VPN MikroTik — как разделить трафик?
Коллега, в целом настроить туннели и поднять маршрутизацию можно без особых проблем. Используйте l2tp (если со стороны клиента «серость») или GRE (если со стороны клиента белые адреса), плюс шифрование IPSec в транспортном режиме. Маршруты делаете либо статикой (но на 30+ это то ещё занятие), либо поднимите OSPF (в целом это просто).
Для маршрутизации отдельных клиентов или отдельного типа трафика — просто используйте отдельные таблицы маршрутизации и маркировку трафика в mangle. Никакой прокси в таком случае будет не нужно.
Если подробнее, то:
1. Туннели подняли, настроили маршруты.
2. Создали отдельную таблицу маршрутизации, где шлюзом по умолчанию будет адрес из туннеля центрального микротика
3. Создали mangle правило mark route где в критериях выбираете нужный вам трафик (либо весь, либо конкретный от конкретного клиента \ протокола \ порта) и в действии указываете вот ту самую таблицу маршрутизации. Такое действие отправит отмеченый трафик в центр, откуда он уйдёт наружу через провайдера в центре.
- Вконтакте
JaHher: такс, давай код я не буду писать, мне лень сверяться с консолью, но вот что нужно сделать:
На основном:
1. Поднимает l2tp сервер (или GRE туннель), настаиваем профиль подключения, добавляем пользователя или пользователей ppp
2. Разрешаем трафик до VPN сервера (входящий на 1701 порт для l2tp, 4500 и 500 для ipsec, GRE — для угадай чего)
3. Разрешаем исходящий
4. Исключаем из NAT трафик между сетями (всеми локальными и транзитными)
5. Добавляешь маршрут до сети клиентского устройства, где шлюз, через которую эта сеть достижима будет адрес клиентского микротика внутри туннеля
На любом клиентском ситуация такая:
1. Если у тебя локальная сеть 10.0.0.0/24, то транзитная сеть (та что будет идти в туннеле) должны быть иной, например 10.1.0.0/24.
2. Создаёшь в интерфейсах l2tp клиента (или GRE туннель), натравливаешь его на основной белый адрес, указываешь реквизиты доступа. Для l2tp адреса сети в туннели он получить от основного, для GRE прописываешь адреса с обоих сторон сам.
3. Разрешаешь трафик входящий, исходящий и выкидываешь такой трафик из НАТ.
4. Добавляешь маршрут на клиентском до сети основного устройства, где шлюз, через которую эта сеть достижима будет адрес основного микротика внутри туннеля
Всё для начала готово, трафик между устройствами внутри сети клиентского микротика и устройствами внутри сети основного должен пойти.
Второй этап это поворот нужного тебе трафика через интернет на основном, к нему подойдём после того как это сейчас сделаешь.
JaHher: создать правило в таблице NAT с действием Accept.
Берёте виртуалку и начинаете учиться. Микротик прекрасно работает внутри виртуалбокса. Каждая машина сможет работать 40-к часов непрерывно (или кучу времени с откатом назад или приостановками).
Задавая вопросы (просто задавая вопросы) на тостере не научится настраивать маршрутизацию по туннелям. Нужно обязательно пробовать и черпать знания в других источниках.
Как разделить трафик vpn на роутере
Как правило, после подключения по VPN весь трафик перенаправляется через это соединение.
Если на компьютере, например, были загрузка данных, клиент-серверные взаимодействия или авторизация доступа, то они прекращаются. Torrent и браузеры также начинают работать только через VPN.
Чтобы этого не происходило и VPN-подключение использовалось только для доступа в корпоративную сеть, в настройках VPN необходимо снять галочку в пункте:
Записки IT специалиста
Настройка выборочного доступа к сайтам через VPN на роутерах Mikrotik
- Автор: Уваров А.С.
- 04.11.2019
В наших прошлых материалах мы уже поднимали тему использования VPN не только как средства для организации корпоративной сети, но и как способа доступа в интернет для повышения безопасности работы в общественных сетях и обхода разного рода региональных ограничений. В последнем случае имеет смысл использовать VPN-канал не для всего трафика, а только для тех сайтов, доступ к которым в вашем расположении затруднен. Это несложно сделать, если в вашем распоряжении имеется роутер Mikrotik, а если нет, то появляется еще одна причина его купить.
Научиться настраивать MikroTik с нуля или систематизировать уже имеющиеся знания можно на углубленном курсе по администрированию MikroTik. Автор курса, сертифицированный тренер MikroTik Дмитрий Скоромнов, лично проверяет лабораторные работы и контролирует прогресс каждого своего студента. В три раза больше информации, чем в вендорской программе MTCNA, более 20 часов практики и доступ навсегда.
Будем считать, что у вас уже есть интернет-подключение с точкой выхода трафика в том расположении, откуда возможен неограниченный доступ к требуемым ресурсам. Это может быть как собственный сервер, либо аккаунт у одного из многочисленных VPN-провайдеров. Выбирая расположение точки выхода, следует учитывать как возможность доступа к требуемым ресурсам, так и задержки при передаче данных. Так сервера расположенные в США обладают гораздо более высоким временем доступа, нежели сервера расположенные в Европе, поэтому их следует выбирать, когда требуется доступ именно к американским ресурсам, скажем, Netflix или покупкам у американских продавцов на Amazon и Ebay.
В нашем случае будет использоваться OpenVPN сервер на базе бесплатного VPS от Oracle с расположением в США. Вы можете использовать любой доступный вариант, а о настройке Mikrotik в качестве VPN-клиента для различных типов подключения вы можете более подробно прочитать в нашей статье.
При создании подключения в обязательном порядке снимите флаг Add Default Route, нам не требуется направлять весь трафик в VPN-канал, а маршрутизацию мы настроим позже вручную.
Для того, чтобы клиенты нашей локальной сети могли выходить в интернет через VPN-подключение, следует настроить NAT. Для этого перейдем в IP — Firewall — NAT и создадим новую запись со следующими параметрами: Chain — srcnat, Src. Address — диапазон вашей локальной сети, Out. Interface — интерфейс вашего VPN-подключения, в нашем случае это выглядит так:
Затем перейдите на закладку Action и укажите требуемое действие: masquerade. Также можно быстро выполнить все это в командной строке:
Следующим шагом создадим список сайтов, которые должны будут выходить в интернет через VPN-подключение и добавим в него какой-нибудь сайт. Для этого перейдем в IP — Firewall — Address Lists и добавим новую запись. В поле Name следует указать имя списка, либо выбрать его, если список существует, в Address укажите IP-адрес или доменное имя, в последнем случае роутер сам будет определять требуемые IP-адреса.
Эта же настройка через консоль:
Теперь промаркируем все необходимые пакеты, для этого переместимся в IP — Firewall — Mangle и добавим новое правило: на закладке General укажем Chain — prerouting, In. Interface — bridge1, на закладке Advanced выберем Dst. Address List — US-only, а на закладке Action укажем Action — mark routing, New Routing Mark — произвольное имя метки — в нашем случае ORA и ниже снимаем флаг Passthrough.
Это же действие в консоли:
Таким образом мы добавим к пакетам, направляемым к сайтам из списка специальную метку, на основании которой будет приниматься решение о их маршрутизации.
И наконец перейдем к самой маршрутизации, перейдем в IP — Routes и создадим новый маршрут. В качестве адреса назначения Dst. Address укажем 0.0.0.0/0, а в поле Gateway укажем интерфейс VPN-соединения, ниже выберем поле Routing Mark и укажем там нашу метку ORA.
Через командную строку данное действие можно выполнить так:
Только что мы создали дополнительную таблицу маршрутизации, в которую будут попадать все промаркированные нами пакеты. Если шлюз, указанный в данной таблице недоступен, то пакет перейдет в основную таблицу маршрутизации — main — и уйдет в интернет через шлюз провайдера. Если это по каким-либо причинам нежелательно, то следует выполнить еще одну настройку. Перейдем в IP — Routes — Rules и создадим новое правило: Routing mark — ORA, Action — lookup only in table, Table — выберите имя, соответствующее вашей метке маршрутизации, в нашем случае также ORA.
В консоли для создания правила выполните:
Таким образом мы замкнем промаркированные пакеты в собственной таблице маршрутизации и при недоступности VPN-соединения эти сайты также окажутся недоступны. Через основного провайдера эти пакеты отправлены не будут.
Теперь самое время проверить, что все работает как надо. Мы не даром добавили в список сайт 2ip, перейдем на него и убедимся, что доступ к нему был осуществлен через наш VPN c выходом в США.
В дальнейшем вам потребуется только добавлять необходимые сайты в список, либо убирать из него. Также вы можете настроить несколько VPN-каналов с разными точками выхода и несколько таблиц маршрутизации, направляя пакеты к различным сайтам через разные туннели.
Научиться настраивать MikroTik с нуля или систематизировать уже имеющиеся знания можно на углубленном курсе по администрированию MikroTik. Автор курса, сертифицированный тренер MikroTik Дмитрий Скоромнов, лично проверяет лабораторные работы и контролирует прогресс каждого своего студента. В три раза больше информации, чем в вендорской программе MTCNA, более 20 часов практики и доступ навсегда.
Доступ в Internet минуя VPN канал (на примере)
Недавно решил следующую интересную задачу: требовалось обеспечить подключение до ресурсов на работе по защищенному каналу, при этом, использовать свой домашний интернет, а не рабочий интернет сквозь VPN соединение.
Перефразирую задачу, требуется, чтобы рабочий трафик ходил внутри VPN канала, а остальной — шел обычным путем.
У нас имеется настроенное VPN соединение (VPN активен). Подключим его и проверим параметры интерфейсов. Для этого запустим командную строку (здесь и далее, командная строка должна быть с правами администратора).
Выполним команду ipconfig
результат выполнения
нас интересуют текущий IP-адрес локальной машины (192.168.0.164) и IP-адрес адаптера VPN соединения (192.168.112.45).
Проверим и убедимся, что у нас доступен интернет и трафик идет через VPN канал.
Для этого выполним ping 8.8.8.8 до общедоступного DNS и
tracert 8.8.8.8
доступность и маршрут до интернета
Как видно, интернет есть, и он идет через IP VPN соединения по сети 192.168.112.0
Убедимся, что рабочий ресурс нам доступен, для этого выполним
ping 192.168.1.100 (это контроллер домена рабочей сети),
а также tracert 192.168.1.100
доступность и маршрут до рабочего сервера
Для решения нашей задачи необходимо настроить интерфейс VPN: Свойства VPN -> Свойства TCP/IPv4 -> Дополнительно… ->
снять чек «Использовать основной шлюз в удаленной сети»
Так как соединение было активно, требуется отключить и снова включить соединение, для вступления изменений в силу, о чем нас любезно предупредят.
Теперь весь трафик, который раньше шел через VPN – будет идти так, как было бы без него. Проведем эксперимент, для этого вновь проверим доступность интернета и как идет трафик
доступность и маршрут до интернет
доступность и маршрут до рабочего сервера
Как видно из тестов, интернет идет через нужный нам канал, но доступ до рабочих ресурсов пропал. Нам необходимо явно добавить маршрут (маршруты), для которых необходим доступ по VPN.
Нам понадобится IP адрес шлюза VPN соединения или IP адрес, назначаемый при VPN подключении, если шлюз не известен. Для нашего примера это адрес 192.168.112.45.
Посмотрим таблицу маршрутизации введя route print
таблица маршрутизации
Нас интересует номер VPN интерфейса (подсвечен). Обратите внимание, что у нас отсутствуют постоянные маршруты.
Далее нам необходимо определить адрес(а) или подсеть трафик в которую необходимо направлять через VPN соединение. В нашем случае это весь трафик для рабочей сети 192.168.1.0/24., который необходимо направлять через интерфейс VPN соединения 192.168.112.45.
Пропишем постоянный маршрут:
route add 192.168.1.0 mask 255.255.255.0 192.168.112.45 if 36 -p
Здесь, параметр -p означает, что добавляемый маршрут будет сохранён (persistent). Параметр if 36 означает, что этот маршрут будет применяться только при поднятом интерфейсе 36 (т.е. при подключенном VPN, который имеет этот номер). Если не указать параметр if, то маршрут будет работать только до отключения VPN-соединения. При отключении, Windows определит, что маршрут более неприменим, и удалит его. После повторного подключения VPN, маршрут не будет активным несмотря на то, что он создан с параметром -p. Если указан параметр if, то при отключении от VPN система определит, что маршрут не следует удалять, и временно отключит его до поднятия нужного интерфейса.
192.168.1.0 — имя сети (или IP адрес) в которую мы обращаемся,
mask 255.255.255.0 — определяет маску сети или конкретный адрес,
192.168.122.45 — адрес шлюза или интерфейса, через который должен направляться трафик.
результат сохранения маршрута ОК.
Посмотрим таблицу маршрутизации. У нас появился постоянный маршрут.
таблица маршрутизации после сохранения маршрута
Задача решена, проверим что все работает так как задумывалось.
доступность и маршрут до интернета
Интернет есть и трафик идет по обычному каналу.
доступность и маршрут до рабочего сервера
Доступ до рабочих ресурсов есть и идет внутри VPN.
Подобный подход можно использовать и для настройки одновременной работе двух (или больше) сетевых карт.