Как переадресовать запрос в ipsec на Mikrotik?

Question

[Евгений Емельянов]

Добрый вечер, коллеги! Продолжаю с микротиком.
Постоен ipsec туннель между двумя офисами, пинги идут между локальными адресами.
Настройки туннеля таковы что нужный удаленный ip доступен только с локального адреса самого микротика.
На удаленный ip нужно попадать через браузер по https.
Проверяю с микротика telnet и fetch, работает, скачивается удаленная интернет страница.
Как завернуть трафик так, чтобы сотрудники одного офиса попадали на веб-сервер второго офиса от имени адреса микротика?

Answer 1

[Дмитрий Шицков]

Настройте Source NAT для трафика, уходящего в туннель

Comments

[Евгений Емельянов]

Есть одно правило, за счет которого работает telnet и fetch с самого Микротика:
chain=srcnat action=accept src-address=192.168.0.1 dst-address=172.30.0.1 log=no log-prefix=""

Не знаю как подставить локальный адрес микротика при запросе с браузера любого из компьютеров сети. Добавил схемку

[Дмитрий Шицков]

Перед этим правилом поставьте:

/ip firewall nat add chain=srcnat src-addres=192.168.0.0/24 dst-address=172.30.0.1 action=src-nat to-addresses=192.168.0.1

[Евгений Емельянов]

Дмитрий Шицков, Дмитрий, благодарю за ответ! Сработало, но хотелось бы и понять. Если вам не сложно, в нескольких словах объясните логику, запутался в нате)

[Дмитрий Шицков]

Евгений Емельянов, ок, попробую.
У вас на веб-сервер доступ разрешен только с определенного IP, соответственно нужно сделать так, чтобы все локальные компы "прятались" за этим IP адресом. Не обязательно, чтобы этот адрес был назначен на роутере.
Поэтому применяется src-nat для пакетов, приходящих из сети 192.168.0.0/24 и направляющихся на адрес 172.30.0.1 - происходит NAT источника пакетов, который заменяет адрес отправителя на указанный - в данном случае на 192.168.0.1. Пакеты уходят в сторону веб-сервера уже с IP 192.168.0.1. По возвращении пакетов, Микротик находит соединение в таблице NAT и пересылает пакет получателю - компу в локальной сети. Все счастливы.
Данное правило размещаем выше того, что с action=accept, т.к. нам не нужно повторно NATить пакеты, уходящие в туннель.

[Евгений Емельянов]

Дмитрий Шицков, Спасибо! Логика понятна, продолжу учиться)