Настройка IPSec VPN между Dual WAN и Single WAN для отказоустойчивости.

Привет, staticjess! Я новичок в mikrotik, только начинаю работать с их оборудованием, но планирую создать настройку почти идентичную твоей, за исключением того, что в филиалах у меня будет 3G USB резервное соединение с динамическими IP-адресами – просто чтобы сделать отказ IPSec немного интереснее. Я также думаю использовать GRE туннели вместо IPIP, потому что у меня с одной стороны dlink DFL-800, а с другой – mikrotik, и dlink не поддерживает IPIP (хотя, насколько я понимаю, это тоже может вызвать проблемы с отказоустойчивостью...). Так что хотя я пока не могу помочь, надеюсь, через неделю-две, когда у меня будет время все изучить, я смогу внести свой вклад в эту настройку. Судя по тому, как я тут недавно прятался в тени, одно дело, которое может помочь тебе получить ответы быстрее, – это предоставление своих конфигураций в виде текстовых экспортов, а не скриншотов, чтобы заинтересованные лица могли скопировать/вставить экспортированную настройку одним махом, не разбираясь вручную по скриншотам Winbox. В Winbox, если открыть терминал и ввести что-то вроде "export compact hide-sensitive", то должно получиться что-то переносимое. Надеюсь, смогу помочь больше в ближайшее время.

Алекс сейчас, похоже, недоступен, но есть кто-нибудь, кто выполнил настройку, о которой я просил выше? Команда поддержки Mikrotik? Кто-нибудь?

Привет, новенький здесь. Как успехи с подключением 3G? Спасибо.

Привет! Знаю, что это очень старая тема, но кто-нибудь смог заставить это работать? В моем сценарии у филиальной точки тоже два провайдера (с динамическими IP-адресами). Так что не должно быть точки отказа, если один из провайдеров выйдет из строя. Спасибо и наилучшие пожелания Stril.

Вот как бы я это сделал: создайте два IP-IP туннеля, по одному для каждого провайдера. Затем настройте маршрутизацию и убедитесь, что всё работает корректно. Как только у вас будет полностью функционирующая система, как вы хотите, ТОГДА настраивайте IPSec. IPSec нужно создать только для самого туннеля. Не нужно создавать IPSec-политику, чтобы идентифицировать каждый тип интересного трафика. Поэтому вам понадобится всего одна IPSec-политика для каждого IP-IP туннеля. Это обеспечит полностью маршрутизируемую сеть между двумя офисами. Просто настройте статические маршруты для каждой сети. См. туториалы от Грега Соуэлла для получения подробной помощи и примеров. Я делаю много подобных, и они отлично работают. Алекс

Мы это делаем постоянно. Похоже, ваши затраты на маршрутизацию пока не совсем верные. Настройте статические маршруты для каждой локальной сети, но с разными затратами. Помните, всегда начинайте с самой базовой настройки и развивайтесь от неё. Например, туннель ipip до hq имеет стоимость маршрута 1 на основном isp-линке, а туннель ipip имеет стоимость маршрута 10 для второго isp-линка. Таким образом, у вас будет два маршрута для каждой сети. Это поможет? Можете ли вы вставить свои конфиги?

Привет, Алекс! Могу спросить, как рассчитывается стоимость маршрутизации? Это scope, target-scope или расстояние? Заранее спасибо, StaticJess.

Конечно, я последовал рекомендациям Грега Соуэлла. Ниже приведены скриншоты того, что я сделал. Я пока еще не так хорошо разбираюсь в написании команд в Mikrotik, подозреваю, что научусь со временем, поскольку мне нужно запоминать некоторые команды и их функции по ходу дела. Проблема с моей текущей настройкой в том, что VPN может подключаться только к одной линии связи. Допустим, подключены ISP1 и филиал, если я попытаюсь отключить ISP1 в месте, где находится Dual WAN, то VPN-соединение не переключается на мой ISP2. Ниже приведено, чего я хочу добиться, и ваше руководство по моим IP-адресам: Я пытаюсь имитировать это в небольшой среде в первую очередь, поскольку не хочу тратить время на работу с публичными IP-адресами, так как у меня есть люди, которые пользуются Интернетом в точной конфигурации для этого проекта резервного копирования. Ниже приведены скриншоты области с Dual WAN: 01-Интерфейс 02-IPIP Tunnel 1 03-IPIP Tunnel 2 04-Address List 05-Firewall NAT 06-Route List 07-IPSec Policies 08-IPSec Policy 1 General 09-IPSec Policy 1 Action 10-IPSec Policy 2 General 11-IPSec Policy 2 Action 12-IPSec Peer 13-Phase 2 Proposal 14-Ping Test Как видите, мой сайт А (местоположение Dual WAN) может подключаться, но если я отключу, скажем… WAN 1, который подключен в соответствии со списком маршрутов, то соединение не переключается на следующее VPN-соединение. То же самое происходит в реальной реализации.