IPsec tunel - site to site

redero83

Zdravím byl by někdo schopen pomoci s připojením dvou míst pomocí IPsec tunelu. Spojení proběhlo jen se nejde dostat z jedné sítě do druhé a naopak.

Děkuji.

pgb

redero83 tak zadání je trochu nedostatečné, rozepiš se jakou máš konfiguraci, pak ti třeba někdo pomůže. Níže přikládám ukázku site2site ipsec mikrotiku, jen musíš zajistit že se ti ty adresy do cílové sítě nebudou natovat ....

# SITE A - wan 212.24.128.1, lan 192.168.15.0/24)
/ip ipsec peer
add address=212.24.128.6/32 local-address=212.24.128.1 name=peer1
/ip ipsec identity
add peer=peer1 secret=tajneheslo
/ip ipsec policy
add dst-address=192.168.16.0/24 sa-dst-address=212.24.128.6 sa-src-address=212.24.128.1 src-address=192.168.15.0/24 tunnel=ye

# SITE B (wan 212.24.128.6, lan 192.168.16.0/24):
/ip ipsec peer
add address=212.24.128.1/32 local-address=212.24.128.6 name=peer1
/ip ipsec identity
add peer=peer1 secret=tajneheslo
/ip ipsec policy
add dst-address=192.168.15.0/24 sa-dst-address=212.24.128.1 sa-src-address=212.24.128.6 src-address=192.168.16.0/24 tunnel=yes```

JaraLinux

Něco takového jsem dělal i ve své síti, zkusím pomoci.

schrotterp

mas nastavene ipsec a nat firewall pravidla ?

nofu

Už nějakou dobu mám nastaveno vpodstatě stejně jako poslal pgb , není mi ale jasná jedna věc. Nemusel jsem nastavovat routy a ty dvě sítě na sebe navzájem vidí. Jak je to možné? Co změnit, abych mohl nastavit routy?

redero83

Ahoj,

MT1
verze RouterOS 6.49.1
Připojení od O2 dané do bridge
PPPoE client na Ether1 - 93.153.64.89
LAN - 10.1.1.1/24 na bridge LAN

MT2
verze RouterOS 6.49.1
Připojení od mistního providera
Ether1 - 188.75.142.22
LAN - 192.168.17.1/24

Jinak tunel jsem dělal přes INTERFACES - IP Tunel:
Name: Tunel
local adress: 93.153.64.89
remote adress: 188.75.142.22
Ipsec Secret: xxxxxxxxxxxxx
Keepalive: 8h
DSCP: inherit
Dont Fragment: no
zaškrtlé: Clamp TCP MSS
nezaškrtlé: Allow Fast Path

to samé a druhé straně, jen ty adresy obráceně.

V ipsec se samo vytvořilo:
Policies, Peers, Identities a active peers

to samé a druhé straně.

redero83

tak spojení se podařilo ale nejde pingnout ani z jedné sítě do té druhé.

Kdyby měl někdo čas tak pustím klidně i vzdálené připojení a rád Vám zavolám.

Děkuji všem za snahu, je to super že se najde ještě pár lidí co rádi pomůžou

mirek_k

Ty tunel interface by měly mít IP adresy:
Např. 10.10.10.1/24 a 10.10.10.2/24.
Pak na obou stranách nastavit routy pro vzdálené sítě.

redero83

mirek_k
Díky za info, nastaveno a vše jede. děkuji všem za pomoc .

pgb

nofu routy tě nezajímají, protože packet je po cestě netfilterem odchycený a na základě policy se zabalí a pošle zašifrovaný na protistranu. Pokud si chceš nastavovat routy, tak musíš mít místo "přímého' šifrování ještě vložený nějaké virtuální rozhraní - eoip/ipip + ipsec. Přidává to další overhead, takže se snižuje mtu a tedy i teoreticky maximální propustnost.

Pro víc informací si najdi a nastuduj na mikrotiku flow kde je uvedený i ipsec.