Как маршрутизировать 443 порт на mikrotik?

Question

[Александр Каплун]

Оборудование Mikrotik
Есть внутренние службы которые доступны по 443 порту (RDP/Exchange/CRM)
Хочется поднять VPN типа SSTP так же по 443 порту типа точка-точка и точка-клиент.
Сейчас весь трафик 443 порта направлен на haproxy который по имени маршрутизирует трафик.

Может можно как то заставить MIkrotik понимать что трафик который приходит для SSTP не нужно перекидывать?

Answer 1

[cssman]

если не статик адреса - только на другом ip
если vpn клиент со статик адресом - можно попробовать src nat

Answer 2

[АртемЪ]

Как маршрутизировать 443 порт на mikrotik?

Никак.
Маршрутизировать это значит строить маршрут. Можно построить маршрут для пакета который везут получателю.
Но нельзя построить маршрут для надписи на этом пакете.

Может можно как то заставить MIkrotik понимать что трафик который приходит для SSTP не нужно перекидывать?

Да запросто, например по порту отличать.

Хочется поднять VPN типа SSTP так же по 443 порту типа точка-точка и точка-клиент.

Вот например кто мешает вам поднять SSTP не на 443 порту, а скажем на 5836?

HKLMSystemCurrentControlSetServicesSstpsvcParametersListenerPort
Type: DWORD   Default Value: 443

Comments

[cssman]

там у него и сервисы и vpn на одном порту :) а с преобразованием мыслей в слова - беда, да

[АртемЪ]

cssman, Так разнести эти сервисы по разным портам.

[cssman]

АртемЪ, Так и нужно сделать ТСу, в идеале. Но в реалиях бывает only 80/443, поэтому есть вариант костылей с src nat, либо другое правильное решение - поднять второй виртуальный (или реальный) ip для vpn. Но тут тоже будут проблемы, если адрес белый, то его нужно где то взять.

[АртемЪ]

cssman, Ну как именно реализовать - это можно сказать только услышав задачу полностью.
Но два IP для такой задачи это уже излишество, а nat вполне себе решение.

[cssman]

АртемЪ, не излишество, если нужно использовать именно 443 порт и поменять его нельзя, например циска заставит использовать 2 разных ip для anyconnect по 443 и для веб морды.

[Maksim]

Ну чтобы не ебать мозг лучшим вариантом конечно получается другой порт, впн на 443 остальные куда угодно.

Может попробовать анализ пакетов (если микрот осилит) L7, TLS HOST, размеры пакетов и т.д.

Ну это все предположения.