VPN MIkrotik

keksik

Vie mi prosim niekto poradit, preco po nakonfigurovani a pripojeni sa na VPN v Mikrotiku na Rbcku, nasledne naskenujem IP scanom zo vzdialeneho pripojenia /PC s Win/ len niektore IP na LAN za Mikrotikom?

Porxy Arp som zapinal, nepomohlo.

Dik.

radimasss

musíš nastavit routy do vpn a z vpn

keksik

musíš nastavit routy do vpn a z vpn

Aj na tuto temu som cital parp oznamok, no neveril som. naozaj?

A nejaky priklad?

radimasss

měl sem to na jednom mikrotiku fukční routoval sem dokonce přes tunel veřejku :)

keksik

To tu nikto nepouziva VPN (PPP, PTPP)na Mikrotiku?

Vsetko mam nastavene ako vidim v manuali, ci na videonavodoch, ale nech skusam co chcem, na LAN za MK vzdialene naskenujem len napr zo dve IP z 10 aktivnych, A nejde napr. na tie co aj naskenujem ping odozva-sranda, hmm. ale sluzby idu-napr. web rozhranie sa otvori. Co tam na tom psratom MK treba este ake harakiti spravit ?

ludvik

Když ti některé IP fungují, tak to nebude VPNkou ... bych řekl.

zbojnik

ja by som skor potreboval nejaku zakladnu konfig aku mas...

lan ?

ako mas nastavene ip pre pptp.... ?

proxy arp musi byt zapnute pokial ides s pptp do toho isteho rozsahu ako lan.. inak to blbne tak ako popisujes... nieco odpovie nieco nie...

ja to pouzivam a funguje to bez problemov.

keksik

Když ti některé IP fungují, tak to nebude VPNkou ... bych řekl.

Skusane na dvoch odlisnych lokalitach siete. Uplne nahovno na oboch miestach.

keksik

ja by som skor potreboval nejaku zakladnu konfig aku mas...

lan ?

ako mas nastavene ip pre pptp.... ?

proxy arp musi byt zapnute pokial ides s pptp do toho isteho rozsahu ako lan.. inak to blbne tak ako popisujes... nieco odpovie nieco nie...

ja to pouzivam a funguje to bez problemov.

Skusane aj s proxy artp zap aj bez.. aj z bridge aj bez bridge.. proste vsetko.. vysledok rovnaky.

keksik

Nastavene takto https://www.youtube.com/watch?v=Q2OR8hj2ivI

Vsak je to jednoduche ako facka.

aha sken na MK kde je ta LAN siet

a sken cez vpn.

<--- ia0 -->VPN.JPG<--- ia0 --><--- ia1 -->LAN.JPG<--- ia1 -->

ludvik

A myslíš, že je někdo tak moc dobrý, že ti poradí jen tak od stolu bez toho, aniž by viděl konfiguraci? Já to rozhodně nejsem ... a není to jen tím, že VPN nemám potřebu používat.

zbojnik

potrebujem vediet tvoj adresny rozsah pre lan to je 192.168.101.0/24 ?

co mas ako gw - 192.168.101.1 ?

co mas nastavene v secret pre pptp local address remote address ?

keksik

potrebujem vediet tvoj adresny rozsah pre lan to je 192.168.101.0/24 ?

co mas ako gw - 192.168.101.1 ?

co mas nastavene v secret pre pptp local address remote address ?

Tak som sa premohol, a nastavil som na VPN serveri pool z rozsahu LAN, a cuduj sa svete, potom to ide ako ma. /plus zapnuty PROXY ARP na LAN interfaci/

Tak neviem, doteraz som cital ze mam dat v zasade iny rozsah ako je v LAN.hmm.

zbojnik

ked das iny rozsah ako lan, tak to musi routovat...

ked das ten isty + proxy-arp tak to funguje

keksik

ked das iny rozsah ako lan, tak to musi routovat...

ked das ten isty + proxy-arp tak to funguje

Hmm, takze tak.

Som z toho jelen ani google nepomaha. Ako ma teda vyzerat v praxi ten routing, ak na vzdialenej sieti mam dva rozne subnety.

napriklad, cize je tam mikrotik kde na LAN strane ma na Ether1 nastavene IP 192.168.1.1/24 a 192.168.2.1/24 a na tej sieti je ix zariadeni s Ipckami ci uz prveho alebo druheho subnetu. Cize ked do VPN nastavim local/remote ip ci uz z jedneho alebo druheho rozsahu tych subnetov, vidim bud jedni alebo druhe zriadenia. teda hilfe ako to nastavit, aby bolo vidno zariadenia z oboch subnetov. DAKUJEM.

zbojnik

tak toto som nejako neriesil, priznam sa netusim aky to ma vyznam ale

vyskusaj na pc odkial vytvoris tunel dat routu...

teda mas pc s pripojeny vpn, kde tvoja lokalna ip na pc je (ta co v MK v profile nastavis ako remote) priklad 192.168.1.100, brana bude 192.168.1.1

pridaj routu pre 192.168.2.0/24 s gw 192.168.1.100 (na pc nie na MK)

keksik

Tak vyriesene. Na Eng fore MK som mal odpoved do hodinky, presnu a ucinnu, bez blbych dotazov.

Asi su to tu v CSSR vsetci kvazi odbornici ako ja : .

Ziadne ROUTOVANIE, ale FILTER !!!

povolit komunikaci medzi VPN spojenim a LAN, hosi.

aha

/ip firewall filter

add chain=forward dst-address=192.168.1.0/24 src-address=192.168.3.0/24

add chain=forward dst-address=192.168.3.0/24 src-address=192.168.1.0/24

add chain=forward dst-address=192.168.3.0/24 src-address=192.168.2.0/24

add chain=forward dst-address=192.168.2.0/24 src-address=192.168.3.0/24

kde 192.168.3.0/24 je rozsah z ktoreho sa pri VPN spojeni vzdialenemu PC prideli IP

a 192.168.1.0/24 a 192.168.2.0/24 su rozsahy na vzdialenej LAN.

teda az by to niekto riesil ma to tu polopate

have a fun

ludvik

tak za prvé ... chtěli jsme po tobě konfiguraci kompletní (alespoň já). Nemůžeme vědět, že si někde něco blokuješ ve firewallu ... fakt ne. Ani že neovládáš základní diagnostiku, protože tohle lze poznat na první pohled. Maximálně na druhý.

Řešil jsi VPN. A ne firewall. Čím víc a lepších informací poskytneš, tím větší je naděje na úspěšné řešení ... jinak je to jen hádání.

Mimochodem už 17. srpna jsem ti napsal: Když ti některé IP fungují, tak to nebude VPNkou ... bych řekl.

A hle ... měl jsem pravdu.

Ani se mi nechce zmiňovat, že jsi měl problém se segmentem 192.168.101.x a najednou máš řešení v povolení naprosto jiných segmentů. Zajímavé.

A pokud mají v zahraničí lepší křišťálové koule, tak si choď tam. Holt jsou lepší, než my ubozí amatéři.

keksik

tak za prvé ... chtěli jsme po tobě konfiguraci kompletní (alespoň já). Nemůžeme vědět, že si někde něco blokuješ ve firewallu ... fakt ne. Ani že neovládáš základní diagnostiku, protože tohle lze poznat na první pohled. Maximálně na druhý.

Řešil jsi VPN. A ne firewall. Čím víc a lepších informací poskytneš, tím větší je naděje na úspěšné řešení ... jinak je to jen hádání.

Mimochodem už 17. srpna jsem ti napsal: Když ti některé IP fungují, tak to nebude VPNkou ... bych řekl.

A hle ... měl jsem pravdu.

Ani se mi nechce zmiňovat, že jsi měl problém se segmentem 192.168.101.x a najednou máš řešení v povolení naprosto jiných segmentů. Zajímavé.

A pokud mají v zahraničí lepší křišťálové koule, tak si choď tam. Holt jsou lepší, než my ubozí amatéři.

Podla Toho co mi hento poradil manik z eng fora, vyzera to na princip fungivania toku paketov podla Toho MK diagramu. No a z tej povahy trebalo hento vo filtri nastavit. Ja som mal firewall prazdny,Nic som si neblokoval. On spravne hned pochopil ze je tam principialny problem.

ludvik

No to teda sorry ... ale to chci vysvětlit od někoho lepšího, než jsem já. Protože to je prostě blbost.

Netfilter v mikrotiku má policy ACCEPT. A to nejde změnit. Takže prázdný firewall nedělá naprosto nic. Nebo opačně řečeno - to samé, co ty tvoje pravidla. Ty "něco" povolí, nejspíš to je vidět i na jejich counterech. Ale pakety, co nespadnou do těchto pravidel jsou povolené také. Jenom jsi přidal do cesty nějaké zbytečné zpracování. A možná jsi se zbavil možnosti FastPath.

Nebo lidsky:

/ip firewall filter

povol pakety odsud tam

povol pakety odněkud jinud někam jinam

povol vše.

Ty pravidla prostě tvému problému nemohou přímo pomoci.

Další stránka »