+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Проблема с VPN/NAT на MikroTik (версия 2.9.11) и Cisco 2600.

Проблема с VPN/NAT на MikroTik (версия 2.9.11) и Cisco 2600., RouterOS

ugly-american

Guest

03.05.2006 04:02:00

Привет всем, я новичок в маршрутизаторах MikroTik, хотя работаю с маршрутизаторами уже около 10 лет. Я настроил IPSec-туннель между Cisco 2600 и маршрутизатором MikroTik. Сеть A <—> 2600 <—> Интернет <—> MikroTik <—> Сеть B.

Проблема: когда я пытаюсь связаться из сети A в сеть B, туннель работает на 100% во время установленной сессии. Когда я пытаюсь из сети B в сеть A — ничего не работает. Я вижу, что туннель активен, но капсуляции и декапсуляции не увеличиваются. Что может быть причиной этого? Буду признателен за любую помощь.

Спасибо,
UA

Вот конфигурация MikroTik:

[admin@MikroTik] ip ipsec> proposal print

Flags: X - disabled
0 name=“default” auth-algorithms=sha1 enc-algorithms=des lifetime=30m lifebytes=0 pfs-group=none

[admin@MikroTik] ip ipsec> peer print

Flags: X - disabled
0 address=x.x.216.10/32:500 secret=“removed” generate-policy=no exchange-mode=main send-initial-contact=yes proposal-check=obey hash-algorithm=md5 enc-algorithm=des dh-group=modp1024 lifetime=1d lifebytes=0

[admin@MikroTik] ip ipsec> policy print

Flags: X - disabled, D - dynamic, I - invalid
0 src-address=192.168.10.0/24:any dst-address=192.168.17.0/24:any protocol=all action=encrypt level=require ipsec-protocols=esp tunnel=yes sa-src-address=x.x.205.2 sa-dst-address=x.x.216.10 proposal=default manual-sa=none dont-fragment=clear
1 src-address=192.168.10.0/24:any dst-address=192.168.18.0/24:any protocol=all action=encrypt level=require ipsec-protocols=esp tunnel=yes sa-src-address=x.x.205.2 sa-dst-address=x.x.216.10 proposal=default manual-sa=none dont-fragment=clear
2 src-address=192.168.10.0/24:any dst-address=192.168.19.0/24:any protocol=all action=encrypt level=require ipsec-protocols=esp tunnel=yes sa-src-address=x.x.205.2 sa-dst-address=x.x.216.10 proposal=default manual-sa=none dont-fragment=clear
3 src-address=192.168.10.0/24:any dst-address=192.168.20.0/24:any protocol=all action=encrypt level=require ipsec-protocols=esp tunnel=yes sa-src-address=x.x.205.2 sa-dst-address=x.x.216.10 proposal=default manual-sa=none dont-fragment=clear
4 src-address=192.168.10.0/24:any dst-address=192.168.15.0/24:any protocol=all action=encrypt level=require ipsec-protocols=esp tunnel=yes sa-src-address=x.x.205.2 sa-dst-address=x.x.216.10 proposal=default manual-sa=none dont-fragment=clear
5 src-address=192.168.10.0/24:any dst-address=192.168.16.0/24:any protocol=all action=encrypt level=require ipsec-protocols=esp tunnel=yes sa-src-address=x.x.205.2 sa-dst-address=x.x.216.10 proposal=default manual-sa=none dont-fragment=clear

andrewluck Guest	#2 0 03.05.2006 08:21:00 Как выглядит вывод отладки в каждом конце? С уважением, Andrew

fatonk Guest	#3 0 03.05.2006 14:46:00 Можешь, пожалуйста, выложить конфиг Cisco 2600, чтобы мы могли сравнить. С уважением, Faton.

fatonk Guest	#4 0 03.05.2006 14:50:00 Можешь, пожалуйста, выложи конфиг Cisco 2600, чтобы мы могли сравнить. С уважением, Faton.

ugly-american

Guest

04.05.2006 02:34:00

Спасибо за интерес. Вот основные моменты из конфигурации Cisco:

`crypto isakmp policy 12 hash md5 authentication pre-share group 2`
`crypto isakmp key “removed” address x.x.205.2`
`crypto ipsec transform-set CA2MA esp-des esp-sha-hmac`
`crypto map vpn_map local-address Ethernet0/0 crypto map vpn_map 12 ipsec-isakmp set peer x.x.205.2 set transform-set CA2MA match address 120`

Интерфейс Ethernet0/0:
`ip address x.x.216.10 255.255.255.0`
`ip nat outside`
`crypto map vpn_map`

Интерфейс Ethernet0/1:
`ip address 192.168.17.10 255.255.255.0`
`ip nat inside`

`ip nat pool natpool-1 x.x.216.10 x.x.216.10 netmask 255.255.255.0`
`ip nat inside source list NAT_List pool natpool-1 overload`
`ip route 0.0.0.0 0.0.0.0 Ethernet0/0`

Список доступа NAT_List:
`ip access-list extended NAT_List`
`deny ip 192.168.15.0 0.0.0.255 192.168.10.0 0.0.0.255`
`deny ip 192.168.16.0 0.0.0.255 192.168.10.0 0.0.0.255`
`deny ip 192.168.17.0 0.0.0.255 192.168.10.0 0.0.0.255`
`deny ip 192.168.18.0 0.0.0.255 192.168.10.0 0.0.0.255`
`deny ip 192.168.19.0 0.0.0.255 192.168.10.0 0.0.0.255`
`deny ip 192.168.20.0 0.0.0.255 192.168.10.0 0.0.0.255`
`permit ip 192.168.17.0 0.0.0.255 any`
`permit ip 192.168.18.0 0.0.0.255 any`
`permit ip 192.168.19.0 0.0.0.255 any`
`permit ip 192.168.20.0 0.0.0.255 any`

Список доступа 120:
`access-list 120 permit ip 192.168.15.0 0.0.0.255 192.168.10.0 0.0.0.255`
`access-list 120 permit ip 192.168.16.0 0.0.0.255 192.168.10.0 0.0.0.255`
`access-list 120 permit ip 192.168.17.0 0.0.0.255 192.168.10.0 0.0.0.255`
`access-list 120 permit ip 192.168.18.0 0.0.0.255 192.168.10.0 0.0.0.255`
`access-list 120 permit ip 192.168.19.0 0.0.0.255 192.168.10.0 0.0.0.255`
`access-list 120 permit ip 192.168.20.0 0.0.0.255 192.168.10.0 0.0.0.255`

ugly-american

Guest

04.05.2006 04:39:00

Нашёл причину. IPSec был настроен верно, проблема была в моих правилах NAT на MikroTik. Я использовал src-address-list вместо src-address в определениях. Смотри ниже: неверно: chain=srcnat src-address-list=192.168.10.0/24 dst-address-list=192.168.15.0/24 action=accept верно: chain=srcnat src-address=192.168.10.0/24 dst-address=192.168.15.0/24 action=accept Как только я это исправил, я смог пинговать сеть A. Кстати, обновил роутер до последней версии.

fatonk Guest	#7 0 04.05.2006 07:48:00 Точно, тот трафик был NAT-ed до того, как вы это поменяли. Здорово, с наилучшими пожеланиями.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры