VPN MikroTik — как разделить трафик?

Question

[JaHher]

Добрый день, товарищи.
Дело в следующем:
Есть основной микротик с белой статикой(точнее его еще нет, думаю какой будет лучше). И много филиалов - более 30, в каждом тоже стоят микротики типа RB750. Подсети в каждом филиале разные.
Хочется поднять VPN с основным микротиком в качестве сервера, остальные микротики - клиентами. Но хочется чтобы не весь трафик ходил через туннель, а только с определенных ip-адресов локальной сети клиента. Т.е. основной трафик ходил также через провайдера, а только некоторые ip адреса через VPN. Также есть мысль пускать весь http трафик через проксю на proxy-сервер поднятый на том же основном микротике.
Прошу помощи в настройке и совета модели основного микротика.

Answer 1

[Клёвый Админ]

Коллега, в целом настроить туннели и поднять маршрутизацию можно без особых проблем. Используйте l2tp (если со стороны клиента "серость") или GRE (если со стороны клиента белые адреса), плюс шифрование IPSec в транспортном режиме. Маршруты делаете либо статикой (но на 30+ это то ещё занятие), либо поднимите OSPF (в целом это просто).

Для маршрутизации отдельных клиентов или отдельного типа трафика - просто используйте отдельные таблицы маршрутизации и маркировку трафика в mangle. Никакой прокси в таком случае будет не нужно.
Если подробнее, то:
1. Туннели подняли, настроили маршруты.
2. Создали отдельную таблицу маршрутизации, где шлюзом по умолчанию будет адрес из туннеля центрального микротика
3. Создали mangle правило mark route где в критериях выбираете нужный вам трафик (либо весь, либо конкретный от конкретного клиента \ протокола \ порта) и в действии указываете вот ту самую таблицу маршрутизации. Такое действие отправит отмеченый трафик в центр, откуда он уйдёт наружу через провайдера в центре.

Comments

[JaHher]

Спасибо за оперативный ответ. Я только начинаю использовать микротики, по этому хочу попросить больше конкретики. Желательно кодом)
Допустим:
Основной MikroT1 - внешний ip 11.11.11.11, локалка - 192.168.0.0/24
Клиент MikroT2 - внешний ip 22.22.22.22, локалка 10.0.0.0/24
-ip который пойдет через туннель 10.0.0.10 и будет доступен всем из 192.168.0.0/24
-весь http трафик также пойдет через тоннель
Клиент MikroT2 - внешний ip 33.33.33.33, локалка 20.0.0.0/24
-ip который пойдет через туннель 20.0.0.20 и будет доступен всем из 192.168.0.0/24
-весь http трафик также пойдет через тоннель
А прокся была задумана для того чтобы блокировать сайты, можно ли это делать с помощью VPN? Еще хочу резать скорость скачивания и блокировать скачивание допустим все *.exe.
Заранее спасибо

[JaHher]

Забыл добавить: везде статика и "белость"

[efkot]

Евгений Быченко вы заикались по статьям на тему микротика, у меня есть похожая ситуация по этому хотелось бы на тему OSPF

[Клёвый Админ]

JaHher: такс, давай код я не буду писать, мне лень сверяться с консолью, но вот что нужно сделать:

На основном:
1. Поднимает l2tp сервер (или GRE туннель), настаиваем профиль подключения, добавляем пользователя или пользователей ppp
2. Разрешаем трафик до VPN сервера (входящий на 1701 порт для l2tp, 4500 и 500 для ipsec, GRE - для угадай чего)
3. Разрешаем исходящий
4. Исключаем из NAT трафик между сетями (всеми локальными и транзитными)
5. Добавляешь маршрут до сети клиентского устройства, где шлюз, через которую эта сеть достижима будет адрес клиентского микротика внутри туннеля

На любом клиентском ситуация такая:
1. Если у тебя локальная сеть 10.0.0.0/24, то транзитная сеть (та что будет идти в туннеле) должны быть иной, например 10.1.0.0/24.
2. Создаёшь в интерфейсах l2tp клиента (или GRE туннель), натравливаешь его на основной белый адрес, указываешь реквизиты доступа. Для l2tp адреса сети в туннели он получить от основного, для GRE прописываешь адреса с обоих сторон сам.
3. Разрешаешь трафик входящий, исходящий и выкидываешь такой трафик из НАТ.
4. Добавляешь маршрут на клиентском до сети основного устройства, где шлюз, через которую эта сеть достижима будет адрес основного микротика внутри туннеля

Всё для начала готово, трафик между устройствами внутри сети клиентского микротика и устройствами внутри сети основного должен пойти.

Второй этап это поворот нужного тебе трафика через интернет на основном, к нему подойдём после того как это сейчас сделаешь.

[JaHher]

Евгений Быченко: К сожалению сделать этого не могу, потому как основного еще нет. Хочу быть готовым и умелым до покупки основного.
VPN соединение я поднимал. Проблема в том, что весь интрнет начинает ходить через сервер VPN.
Как выкинуть трафик из NAT?

[Клёвый Админ]

JaHher: создать правило в таблице NAT с действием Accept.

Берёте виртуалку и начинаете учиться. Микротик прекрасно работает внутри виртуалбокса. Каждая машина сможет работать 40-к часов непрерывно (или кучу времени с откатом назад или приостановками).

Задавая вопросы (просто задавая вопросы) на тостере не научится настраивать маршрутизацию по туннелям. Нужно обязательно пробовать и черпать знания в других источниках.

[Антон]

JaHher: вы хотите научиться тра..аться в теории? (ржу, канешн)))
от покупки основного вас отделяет нагрузка на него: это или http://микротик.рф/katalog/oborudovanie_mikrotik/c... ,
или уровня ядра сети: http://микротик.рф/katalog/marshrutizatory_1/ccr10...

[Клёвый Админ]

Антон: метафора отличная =)

[JaHher]

Евгений Быченко: а метафора и правда хороша)))

Answer 2

[bukass]

Прошу помощи в настройке и совета модели основного микротика.

Приобретите routerOS и установите на x86.

Comments

[Антон]

ну как вариант..

Answer 3

[Антон]

в общем случае, судя по вашим вопросам, подойдет таки этот аппарат: http://микротик.рф/katalog/oborudovanie_mikrotik/c...

Comments

[Антон]

ну, если стойки нет, то этот: http://микротик.рф/katalog/oborudovanie_mikrotik/c... бонусом вай фай вшитый

[JaHher]

А что скажете про этот: xn--h1aafbgonr.xn--p1ai/katalog/marshrutizatory_1/...

[Антон]

JaHher: и этого вам тоже хватит, если только не будете параноидально весь траффик филиалов(которых больше 30) оборачивать в ipsec и выпускать через свой канал.. хотя, если voip нет и филиалы shareman'ом не пользуются - то берите)