[РЕШЕНО] VPN (PPTP) поверх PPPoE на Mikrotik?

Question

[Ёж Туманный]

Доброго времени суток, %username%!

Дано:
* Mikrotik (hAP lite ver. 6.36rc40);
* Подключение к глобальной сети через провайдера по PPPoE на WAN порту;
* Реквизиты для подключения по PPTP к удаленному серверу.

PPPoE клиент настроен, доступ к глобальной сети имеется:

Необходимо:
* Поднять PPTP соединение с, например - hideme.ru, и пустить весь трафик через него;
* В случае недоступности PPTP соединения работать через простое PPPoE соединение (без VPN).

Что было сделано:
Пробовал настроить согласно мануалу, с опциональной попыткой пускать весь трафик по VPN, но - тщетно. Как только создаю "PPTP Client" на вкладке "PPP" (без "Add default route") - весь трафик сразу пытается томиться по VPN, и NAT masquarade для pptp-интерфейса не помогает.

В общем - я в некотором затруднении. Если тыкните ссылкой, или подскажете по мере подробный howto - буду чертовски признателен.

Answer 1

[iAzzy]

/ip route add dst-address=0.0.0.0/0 gateway=PPTP-интерфейс distance=10
/ip route add dst-address=0.0.0.0/0 gateway=PPPoE-интерфейс distance=20
/ip route add dst-address=(IP сервера PPPTP) gateway=PPPoE-интерфейс

add-default-route ни на одном интерфейсе не ставить

Comments

[Ёж Туманный]

К сожалению, нет, не работает вообще в таком случае

[Ёж Туманный]

Скрин: imgur.com/a/CjfTI

[Клёвый Админ]

Ёж Туманный: маскарадинг на обоих портах настроен?

[Клёвый Админ]

Ёж Туманный: плюс добавить маршрут до pptp сервера с минимальной дистанцией через pppoe интерфейс.

[Ёж Туманный]

Евгений Быченко: Вполне возможно что я где-то ошибаюсь в последовательности, плюс для каждого ответа (здесь, на тостере) приходится перенастраивать железку, что крайне неудобно для экспериментов.
Представим что в данный момент имеется лишь PPPoE соединение с провайдером, у которого стоят "Use peer DNS" и "Add default route". Маскарадинг - только на PPPoE. Роуты - все динамические, ничего не прописано ручками. PPPoE интерфейс под именем "pppoe-out1", PPTP - "pptp-private-vpn" (после подключения выдает IP из диапазона 10.0.0.2-10.0.0.50, сам откликается на 10.0.0.1).

Вот с этой отправной точки - что делаем? С микротиками и маршрутизацией, к сожалению, знаком очень поверхностно.

[Клёвый Админ]

Ёж Туманный: Начнём с изначальной рабочей конфигурации с PPPoE (и больше ничего). 1 Добавляем маршрут с дистанцией 1 до сервера PPTP (сервер это что-то в духе vpn.hideme.com - только в формате IP адреса) где шлюз = интерфейс PPPoE (это нужно, что бы само подключение PPTP поднялось без проблем и не падало после этого). 2. Добавляем сам клиент PPTP и ставим в его свойствах создание дефолтного маршрута, но метрику этого маршрута ставим -10 от текущей на PPPoE (к пример если на PPPoE поставили 20, тут ставим 10) - это направит весь трафик в новый туннель, а при его падении вернёт назад в PPPoE. 3. Добавляем маскарадинг для всего трафика, где исходящий интерфейс ppptp клиент - это позволит работать клиентам в локальной сети, и будет их маскировать.

[Ёж Туманный]

Евгений Быченко: Хорошо, допустим, что внешний IP VPN сервера у нас 1.2.3.4 (кстати, почему нельзя использовать доменное имя вместо адреса?). Таким образом, в терминале мы что делаем?
Ты прости, но словесное описание воспринимается значительно хуже, чем последовательность терминальных команд

[Клёвый Админ]

Ёж Туманный: открывай винбокс и шаг за шагом добавляй всё что я написал. Правила маршрутиза ции оперируют IP адресами, а не доменными именами. В настройках ВПН клиента (и, с недавних пор, в правилах файрвола) можно использовать ДНС имена, но не в маршрутизации.

Не вижу сложности в. Создать правило в маршрутах, поправить ещё две настройки в PPoE и PPTP клиентах и создать ещё одно правило в НАТ.

[Ёж Туманный]

Евгений Быченко: Спасибо за твой ответ! Давай посмотрим на то, как я это понял:

:global vpnInterfaceName "pptp-private-vpn";
:global vpnIPaddr "123.123.123.123";
:global vpnUsername "USERNAME";
:global vpnPassword "PASSWORD";
:global providerInterfaceName "pppoe-out1";

/interface pppoe-client set $providerInterfaceName default-route-distance=20 add-default-route=no comment="Provider"

/interface pptp-client add name="$vpnInterfaceName" connect-to="$vpnIPaddr" user="$vpnUsername" password="$vpnPassword" dial-on-demand=no add-default-route=yes default-route-distance=10 disabled=no comment="Private VPN"

/ip firewall nat add chain="srcnat" out-interface="$vpnInterfaceName" action=masquerade comment="Private VPN NAT"

/ip route add distance=1 gateway=$providerInterfaceName dst-address="$vpnIPaddr" comment="Private VPN route"

После выполненного сайты не открываются, но пинги с локальной машины как по IP адресам, так и по доменным именам (ya.ru, google.com; dns кзш чистил) ходят успешно. Что я делаю не так?

[Клёвый Админ]

***изменить***
/interface pppoe-client set $providerInterfaceName default-route-distance=20 add-default-route=yes comment="Provider"
***добавить***
/ip firewall nat add chain="srcnat" out-interface="PPOE_INTERFACENAME" action=masquerade comment="PPoE masquerade"
и проверь

[Ёж Туманный]

def-route для pppoe поправил, а маскарадинг для pppoe и так был. Что в итоге? При отключенном клиенте pptp трафик ходит через pppoe - что не может не радовать. Но стоит подключить pptp - как трафик перестает ходить, хотя в winbox-е видно, что пакеты куда-то улетают: imgur.com/a/WgLFI

[Ёж Туманный]

Евгений Быченко: Update:
Скрин текущих настроек: imgur.com/a/ACDoW

Пинги на большинство сайтов ходят вполне себе успешно: imgur.com/a/RgUHy

Но, зараза, в браузере 9 из 10 сайтов не открываются. Кэш чистил (и на микротике, и на desctop-win, и в браузере). Пробовал разные VPN учетки

[Клёвый Админ]

Ёж Туманный: такс, ну теперь нужно проверить всё ли корректно работает на стороне hideme. Если это VPN соединение приземлить на конкретный ПК - работает?

[Ёж Туманный]

Евгений Быченко: Да, друже, в том то и дело. Поднимая туннель с desctop-win всё работает как надо - шустренько и без ошибок. Но стоит это же соединение поднять с микротика - всё становится "очень плохо"

[Клёвый Админ]

Ёж Туманный: весь конфиг в экспорт и на pastebin (без белых IP само собой), гдет у тебя в файрволе беда

[Ёж Туманный]

Евгений Быченко: Так, стоп, всё работает! Но только не с VPN-сервером на моем VDS. С hideme.ru - всё как надо!

[Клёвый Админ]

Ёж Туманный: ну и отлично =)

[Клёвый Админ]

Ёж Туманный: про твой VPS лучше отдельный таск создай, я не самый опытные спец по iptables.

[Ёж Туманный]

Евгений Быченко: Повторюсь на всякий случай - про подключении к VDS с desctop-а - всё работает. При подключении с микротика - пинги ходят, но 9 из 10 сайтов не открываются

[Ёж Туманный]

Евгений Быченко: Так - не подскажешь с ходу?

[Клёвый Админ]

Ёж Туманный: вот с ходу не понятно, если в свойствах PPTP меняешь только пользователя пароль и IP подключения, остальное не трогаешь - то дело явно в VDS и там уже нужно больше копать. По текущему конфигу проблем не вижу.

[Клёвый Админ]

Ёж Туманный: nodefaultroute вот этот флаг странный.

[Ёж Туманный]

Евгений Быченко: Флаг "nodefaultroute" снес - результата ноль

[Ёж Туманный]

Евгений Быченко: Создал отдельный топик. Ещё раз огромное тебе спасибо!