Можно ли организовать связь с внутренней сетью openvpn в другой сети через ipseс?

Question

[Евгений Воробьев]

Добрый день, друзья. Прошу помочь со следующим вопросом.
Имеются 2 сети. x.x.1.0 и x.x.2.0. Соединены через ipsec между собой (микротики). В сети x.x.2.0 есть гипервизор с запущенной виртуалкой, на которой работает debian с установленным openvpn. Openvpn работает через tun с внутренней сетью 10.8.1.0.
На микротике x.x.2.1 настроил строчку маршрутизации в сеть 10.8.1.0 через гетвей x.x.2.104 (виртуалка). В сети x.x.2.1 подсеть 10.8.1.x пингуется успешно. Как можно сделать так, чтобы так же было из под сети x.x.1.0? Финт как в сети x.x.2.0 не прокатывает, хотя вирта из сети x.x.1.0 пингуется (как и вся соседняя сеть).

Comments

[mureevms]

Нарисуйте схему подключения, на ней таблицу маршрутизации каждого участника, тогда наглядно поймете что именно надо сделать

[Евгений Воробьев]

mureevms, ну как то так если только)

Криво и непонятно, но если чтото надо уточнить - уточню)

[mureevms]

Евгений Воробьев,
На микротике слева надо сделать роут через микротик справа. Т.е. указать в качестве дестинейшн IP адрес правого микротика, которым он смотрит на левый. А поскольку на правом уже есть роут до ВПН подсети, то должно заработать сразу
Понятно выразился?))

[Евгений Воробьев]

mureevms, ipsec работает в тунельном режиме. Когда на x.x.1.0 указываю роут 10.8.1.1 gateway 192.168.2.1, микротик сообщает, что гетвей недоступен...

[MaxKozlov]

Евгений Воробьев, А ipsec plicy у вас есть, которая говорит, что соответствующие пакеты надо в туннель завернуть ?

[Евгений Воробьев]

MaxKozlov, нет. такое я не настраивал( а это реально проделать, если ipsec в режиме туннеля?

[MaxKozlov]

Ну так в /ip ipsec policies заходим и по аналогии... на обоих микротиках скорее всего

Answer 1

[CityCat4]

В IPSec вместо маршрутов - политики. Написать политику, что пакеты для сети такой-то нужно шифровать и отправлять на гейт такой-то, на гейте они расшифруются и пойдут по локальной таблице маршрутов, если в ней есть указание, куда этот пакет сувать - туда и засунут.

Comments

[Евгений Воробьев]

На микротике 192.168.1.1 - Src.addr - 192.168.1.0/24 (первая подсеть), Dst.addr 10.8.1.0/24 (с какой сетью за вторым маршрутизатором связь наладить надо надо), SA Dst.addr 192.168.2.104 (ovpn сервер во второй сети). Стоит галочка на "tunnel". Остальные настройки по умолчанию. Верно? Теперь надо настроить фазу 2.

[CityCat4]

Евгений Воробьев, Вроде верно на первый взгляд. А для параметров согласования поначалу я обычно беру как можно ширше диапазон методов шифрования и всего остального - пусть заработает, а там посмотрим :)