Как настроить VPN клиент на микротик, только для одного порта и при этом иметь VPN-сервер на самом микротике?

Question

[Владимир Пазий]

Привет. Есть mikrotik rb-951 Есть задача, настроить OS Routerboard таким образом чтобы вставляя кабель в ноут трафик идущий по ether3 шел по VPN и при этом был изолирован от локальной сети из которой происходит подключение.
Т.е. есть корпоративная сетка, к которой иногда приходится подключаться из дома (с разных устройств по кабелю или вайфай, а надо сделать только по кабелю и через один порт). Сейчас для этого запускается openvpn на конечной машине. В настройках файла ovpn:

auth-user-pass
dev tun
remote ovpn.xxx.ru 1195 udp
remote ovpn.xxx.ru 443 tcp
client
resolv-retry infinite
comp-lzo no
persist-key
persist-tun
verb 3
setenv CLIENT_CERT 0

-----BEGIN CERTIFICATE-----
тут данные серта
-----END CERTIFICATE-----

Хочется чтобы вся домашняя локальная сеть работала как обычно, но если вставить шнур от компа в ether3, то автоматом бы эта машина попадала в корп сеть однако микротик не умеет udp.
При всем этом хочется поднять IPSEC сервер на микротике, чтобы находясь где-нибудь в чужой сетке со своим андроид смартфоном, подключаться к чужому вайфай, а весь интернет на него шел через свой микротик. Как все это организовать мне не понятно.

Answer 1

[Клёвый Админ]

1. Для начала, поднимите VPN от микротика до корп сети.
2. Потом отделите eth3 от вашей локальной сетки (скорее всего исправив свойство master port в настройках порта).
3. Затем через маршрутизацию и NAT заверните нужный трафик в туннель из п 1.

Эти настройки совершенно не конфликтуют со поднятым l2tp сервером покрытого IPSec шифрованием. Настройте его по вот этой подробной документации: blog.f1mikrotik.com/2014/08/18/l2tp-ipsec-vpn

Answer 2

[Grustnui]

Хочу добавить что на младших микротиках не очень мощный процессор и нету поддержки аппаратного шифрования, в результате скорость по vpn будет 2-5 мбит в зависимости от шифрования и модели.

Answer 3

[levinnsk]

Может кому поможет:
Соедините два микротика по протоколу EoIP Tunnel, создайте на клиентском микротике бридж отдельный на тунель и порт, который нужен. Проверено лично, комп полностью находится в локалке офиса и получает IP из офиса. Еесли есть желание можете добавить шифрование.
Но данный вариант только при наличии белых IP с двух сторон.