Mikrotik and VPN

[dopklip]

Первый раз на форуме.Интересно и позновательно.В другом разделе задал вопрос, долгое молчание.

Уважаемые форумчане, в продолжении темы.. была тема выдержки из диалогов

(Если хотите сквозной доступ в сеть, тогда клиенты VPN должны иметь адреса 192.168.1.х, и впн сервер так же из этой сети, тогда клиенты смогут прозрачно попадать в сеть.Да да, именно сквозной прозрачный доступ и нужен. Если кто нибудь это поднимал, пожалуйста дайте пошаговую инструкцию насчет бриджей, если вас не затруднит.)

 

Мой случай, как раз наоборот. При (VPN Windows, подсеть 192.168.2.0/24)удаленном подключении,на Mikrotik, server VPN раздает адреса подсети,отличные от подсети локальной(это задача).Скажем, соответственно 10.0.10.0/24 и 192.168.0.0/24 Подключение проходит,связь устанавливается, IP адреса раздаются. Ping с удаленного компьютера проходит только до шлюза подсети 10.0.10.0/24 на Mikrotik, а до сети 192.168.0.0/24 нет. Знаю, что в этом случае необходимо использовать МАРШРУТИЗАЦИЮ. Испробывал многие способы(рекомендации) с разных сайтов и WIKI,как же все таки ЭТО СДЕЛАТЬ? Со стороны клиента,Mikrotik получает инет через PPPoE,подсеть 192.168.2.0/24. Со стороны сервера, тоже Mikrotik получает инет стат.IP. Вариант соединения сетей через 2 Mikrotik не предлагать, это не мой случай. Подскажите конкретно, какие правила или настройки прописать: в IP Firewall-Rules / Nat Спасибо.

[Saab95]

У вас так будет работать, только если микротик является основным шлюзом для сети 192.168.2.0/24, если шлюз другое устройство, то попасть на устройства в сети можно только через NAT. Укажите в настройках, что для адресов 10.0.10.0/24 нужно делать НАТ, а на интерфейсе, смотрящим в сеть 192.168.2.0/24 укажите какой-то адрес.

[dopklip]

Честно, знаний по Mikrotik маловато(но есть задача).Немного уточню ситуацию по Mikrotik(ам) и подсетям. Есть Mikrotik, за ним локальная сеть (192.168.0.0/24),его порт (ether2)с ip 192.168.0.1 вляется основным шлюзом для этой подсети. Этот Mikrotik получает белый стат.IP(и все конечно при этом данные).Настроен serverVPN - раздача IP адресов(например 10.10.20.0/24).В этой подсети есть компьютер, например 192.168.0.65, вот к его "шаре" и нужно попасть с компьютера из интернет. Который в свою очередь получает интернет тоже через Mikrotik, и подсеть уже 192.168.2.0/24 и его порт ether2 192.168.2.1 является шлюзом для всей подсети. Настройка и подключение по VPN,на обоих концах , проходит на Ура! Клиет (VPN-Windows)получает,скажем IP 10.10.20.10, а serverVPN IP 10.10.20.1 На (сервер Mikrotik) в NAT для подсети 10.10.20.0/24 srcnat-"маскарад". Правил блокирующих нет. На клиенте "пинг" 192.168.0.0/24 на подсеть идет в том случае, если в свойствах VPN соединения убрать галку "использовать основной шлюз в удаленной сети". Но доступ к "шаре" нет. Что прописать в NAT? Случай "избитый", но у меня не получается. Подсеть клиента 192.168.2.0/24 ,в этом случае ни причем, соединение происходит через виртуальную сеть.Ведь так?

Вы писали: Укажите в настройках, что для адресов 10.0.10.0/24 нужно делать НАТ, а на интерфейсе, смотрящим в сеть 192.168.2.0/24 укажите какой-то адрес.

Пожалуйста, в на примере, как это сделать.

[Saab95]

Для сети 10.10.20.0/24 нат не нужно делать. На всех компьютерах 192.168.0.0/24 у вас и так указан в качестве шлюза микротик. Вам надо для выдачи через VPN сделать подсеть 192.168.1.0/24. В правиле маскардинга укажите src.address = 192.168.0.0/16, dst.address = ! 192.168.0.0/16 и все у вас заработает. В этом случае для внутренних адресов нат работать не будет.

[dopklip]

Согласно правил форума, у меня еще 1 сообщение.

Я конечно попробую сделать по вашим рекомендациям. Повторюсь опять: это не мой случай.Я внимательно просматривал "забугорные" ролики, характерные для моей задачи, хотя бы вот: http://www.youtube.com/watch?v=p4E1QgwXCj0, Но в них не уделено внимание на настройки NAT и правил для Firewall. Поднятый VPN связывает виртуальной сетью два ПК(10.10.20.1 и 10.10.20.10), виртуальный адрес 10.10.20.1 Mikrotik и так имеет возможность работать во внутренней сетке 192.168.0.0/24, равно как и виртуальный адрес 10.10.20.10 имеет возможность работать во внутренней сетке 192.168.2.0/24, но ПК с виртуальным адресом 10.10.20.10 "ПОКА" не может также "хозяйничать" в подсети 192.168.0.0/24. Я и хочу предоставить ему эту возможность, она обеспечивается настройками NAT и правилами Firewall.

Извините, если, что-то не допонимаю.

[Saab95]

Адрес сервера VPN в профиле должен быть 10.10.20.1, а клиентам уже 10.10.20.2 и выше.