Как настроить маршрутизацию на вторую подсеть VPN Mikrotik?

Question

[stinger85]

Добрый день, mikrotik vpn-сервер, 192.168.89.1, статический адрес Микротика 192.168.232.22, адрес компьютеров в сети 192.168.230.0/24, 231/24, 232/24, соответственно Микротик видит только 232/24, куда и как надо прописать маршрут, чтобы удаленный ПК видел все подсети? У удаленного ПК присваивается 192.168.89.255
Заранее ВСЕМ спасибо за помощь!

Answer 1

[dagababaev]

А почему у вас все устройства и сам микротик (2 раза) из разных подсетей?

соответственно Микротик видит только 232/24

потому что он сам находится в этой сети –

статический адрес Микротика 192.168.232.22

У удаленного ПК присваивается 192.168.89.255

– он не может получить адрес по dhcp

Вы сделайте одну подсеть 192.168.232.0/24, микротику 192.168.232.1, для остальных устройств создайте пул – 192.168.232.10-192.168.232.254, тогда все друг друга увидят

… ну это из грубых ошибок, а так надо смотреть конфиг, ибо имеет значение ip 192.168.89.1 и 192.168.232.22 на одном интерфейсе или на разных. Из сообщения не понятно.

Comments

[stinger85]

Смотрите, сам vpn на микротике берет пул 192.168.89.1-255, сам себе на сервер берет 192.168.89.1 интерфес pptp vpn, удаленному ПК дает 192.168.89.255. Сеть предприятия находится в 192.168.230.х, 231.х, 232.х подсетях. Сам микротик LAN интерфейс 192.168.232.22, конечно можно его сделать и в 230 подсеть, тогда он будет видеть 230 посеть.
Я поднимал vpn через маршрутизацию и удаленный доступ (Windows server 2003) в статических маршрутах указывал 192.168.231.0 маска 255.255.255.0 шлюз VPN и также на 232 подсеть и удаленный компьютер видел все три подсети, а как так сделать в микротике не понимаю)
192.168.89.х подсеть же видит 232 подсеть, как бы настроить так чтобы 89 подсеть видела например 192.168.0.0 маску 255.255.0.0

[dagababaev]

удаленному ПК дает 192.168.89.255

вы его вручную задаете? 192.168.89.255 это широковещательный адрес, его нельзя назначать устройствам.

У вас на том конце vpn что стоит? тоже mikrotik? Если да, настройте OSPF где в качестве blackbone укажите 192.168.0.0/16 и все проблемы пропадут сами собой.

Если без ospf, то у вас должно быть для каждой записи в /ppp secrets вручную указан адрес remote-address из той же подсети что и vpn – 192.168.89.10, например.
Потом в /ip routes добавляете что-то типа:
/ip route add distance=1 dst-address=192.168.230.0/24 gateway=192.168.89.1 pref-src=192.168.89.10
Тогда у вас маршрут привяжется к конкретному vpn интерфейсу

[stinger85]

192.168.89.255 удаленный ПК получает сам, можно конечно и вручную ему дать адрес. Подключаюсь с Windows 10 (Удаленный ПК) на микротик, который стоит на работе.
/ip route add distance=1 dst-address=192.168.230.0/24 gateway=192.168.89.1 pref-src=192.168.89.10 - попробую

[dagababaev]

stinger85, Он получает 192.168.89.255 потому что вы его в пуле указали (скорее всего) и раздаете адреса по dhcp. pool надо ограничить, чтобы последний адрес был 192.168.89.254

Но если делать статическую маршрутизацию, то от dhcp прийдется отказаться, иначе она не будет работать (если dhcp выдаст другой ip, то все упадет)

[stinger85]

dagababaev, /ppp secrets вручную указан адрес remote-address из той же подсети что и vpn – 192.168.89.10, сделал такой.
/ip route add distance=1 dst-address=192.168.230.0/24 gateway=192.168.89.1 pref-src=192.168.89.10 прописал, пишет unreachable не достижмый шлюз, пробовал поставить pptp-vpn не работает и пробовал bridge поставить в качестве шлюза.

Но если делать статическую маршрутизацию, то от dhcp прийдется отказаться, иначе она не будет работать (если dhcp выдаст другой ip, то все упадет) - это понятно)

[dagababaev]

дайте вывод /ip address print (WAN адрес можете затереть)
у вас явно косяк с адресацией, то мест много и гадать сложно

[stinger85]

dagababaev,
я поменял подсеть на 230.
хочу теперь видеть например 231

[stinger85]

stinger85,

[dagababaev]

Вы что-то вообще накрутили :)
1. unreachable потому что interface на котором висит …89.1 – unknown
2. У вас адрес /32 – это всего один ip. Тут должно быть /24

Но самый прикол, что по значку D видно, что этот интерфейс получает адрес динамически, поэтому дальше вам надо смотреть где вы его назначаете. Скорее всего в /ppp profile local-address

[dagababaev]

Что касается второго скрина – я вам пример gateway указывал. Там должен быть адрес шлюза, не подсеть, а именно адрес.
Я смотрю вы вообще везде навешали /32 … поэтому они ничего не видят, потому что они изолированы
192.168.88.1/32 не в одной подсети с 192.168.88.10/32
У вас устройства в принципе не могу увидеть друг друга

[stinger85]

dagababaev, странно, статику вроде везде поставил, но не вырубил сам dhcp, сейчас проверю

[stinger85]

dagababaev, /32 микротик сам по умолчанию ставит, я сам из этого ничего не писал)))

[dagababaev]

В одном месте я ошибся.
У вас в /ip address при подъеме туннеля не подсеть должна быть, а просто адрес
Пример:

[stinger85]

dagababaev,
не дает поменять 32, удалять тоже не дает, он сам по умолчанию ставит 32 и поменять я не могу

[stinger85]

dagababaev, просто адрес написать он тоже не дает, сам ставит 32, все dhcp я удалил вообще

[stinger85]

stinger85,
/ip route add distance=1 dst-address=192.168.230.0/24 gateway=192.168.89.1 pref-src=192.168.89.111 - unreachable
/ip route add distance=1 dst-address=192.168.230.0/24 gateway=pptp-vpn pref-src=192.168.89.111 - reachable - но не работает
/ip route add distance=1 dst-address=192.168.0.0/16 gateway=pptp-vpn pref-src=192.168.89.111 - reachable - но не работает
192.168.89.111 - поставит в secret другой ip
А что значит буква S - может от нее надо копать?
P.S. извините за доставучесть и огромное спасибо за помощь!!!

[dagababaev]

Это статусы, поэтому с этим как раз все нормально.
S – Статический маршрут / AS – Активный статический маршрут

Вы в dst.address не верную подсеть внесли. у вас на том конце этого туннеля же /24 подсеть, а почему вы тогда говорите роутеру, что там нужно искать /16?
/16 подсеть включает и то что на том конце, и то, что в другом туннеле и даже собственную сеть MT… Вам надо прочитать какую-нибудь статью про маску подсети, я вижу у вас нет понимания, что это.

не дает поменять 32, удалять тоже не дает, он сам по умолчанию ставит 32 и поменять я не могу

и не даст, потому что вы смотрите в routes, а там адресация не меняется, она устанавливается динамически (от этом говорит буква D слева). Поэтому нужно искать то место где вы задали ей этот адрес и на основании этого она тут проставляется динамически. Это, по идее, может быть только в одном месте.

Выведите конфиг через терминал –
/ppp profile export compact
и
/ppp secret export compact (пароли только затрите)
и киньте сюда. я больше чем уверен, что косяк там, потому что у вас туннель поднимается с неверными адресами

P.S. извините за доставучесть и огромное спасибо за помощь!!!

Помню в начале, когда я только познавал MikroTik, я тоже одного человека на форуме для операторов связи пытал, так что все мы учимся от других ;)

[stinger85]

dagababaev,

[dagababaev]

Надо было через терминал, т.к здесь не все возможные данные указаны, но косяк уже виден.
1. в /ppp secret у туннелей выбран профиль default, но он не настроен в /ppp profile
вы настроили профиль default-encryption

Вам нужно в профиле default внести local-address – 192.168.89.1
Больше там ничего указывать не надо

[stinger85]

dagababaev,
прописал, переподключил, перепрописал, все равно 32)))

[dagababaev]

ping до 192.168.89.111 проходит?

[dagababaev]

[stinger85]

dagababaev, да, проверил со стороны работы, вижу ПК удаленный

[stinger85]

dagababaev,

[stinger85]

dagababaev, поставил, но не вижу все равно 230 подсеть

[dagababaev]

У меня лимит на суточные комментарии закончился. Примите ответ как решение и/или "пролайкайте" мои ответы< /i>

Туннель нормально подняли и это главное.
Статическую маршрутизацию на этом конце вы настроили, теперь по аналогии нужно настроить на том. Чтобы устройства к которым вы обращаетесь понимали куда слать ответы.

Но вы мне не ответили на вопрос с самого начала – Вы туннели между микротиками создаете? На обоих концах vpn микротики стоят?

[stinger85]

dagababaev, как не ответил, где-то выше писал, что на этом конце просто Windows 10, дома. Route add надо прописать?

[dagababaev]

Стоп. А что у вас находится в .230/24?
Что это за подсеть и кто ее раздает. Если у вас один микротик в роли vpn-сервера и в качестве vpn-клиентов у вас обычные компьютеры, то откуда у вас там, внутри каждого туннеля еще одна /24 подсеть?

[stinger85]

dagababaev, Не совсем понял, на работе три подсети, мне надо увидеть хотя бы 2 из них, сам микрот в 232/24 подсети, а большинство компьютеров рабочих в 230/24 сети находятся, микрот в 230 подсеть вводить не могу, так как почти все занято на 230 подсети. Сеть на работе настроена по статике, dhcp нет и не будет) Мне так удобнее знать, где какой ip адрес находится. Микрот вставлен в коммутатор управляемый, но я его не настраивал, он как не управляемый работает) а уже в этот коммутатор все остальные компьютеры и 230 и 232 подсети.

[dagababaev]

А кто им, компьютерам, на работе выдает 230/24. Этот же микрот (судя по routes – нет) или вы просто у каждого компа настроили статику и воткнули в свитч и в этот же свитч воткнули микрот? Если второй вариант, то проще всего на отдельные порты микротика сделать адреса из "искомых сетей" и тоже воткнуть их тот же коммутатор.

Если микрот подключен к коммутатору всего одним портом, то надо на этот порт создать новый VRRP интерфейс и в /ip address задать ему адрес из нужной подсети
(можно в гугле – Несколько ip на одном интерфейсе)

Но эти подсети увидит микрот, а чтобы их увидел ваш комп через туннель то вам надо настраивать статические маршруты не на микроте, а на Windows (здесь я не помогу, т.к не работаю на маке и виндой не владею)

[stinger85]

dagababaev, Да, у меня второй вариант и да, я хочу чтобы сам микрот видел все подсети)
Попробую.
Про винду я понял, на винде я сам маршруты пропишу)