. 14 правило работает потому что пакеты не нуждаются в маршрутизации, т.к. вы обращаетесь к микротику.

[lexalex]

Серега Кузьмин: по основному вопросу либо закрываем обсуждение, либо давайте доступ буду смотреть.

[Серега Кузьмин]

Доступ по TeamViwer пойдет!Куда ID и пароль скинуть?

[Серега Кузьмин]

lexalex: мой skype: ziranec

Answer 2

[gorczko]

Правильно. Включен NAT на микротике. Необходимо прописать маршруты из сети 192.168.0.1 в сеть 192.168.1.0.
Должны быть присвоены адреса сетевым интерфейсам.

/ ip address 
add address=192.168.0.1/24 network=192.168.0.0 broadcast=192.168.0.255 \
    interface=ether1 comment="local 0" disabled=no 
add address=182.168.1.1/24 network=192.168.1.0 broadcast=192.168.1.255 \
    interface=ether2 comment="local 1" disabled=no

Далее нужно прописать маршруты.

/ip route
add disabled=no distance=1 dst-address=192.168.0.0/24 gateway=192.168.0.1 \
routing-mark=lan1_rout scope=30 target-scope=10
add disabled=no distance=1 dst-address=192.168.1.0/24 gateway=192.168.1.1 \
routing-mark=lan2_rout scope=30 target-scope=10

Для клиентов надо будет указать шлюзы по умолчанию, соответственно, для их подсетей.
Либо, если хотите вообще объединить обе сети, измените маску на /16.
В помощь будет нелишним почитать тут и тут.

Comments

[Серега Кузьмин]

можно подробней?именно на микротике?

[Серега Кузьмин]

add address=192.168.0.1/24 network=192.168.0.0 broadcast=192.168.0.255 \
interface=ether1 comment="local 0" disabled=no
Зачем? У меня нет физического подключения к сети 192.168.0.1/24