Routing pre VPN,

MichalK2

Ahojte

Trápim sa s VPN. VPN ako takova mi chodi ale pripojili sme tam jeden prvok ktorý prepaja technologickú siet. V technologickej sieti mame interne systemy a tlaciarne (aby viac ludi mohlo pracovat z domu tak technologovia potrebuju posielat veci priamo na tlaciaren, popripade priamo na CNC masiny), ktomu je spraveny jeden server ktorý to potom rozdeluje

Ja by som potreboval nejak sa dostat na PC server, aby tehnologovia pracujuci z domu vedeli riešiť ulohy. Ci už tlačit alebo posielať priamo na vyrobu do zariadeni.

Vpn mi fungovalo a aj bezi
Pridal som druhy MK ktorý mi spaja odelené siete (nechcem to moc pripajat na priamo, troska aby bola ta siet aj chranená. )

Na tom MK2 proste pingam na VPN a pingam dany print server. Nastavil som tam IP a všetko potrebne
Na VPN v notebooku opingam ip 10.215.2.2 ale dalej nepridem. Potrebujem sa dostat na IP 10.3.200.12 alebo nejak vyriešiť nat 1:1

Skusal som spravit nat 1:1 - nepomohlo to ,
Skusal som spravit routing cez staticke routy ale ani to mi neslo

Neviete mi poradit co by bolo potrebne nastavit na MK2 aby som sa do tej sieti dostal cez VPN ?
Ďakujem

Pre istotu prikladám schému
!Obrázok](https://imgur.com/dAelJVI)

Michal

5nik

Jestli jsem to správně pochopil, tak pro VPN používáš subnet 192.168.54.0/24, pro spojovačku mezi Mtiky 10.215.2.0/29 a cílová síť je 10.3.200.0/24.
Celé by to mělo fungovat routovaně, tj. MK1 musí mít routu pro 10.3.200.0/24 a MK2 musí mít routu pro 192.168.54.0/24. Klienti VPN musí posílat do VPN buď všechen traffic nebo si nějakým způsobem nastavovat routu pro cílovou síť (10.3.200.0/24). Nikde nemusí být NAT, samozřejmě musí být adekvátní firewall na Mticích.

MichalK2

Skúsil som to spravit, ale vysledok je ten isty
Vypol som aj vsetky pravidla na mikrotiku ale ani to mi nepomohlo

Toto je R1

ip route print
DST-ADDRESS PREF-SRC GATEWAY DISTANCE
0 ADS 0.0.0.0/0 212.100.x.y 1
1 ADC 212.100.x.0/24 212.100.x.10 ether0 - WAN 0
2 A S 10.3.200.0/24 10.215.2.2 1
3 ADC 10.215.1.0/24 10.215.1.1 ether1 - LanNet 0
4 ADC 10.215.2.0/24 10.215.2.1 ether2 - Prepoj 0

A R2

[admin@MikroTik_R2] > ip route print
DST-ADDRESS PREF-SRC GATEWAY DISTANCE
0 A S 0.0.0.0/0 10.215.2.1 1
1 ADC 10.3.200.0/23 10.3.200.100 ether2 0
2 ADC 10.215.2.0/24 10.215.2.2 ether1 0
3 A S 192.168.54.0/24 10.215.2.1 1

Len ja som prisiel na maly problem medzi tym. Dany PC server ma GW MK3. Nebude to nejaky problem ? GW zmenit nemožem

Otestoval som nasledovne:
S routra MK1 opingam IP 10.3.200.100
V MK2 - funguje ping na 10.3.200.35
VPN ako taka funguje ale ten PC server nevidim a ani nepingam

Akuart neviem ako steto mysleli s tym FW a pravidlami
Ďakujem

5nik

Len ja som prisiel na maly problem medzi tym. Dany PC server ma GW MK3. Nebude to nejaky problem ? GW zmenit nemožem

Ano, to je problém. Pokud ti jde pouze o přístup z VPN na PC, pak stačí na tom PC nastavit routu pro 192.168.54.0/24 (aby pakety pro VPN posílal přes MK2). Pokud to potřebuješ pro celou síť 10.3.200.0/23, budeš naopak potřebovat dělat srcNAT na MK2 pro pakety jdoucí z VPN do 10.3.200.0/23. Neboli MK2 by měl pakety se src IP 192.168.54.0/24 src-natovat na 10.3.200.100 (případně na MK2 dát druhou IP z rozsahu 10.3.200.0/23 a natovat na ni, abys mohl jednodušeji identifikovat provoz z VPN).