IPSec VPN к SonicWall, NAT подсети с обеих сторон.

Кажется, ты уже решил свою проблему, но вдруг кому-то ещё понадобится. У меня была та же самая проблема, но я решил её вот так… Это пример для одного пира (сейчас у меня 6 пиров, всё настроено так же). У Mikrotik LAN задан как 172.16.5.0/24 с source-nat на внешний мир через публичный IP-адрес 194.x.x.x.

[admin@MikroTik] ip ipsec> proposal print
Flags: X - disabled
0   name="default" auth-algorithms=sha1 enc-algorithms=3des lifetime=30m
    lifebytes=0 pfs-group=modp1024

1   name="Office" auth-algorithms=sha1 enc-algorithms=3des lifetime=8h
    lifebytes=0 pfs-group=none
Я использую SHA1 и 3DES с временем жизни 8h, как видно…
[admin@MikroTik] ip ipsec> peer print
Flags: X - disabled
0   address=213.x.x.x/32:500 secret="test" generate-policy=yes
    exchange-mode=main send-initial-contact=yes proposal-check=obey
    hash-algorithm=sha1 enc-algorithm=3des dh-group=modp1024 lifetime=8h
    lifebytes=0
В этом случае все политики генерируются автоматически. И если я группирую сети на Sonicwall, например, в 'Firewalled Networks' (содержащие все частные и DMZ области за Sonicwall) и поднимаю этот VPN, то получаю:
[admin@MikroTik] ip ipsec> policy print
Flags: X - disabled, D - dynamic, I - invalid
0 D src-address=172.16.5.0/24:any dst-address=172.16.0.0/24:any protocol=all
    action=encrypt level=require ipsec-protocols=esp tunnel=yes
    sa-src-address=194.x.x.x sa-dst-address=213.x.x.x
    proposal=default dont-fragment=clear

1 D src-address=172.16.5.0/24:any dst-address=213.x.x.x/27:any
    protocol=all action=encrypt level=require ipsec-protocols=esp tunnel=yes
    sa-src-address=194.x.x.x sa-dst-address=213.x.x.x
    proposal=default dont-fragment=clear

2 D src-address=172.16.5.0/24:any dst-address=172.16.1.0/24:any protocol=all
    action=encrypt level=require ipsec-protocols=esp tunnel=yes
    sa-src-address=194.x.x.x sa-dst-address=213.x.x.x
    proposal=default dont-fragment=clear

3 D src-address=172.16.5.0/24:any dst-address=172.16.2.0/24:any protocol=all
    action=encrypt level=require ipsec-protocols=esp tunnel=yes
    sa-src-address=194.x.x.x sa-dst-address=213.x.x.x
    proposal=default dont-fragment=clear

Заметьте, что у меня также есть доступ к DMZ через VPN – очень ограниченный доступ из WAN в DMZ (например, нет SSH), но я хочу здесь ssh, поэтому экспортирую DMZ из Sonicwall для работы через VPN (правило 1). Теперь ключевая часть – NAT-T (nat-traversal), которая не поддерживается RouterOS 2.9, как я нашёл на форуме. Решение очень простое… смотри сам:
[admin@MikroTik] ip firewall> nat print
Flags: X - disabled, I - invalid, D - dynamic
0   ;;; No NAT on VPN's to the office - public DMZ range + private LAN's
    chain=srcnat dst-address=172.16.0.0/24 action=accept

1   chain=srcnat dst-address=172.16.1.0/24 action=accept

2   chain=srcnat dst-address=172.16.2.0/24 action=accept

3   chain=srcnat dst-address=213.x.x.x/27 action=accept

4   ;;; Master NAT - all other connections go to the Internet
    chain=srcnat src-address=172.16.5.0/24 dst-address=0.0.0.0/0 action=src-nat
    to-addresses=194.x.x.x to-ports=0-65535
Это дало мне полный доступ к LAN’ам за любыми Sonicwall’ами, без NAT. Все остальные соединения идут через NAT, как и хотели… Теперь попробую сделать немного бриджинга с фильтрацией и NAT одновременно… сохраняя несколько бриджей здесь же для ещё 4 частных IP-сетей… Всё должно иметь отдельную фильтрацию на бридже, на трафике, разрешенном через VPN туннели и через NAT. Просто не весь трафик разрешен даже внутри наших собственных сетей и должен фильтроваться на нескольких уровнях. Реальная головная боль для реализации даже с MT, который очень прямолинеен. Надеюсь, это поможет, удачи!
Том