Keffer

Но ведь так сейчас многие статьи рекомендуют разводить на виланы, а вот как изолировать между собой ни в одной статье не говорится...

Забудьте об этом раз и на всегда. И используйте старый добрый способ навешивания виланов на порт, без бриджа. Проверено и гарантия на 146% полноценной работы. Тот кто придумал развешивать на бридже виланы - идиот клинический.

В микротике с отзывом все плохо. Потому что система эта с сертами далеко не доработана. Статус KRT он только статус, на деле клиенты, как верно замечено продолжают без проблем подключаться. Помогает только полная замена серта в идентити.

криптомаршрутизатор VipNet Coordinator HW100

Никак не могу взять в толк - зачем оно вообще нужно здесь? Все спокойно микротиками реализовывается, в том числе шифрование трафика.

Ну коль скоро большой красный, то вы лично ничего не сделаете. От слова совсем. Пригласите специалиста за денежку. Он поможет наверняка.

Настрой сперва ipSec правильно. Например по мануалу с MUM где все расписано пошагово и по полочкам. Если все сделать как положено то проблем не будет.

Этого делать не нужно. Там стандартное MTU для L2TP 1460.

Сам факт установления PPP и создание ключей шифрования ipsec уже является ответом на вопрос о безопасности. Причем тут правила фаервола? Зря вы вообще крутите настройки значения которых не понимаете.

Спокойно через тип соединения IKEv2\ipsec раздаются нужные маршруты.

Автор решил изобрести велосипед. Первое что пришло в голову.

Хотя, что то еще мне подсказывает, что он один из тех, кто сидит там "наверху", в роскомпа... нувыпонели. И учатся пилить "суверенный интернет". Своих знаний не хватает, решили нашими же руками запилить эту бредятину и изолировать российский сегмент сети от остального мира. (Спойлер: Так вот, ничего у вас не выйдет)

В микротовской экосистеме выдачи\генерации сертов выданные серты нельзя удалить с микрота. Их можно только отозвать (revoke). Если нужно удалить все файлы полностью, то удаляется "корневой сертификат" тот самый которым подписаны юзерские серты. Остальное пропадет само.

Типичная DNS атака, что мешает создать последнее запрещающее правило и блочить все по input что явно не разрешено выше?

Если в H Q белый ip то в нем будет микротик-сервер, остальные, те что с LTE, будут клиентами, сперва наводятся туннели PPTP\L2TP от клиентов к серверу, и по ним устанавливается шифрованные EoIP\Ipsec по необходимости. Прописывается маршрутизация так же по необходимости. Все предельно просто. Причем PPTP соедиение подходит лучше всего там, где мобильные опсосы подрезают UDP трафик. Не надо изобретать велосипедов, все уже давным давно сделано проверено и опробовано.

Потому что OVPN на микротике - говно. Там не ходит UDP трафик. Замените этот богомерзкий туннель на PPTP\L2TP а лучше всего EoIP внутри PPTP\L2TP и будете удивлены результатом.

itldc.com тоже позволяет развернуть CHR

Потому что в Ip/DNS или не прописаны днс сервера или не включена галка Allow Remote Requests

p.s. Не забывайте еще такой момент, что резолв днс в винбоксе происходит исключительно с помощью тех днс серверов, которые прописаны на компе в этот момент. Сам микротик резолвит из тех, что прописано в ip/dns и бывает так, что пинг или трейс до некоего ресурса по доменному имени из телнета микротика и из винбокса отличаются.

Это самый правильный подход для визуализации. Роутеру важнее не имена интерфейсов а их номера. В скриптах например.