IPSec + Mikrotik, почему не работает?

Question

[Геннадий]

Хочу настроить туннель IPSec между двумя микротиками. Делаю все по мануалу с официальной вики.

на микротиках были выполнены следующие команды

(xx.xx.xx.xx белый ip первого офиса, yy.yy.yy.yy - второго, 192.168.1.x подсеть первого офиса, 192.168.87.x - втрого)

office 1

/ip ipsec peer
add address=yy.yy.yy.yy/32 port=500 auth-method=pre-shared-key secret="/u]45ms]E>0@W<1C^&7dffaoep{h2]krrNxQG+YCwe~HT;"

/ip ipsec policy
add src-address=192.168.1.0/24 src-port=any dst-address=192.168.87.0/24 dst-port=any \
sa-src-address=xx.xx.xx.xx sa-dst-address=yy.yy.yy.yy \
tunnel=yes action=encrypt proposal=default

/ip firewall nat
add chain=srcnat action=accept place-before=0 \
src-address=192.168.1.0/24 dst-address=192.168.87.0/24

office 2

/ip ipsec peer
add address=xx.xx.xx.xx/32 port=500 auth-method=pre-shared-key secret="/u]45ms]E>0@W<1C^&7dffaoep{h2]krrNxQG+YCwe~HT;"

/ip ipsec policy
add src-address=192.168.87.0/24 src-port=any dst-address=192.168.1.0/24 dst-port=any \
sa-src-address=yy.yy.yy.yy sa-dst-address=xx.xx.xx.xx \
tunnel=yes action=encrypt proposal=default

/ip firewall nat
add chain=srcnat action=accept place-before=0 \
src-address=192.168.87.0/24 dst-address=192.168.1.0/24

После проделанных манипуляций ничего не происходит, в installed sa пусто, подсети не пингуются (из одного офиса в другом). Версия ROS 6.30.2 (на обоих микротиках). Все уже перерыл, никак не могу понять, может кто подскажет?

Comments

[Владислав]

А это правило зачем? /ip firewall nat
add chain=srcnat action=accept place-before=0 \
src-address=192.168.1.0/24 dst-address=192.168.87.0/24

[Геннадий]

Что бы не натились запросы в подсеть другого офиса, иначе ipsec пакеты с изменным заголовком отбрасывает

Answer 1

[Владислав]

Вообще в Mikrotik ipsec лучше использовать в виде транспорта. А туннель организовать к примеру с помощью протокола GRE.

Comments

[Геннадий]

Не подскажите мануал какой нибудь годный? Искал в связке l2tp+ipsec. но там делают то же что и я + зачем то туннель l2tp

[Владислав]

office 1

/ip ipsec peer
add address=yy.yy.yy.yy/32 local-address=xx.xx.xx.xx/32 port=500 auth-method=pre-shared-key secret="/u]45ms]E>0@W<1C^&7dffaoep{h2]krrNxQG+YCwe~HT;"

/ip ipsec policy
add src-address=xx.xx.xx.xx src-port=any dst-address=yy.yy.yy.yy dst-port=any \
sa-src-address=xx.xx.xx.xx sa-dst-address=yy.yy.yy.yy \
tunnel=yes action=encrypt proposal=default
/interface gre add local-address=xx.xx.xx.xx remote-address=yy.yy.yy.yy name=to-office2
/ip address add address=192.168.1.1/30
/ip route add dst-address=192.168.87.0/24 gateway=192.168.1.2

Ну и аналогично в офисе 2., 192.168.1.2 - это ip gre-туннеля в офисе 2.

[Владислав]

Помарка,
/ip ipsec policy
add src-address=xx.xx.xx.xx src-port=any dst-address=yy.yy.yy.yy dst-port=any \
sa-src-address=xx.xx.xx.xx sa-dst-address=yy.yy.yy.yy \
tunnel=NO action=encrypt proposal=default

[Владислав]

/ip address add address=192.168.1.1/30 interface=to-office2

[Геннадий]

Т.е. в моем случает GRE туннелю я назначаю другие адреса (например 192.168.5.1 и 192.168.5.2 и добавляю маршрут? Ну и в настройках политик ставлю режим транспорта?

[Геннадий]

Поднял GRE туннель, прописал маршруты - все работает (сети видят друг друга). Но, ели включаю ipsec пиры и политики сети видеть друг друга перестают и я даже не могу подрубиться к удаленному роутеру. При этом в installed sa появляются записи, но в колонках Auth Algoritm и Encr. Algoritm написано none. Посоветуете что нибудь? Спасибо

[Владислав]

Проверьте proposal и ipsec peer настройки шифрования должны быть идентичны.

Answer 2

[Антон]

xx.xx.xx.xx белый ip первого офиса, yy.yy.yy.yy - второго, 192.168.1.x подсеть первого офиса, 192.168.87.x - второго
первый офис - ведущий маршрутизатор, второй - ведомый
транспортная подсеть - 192.168.222.x

***ТРАНСПОРТ***

на первом маршрутизаторе:

/interface pptp-server server set enabled=yes

создаём на этом сервере профиль и аккаунт:

/ppp profile add name=RemoteOffice only-one=yes use-compression=yes use-encryption=yes use-vj-compression=yes comment="Profile for RemoteOffice"

/ppp secret add name=RemoteOfficeLogin password=RemoteOfficePassword local-address=192.168.222.100 remote-address=192.168.222.200 service=pptp profile=RemoteOffice comment="PPTP for RemoteOffice"

для клиента хорошо бы создать "собственный PPTP сервер":

/interface pptp-server add name=RemoteOffice user=RemoteOfficeLogin comment="PPTP Server for RemoteOffice"

на файерволе первого маршрутизатора открываем нужные порты:

/ip firewall filter add chain=input action=accept protocol=udp port=1701,500,4500 comment="Allow for PPTP Server"

на мосту включаем proxy-arp:

/interface bridge set 0 arp=proxy-arp

на втором маршрутизаторе добавляем новый интерфейс для подключения к нашему первому маршрутизатору:

/interface pptp-client add name=RemoteOffice connect-to=xx.xx.xx.xx user=RemoteOfficeLogin password=RemoteOfficePassword allow=mschap2 disabled=no comment="PPTP to MainOffice"

всё, линк есть

***IPSEC***

на первом маршрутизаторе

/ip firewall nat add chain=srcnat src-address=192.168.1.0/24 dst-address=192.168.87.0/24 out-interface=RemoteOffice action=masquerade comment="Nat for RemoteOffice"

/ip ipsec proposal add name=prop_2 auth-algorithms=sha1 enc-algorithms=3des lifetime=30m pfs-group=modp1024

/ip ipsec policy add src-address=192.168.1.0/24 dst-address=192.168.87.0/24 action=encrypt tunnel=yes sa-src-address=192.168.222.100 sa-dst-address=192.168.222.200 proposal=prop_2 level=require comment="Policy for RemoteOffice"

/ip ipsec peer add auth-method=pre-shared-key policy-template-group=default exchange-mode=aggressive send-initial-contact=yes nat-traversal=yes proposal-check=obey hash-algorithm=sha1 enc-algorithm=3des dh-group=modp1024 generate-policy=port-override lifetime=1d dpd-interval=120 dpd-maximum-failures=5 address=192.168.222.200 port=500 secret="dJt2wkSvD582" comment="Peer for RemoteOffice"

на втором маршрутизаторе

/ip firewall nat add chain=srcnat src-address=192.168.87.0/24 dst-address=192.168.1.0/24 out-interface=RemoteOffice action=masquerade

/ip ipsec proposal add name=prop_2 auth-algorithms=sha1 enc-algorithms=3des lifetime=30m pfs-group=modp1024

/ip ipsec policy add src-address=192.168.87.0/24 dst-address=192.168.1.0/24 action=encrypt tunnel=yes sa-src-address=192.168.222.200 sa-dst-address=192.168.222.100 proposal=prop_2 level=require

/ip ipsec peer add auth-method=pre-shared-key policy-template-group=default exchange-mode=aggressive send-initial-contact=yes nat-traversal=yes proposal-check=obey hash-algorithm=sha1 enc-algorithm=3des dh-group=modp1024 generate-policy=port-override lifetime=1d dpd-interval=120 dpd-maximum-failures=5 address=192.168.222.100 port=500 secret="dJt2wkSvD582" comment="Peer for MainOffice"

всё, траффик зашифрован

Comments

[Антон]

ну плюс маршруты: на первом - ip route add dst-address=192.168.87.0/24 gateway=RemoteOffice и на втором - ip route add dst-address=192.168.1.0/24 gateway=RemoteOffice

[Геннадий]

А зачем вы при добавлении политики указываете tunnel=yes, ведь туннелем здесь выступает pptp?

[Антон]

да, можно опустить

[Антон]

запустили с транспортом pptp или l2tp?
просто использование линков pptp или l2tp у провайдеров как правило не вызывает вопросов, а концы уже можно зашифровать.. некоторые фишки gre и подобного - рубятся бывает провайдерами, которые пропускают не весь icmp, а только часть.. но не рубят tcp и udp

Answer 3

[Клёвый Админ]

Порты открыты у вас? На вкладке IPSec - Remote Peers есть движения? Провайдер ничего не блокирует, адреса точно белые?

Comments

[Геннадий]

открыт порт 500 (udp) и ipsec-esp

[Клёвый Админ]

Геннадий: остально в ремот пирах есть?

[Геннадий]

Да, в remote peers соединение есть

Answer 4

[Геннадий]

Владислав и Антон! Спасибо! Ваши варианты оба работают, но я остановился на варианте с GRE туннелем.

И еще маленький вопрос, я так понимаю в случае серого айпи с одной строны, вариант Антона должен сработать?