Как получить доступ к локальной сети по PPTP Mikrotik?

Question

[Игорь Кривинцов]

Здравствуйте, есть такая схема организации сети как показано на картинке, подскажите как правильно прописать маршрут до сети организации при доступе из вне, посредством vpn PPTP. Шлюз пингуется (Mikrotik) а все что за ним нет, пробовал с клиента прописывать статические маршруты, но не помогает (route add 100.65.224.0 mask 255.255.255.0 100.65.224.31), может что то необходимо еще прописать на Mikrotik ?

Правила

Route

Answer 1

[smesh]

Немного не в тему, но почему не поставить микротик между провайдером и свичем организации?
Появляется гибкость маршрутизации и контроль (и сетку нормальную назначите, а не внешние IP).
Относительно вопроса - либо выдавайте другой IP клиенту(upd: из другой подсети), либо включайте proxy-arp на бридже.

Comments

[Игорь Кривинцов]

Благодарю, в свитч организации подключаются рабочие станции организации.

Answer 2

[Дмитрий Шицков]

Из того что видно, я бы предполодил что у вас в форварде разрешен только трафик на порт 445. Выложите конфиг фаервола выгрузкой из консоли.

Крлме того, поведение виндоаого брандмауэра по умолчанию - блокировать icmp из других подсетей. Тестируйте на машине с предварительно отключенным брандмауэром на принимающей стороне.

И для чего у вас провайдер в свитч воткнут?

Comments

[Игорь Кривинцов]

В свитч воткнут по причине того, что у меня в несколько офисов территориально разделены, одним провайдером я объедение их в один Vlan
/ip firewall layer7-protocol
add name=tls7 regexp="AUTH TLS"
/ip firewall filter
add action=accept chain=input comment=GRE protocol=gre
add action=accept chain=input comment=PPTP dst-port=1723 protocol=tcp
add action=accept chain=forward dst-port=445 protocol=tcp
add action=drop chain=input comment=DNS dst-port=53 protocol=udp
add action=accept chain=input comment=Estebleshet/Relate connection-state=\
established,related
add action=accept chain=forward connection-state=established,related
add action=drop chain=input comment=Invallid connection-state=invalid \
in-interface=ether1
add action=drop chain=forward connection-state=invalid
add action=accept chain=input comment=SSTP dst-port=443 in-interface=ether1 \
protocol=tcp
add action=accept chain=input comment=IPSEC dst-port=500,4500 in-interface=\
ether1 protocol=udp
add action=accept chain=input in-interface=ether1 protocol=ipsec-esp
add action=accept chain=input in-interface=ether1 protocol=ipsec-ah
add action=tarpit chain=input comment=\
"Add you ip addess to allow-ip in Address Lists." disabled=yes dst-port=\
30553 protocol=tcp
/ip firewall mangle
add action=add-dst-to-address-list address-list=atls chain=prerouting \
comment=tls dst-port=21 layer7-protocol=tls7 protocol=tcp
add action=add-dst-to-address-list address-list=ftpinit chain=prerouting \
comment=ftp dst-address-list=!ftpok dst-port=21 protocol=tcp
/ip firewall nat
add action=accept chain=srcnat comment="IPSec Volgograd Ring" dst-address=\
172.16.1.0/24 src-address=100.65.224.0/24
add action=accept chain=srcnat comment="IPSec Volgograd" dst-address=\
10.8.0.0/24 src-address=100.65.224.0/24
add action=accept chain=srcnat comment="IPSec Erevan" dst-address=\
192.168.1.0/24 src-address=100.65.224.0/24
add action=masquerade chain=srcnat comment=Masquerade out-interface=ether1