Как получить доступ к Mikrotik по WinBox через VPN?

Question

[Станислав Валсинатс]

Всем привет. Подскажите:

Настроил ВПН доступ на микротик Hap AC2 , подключаюсь по L2TP\IPSEC.

На бридже proxy-arp. Сеть общая - DHCP 192.168.0.0/24 ПК сидят на 2-100 адресах, ВПН раздается 101, 102, 103 и так далее.

Но почему то я не могу получить с домашнего ПК доступ через WinBox - просто не находит его.

При этом подключаюсь на ПК за ВПН - и WinBox работает. Доступ к WInBox ограничен сетью 192.168.0.0/24

Проблема не критична, но хочется разобраться.

Comments

[Станислав Валсинатс]

spoiler

add action=accept chain=input connection-state=established,related in-interface=ether1
add action=accept chain=input comment="L2TP\\IPSEC VPN" in-interface=ether1 log=yes log-prefix=OLOLO port=1701,500,4500 protocol=udp
add action=accept chain=input disabled=yes in-interface=ether1 protocol=ipsec-esp
add action=accept chain=input disabled=yes in-interface=ether1 protocol=ipsec-ah
add action=accept chain=input disabled=yes in-interface=ether1 protocol=l2tp
add action=reject chain=forward disabled=yes dst-address=192.168.0.0/24 reject-with=icmp-admin-prohibited src-address=192.168.20.0/24
add action=accept chain=forward comment="1S-SRV Univer and DOC access" dst-address=10.1.0.109 src-address=192.168.0.0/24
add action=accept chain=forward dst-address=10.254.255.5 src-address=192.168.0.0/24
add action=accept chain=forward comment="1S-SRV Univer and DOC access" disabled=yes dst-address=10.254.255.5 port=1540-1691 protocol=tcp src-address=192.168.0.0/24
add action=reject chain=forward out-interface=ether1 reject-with=icmp-admin-prohibited src-address=192.168.0.0/24
add action=accept chain=forward comment="defconf: accept in ipsec policy" ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" ipsec-policy=out,ipsec
add action=drop chain=forward disabled=yes
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" connection-state=established,related
add action=accept chain=forward comment="defconf: accept established,related, untracked" connection-state=established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" connection-state=invalid
add action=drop chain=forward comment="defconf: drop all from WAN not DSTNATed" connection-nat-state=!dstnat connection-state=new in-interface-list=WAN
add action=accept chain=input protocol=icmp
add action=accept chain=input connection-state=established disabled=yes
add action=accept chain=input connection-state=related disabled=yes
add action=drop chain=input in-interface-list=!LAN
/ip firewall nat
add action=masquerade chain=srcnat comment="defconf: masquerade" out-interface-list=WAN
/ip firewall service-port
set ftp disabled=yes
set tftp disabled=yes
set irc disabled=yes
set h323 disabled=yes
set sip disabled=yes
set pptp disabled=yes

Answer 1

[Gregory]

скорее всего у вас в фаерволе стоит правило блокировать всё кроме LAN портов.
добавь в /interface list свой интерфейс vpn или переделайте правило фаервола

Comments

[Станислав Валсинатс]

А как его добавить, он ведь динамический ?? Там можно ко всем портам динамическим, или скриптом я знаю.

Или правило разрешающее выше воткнуть ??

[kprohorow]

Станислав Валсинатс, сделать интерфейс статическим.
Добавить в Interfaces интерфейс типа L2TP Server Binding с именем юзера из Secrets и понятным названием.
И после этого добавлять этот интерфейс в список LAN.

[Станислав Валсинатс]

Странно у нас сеть работает, два первых пакета пинга отбрасывает, и винБокс секунд 20 загружался. в итоге все ОК. Да - дело было в том, что разрешен доступ по умолчанию только с интерфейсов LAN.

Добавил динамический интерфейс и все получилось!

Answer 2

[Владимир Коротенко]

зайдите тупо по ip

Comments

[Станислав Валсинатс]

куда ?

[Владимир Коротенко]

Станислав Валсинатс,
Сюда.


Дело в том что широковещательные пакеты ходят только в пределах L2 сегмента сети.
А по IP вы можете зайти и дальше. Если не заходит и не соединяется то проверьте доступность портов

[Станислав Валсинатс]

пинги есть, не заходит

[Владимир Коротенко]

Станислав Валсинатс, значит закрыт порт проверяйте Настройки файрвола

[Станислав Валсинатс]

Нет, решение ниже

Answer 3

[Дмитрий]

Дело в настройках firewall'а

Comments

[Станислав Валсинатс]

А точнее можете ?? Фасттрак, до него только разрешения на порты

[Дмитрий]

Станислав Валсинатс, конфигурацию покажите или надо угадать что настроено не правильно?
Кстати, как пытаетесь зайти на микротик? Ждёте что он появится в соседях или сами указываете адрес для подключения?

[Станислав Валсинатс]

Дмитрий, И жду и сам пытаюсь.

[Станислав Валсинатс]

Дмитрий, В комментарий добавил.
Я подозреваю что дело в этом: add action=drop chain=input in-interface-list=!LAN ???

Ведь у меня динамический интерфейс как я понимаю.
Но выдавать всем динамическим интерфейсам я не хочу.

[Дмитрий]

Станислав Валсинатс, тогда не запихиваете vpn клиентов в локальную сеть, пусть живут в отдельной подсети.

[Станислав Валсинатс]

Дмитрий, не совсем понял.

Допустим другую подсеть я сделаю,
сделаю маршрутизацию из одной сети в другую на микротике.
ВинБокс по моему только одну подсеть позволяет указывать для доступа

[Станислав Валсинатс]

Дмитрий, тогда не запихиваете vpn клиентов в локальную сеть, пусть живут в отдельной подсети.

Как это влияет на динамический интерфейс ?? проблема в этом ?? или в чем то другом ?

[Станислав Валсинатс]

Нет , решение ниже

Answer 4

[Drno]

Фасстрак надо отключать. Он мешает контролировать сеть.
Разрешить подключение к винбокс с ип впн сети
Разрешить входящие пакеты в фаерволле от впн сети на порт

Заходить на микротик по ип адресу, который указан в впн конфиге как local ip. Он же шлюз, на впн интерфейсе в винде

Comments

[Станислав Валсинатс]

Разрешить подключение к винбокс с ип впн сети - Разрешено. Сеть одна

Разрешить входящие пакеты в фаерволле от впн сети на порт - разрешено

Заходить на микротик по ип адресу, который указан в впн конфиге как local ip. Он же шлюз, на впн интерфейсе в винде - пинги есть, не заходит

[Drno]

Станислав Валсинатс,

Сеть общая - DHCP 192.168.0.0/24 ПК сидят на 2-100 адресах, ВПН раздается 101, 102, 103 и так далее.

- вот так никогда не делается. сеть ВПН должна отделяться, чтобы можно было её нормально маршрутизировать...
Для микротика подключение к его ВПН серверу, это ВНЕШНЯЯ сеть... у Вас правила для доступов заданы IP адресами(пулом) или интерфейсами??? (скорее всего второе, так по умолчанию по крайней мере)

Попробуйте добавить в firewall>nat> правило masquarade для out interface- all ppp. такое же как для WAN интерфейса.

Ну и ради интереса - сделайте отдельную подсеть на ВПН, отличающуюся от локально, тогда всё нормально смаршрутизируется и точно заработает