Как исключить внешний трафик из Remote VPN на Mikrotik?

Question

[alx]

Приветствую, господа.
Всю голову сломал, перерыл кучу мануалов и статей по настройке микротика и IPSec, но так и не могу добиться корректной работы туннеля для удаленной работы юзеров компании.
Ситуация следующая:
1) В центральном офисе осн. маршрутизатор RB1100AHx4 Dude Edition OS ver. 6.48.
Инет работает, ВПН между филиалами тоже (но здесь речь не о том), удаленное подключение юзеров через L2TP IPSec тоже работает, но есть одно НО... По непонятным мне причинам ВЕСЬ трафик от VPN-клиентов заворачивается в туннель (пытался подключаться с ПК на Windows, с телефона на Android). При том, что CISCO ASA 5510 в др. филиале подключение работает как надо, в туннель заворачивается только корп. трафик, вся внешка идет дефолтным маршрутом через шлюз домашнего провайдера.
Итак, теперь немного подробностей:
На центральном микротике настроено неск сетей:
- серверы 10.10.1.0/24
- юзеры 10.10.10.0/24
- VPN-юзеры 10.10.100.0/24
2) Для удаленной работы поднят L2TP Server на микротике

L2TP Server

3) В Firewall разрешающие правила есть, удаленное подключение и авторизация проходит без проблем:

Firewall

Лог подключения:

4) В NAT сеть с VPN-клиентами не значится, из маскарада клиенты исключены;
5) При подключении к VPN из сети CVPN пингуется сеть серверов и юзеров. Казалось бы все отлично, но вот очень не хочется гонять весь трафик юзеров через туннель.

Полагаю, надо копать в сторону маркировки трафика, но не могу пока понять, как это сделать. Ранее такое на микротике не настраивал.
Если создаю правило mark routing с source-адресами 10.10.1.0/24 и 10.10.10.0/24 и этот маркер добавляю в дефолтный маршрут, чтобы он не маршрутизировал трафик от VPN-клиентов 10.10.100.0/24, тогда мне вообще не удается подключиться к микротику через L2TP.

Прошу помощи... Всю голову сломал уже.

Answer 1

[Wexter]

Это нормальное поведение, в настройках подключения на винде можно отключить шлюз по умолчанию, тогда винда будет создавать маршрут через шлюз согласно классу сети

Comments

[alx]

Спасибо

Answer 2

[Дмитрий]

Наверное у клиентов указан маршрут по умолчанию через VPN, а на цыске настроены маршруты. Соответственно нужно клиентам как-то сообщать маршруты до сетей 10.10.0.0/16

Comments

[Valentin Barbolin]

Верно, L2TP не уеет пушить маршруты на клиента, надо на клиенте в настройках подключения снять галку "Использовать основной шлюз в удаленной сети".

[alx]

Andrey Barbolin, вы думаете, что вся загвоздка в этом?
На циске маршрута всего два: дефолтные для двух провайдеров с авто-переключением. Больше никаких нет.
Но при том с того же смартфона на Андроид подключаюсь стандартными средствами к vpn и весь внешний трафик идёт через домашнего прова в то время, как Корп. трафик через циску.
Потом деактивирую на смарте ВПН, выбираю Коннект к микроту и вуа ля - весь трафик пошел через него. Иду на туайпи.ру и он мне говорит, что я в центральном офисе.
Снова отключаюсь, подключаюсь к циске и все норм - я дома.

[alx]

Вот два скрина с параметрами подключения к ВПН со смартфона (нигде нет галки про дефолтный удаленный шлюз).
192.186.... это циска.
78.10.... микротик

[alx]

[Дмитрий]

Aleksandr, если не указанны "маршруты пересылки" то весь трафик телефона идёт через VPN
Подключиться к L2TP с Android'a без необходимости выхода в Интернет через шлюз VPN?

[Valentin Barbolin]

Aleksandr, Все правиль, на Cisco ты пользуешь чистый IPsec (ТИП подключения) который может пушить маршруты на клиента, а на Микроте у тебя L2TP/IPsec который не умеет пушить маршруты)

Пушить маршруты = split tunnel.

https://mum.mikrotik.com/presentations/RO18/presen...

[alx]

Andrey Barbolin, вот это, похоже, как раз то, что нужно.
Как решить эту проблему?
На Винде понял, что нужно проверить использование удаленного шлюза.
А в Андроиде что нужно указать в качестве маршрута пересылки?

[alx]

Дмитрий, благодарю. Завтра проверю

[Valentin Barbolin]

Aleksandr,
> А в Андроиде что нужно указать в качестве маршрута пересылки?
В настройках подлючения L2TP/IPsec есть раздел Forwarding routes, укажи сеть к которой нужен доступ клиенту, соответственно остальной трафик пойдет на домашний роутер.