+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

EOIP с IPSEC через двойной NAT

EOIP с IPSEC через двойной NAT, RouterOS

mbrtonpye

Guest

14.09.2018 12:02:00

Всем привет! Может, кто-нибудь поможет, даже если просто скажет, что это абсолютно невозможно? У меня есть офис-головокружение, где стоит Mikrotik с статическим IP, и есть удалённый офис с hEX, который я хочу связать с главным офисом для почты и прочего. Проблема в том, что удалённый офис подключён к интернету через LTE-модем. WAN-адрес LTE-модема показывает 10.x.x.x, но если проверить через checkip.dyndns.com, то виден публичный WAN-адрес 213.x.x.x, то есть провайдер делает двойной NAT. В итоге не удаётся установить соединение по EOIP/IPSEC, срыв происходит на фазе 1, и я предполагаю, что проблема в том, что я настроил удалённый адрес 213.x.x.x как remote в HQ и local на hEX. Кто-нибудь знает, как это обойти или уже сталкивался с таким и успешно решал? Я уже перечитал кучу статей, но я не гуру сетей, и многие темы для меня – тёмный лес, поэтому буду благодарен за любую помощь. Спасибо!

jasgot Guest	#2 0 13.11.2018 05:16:00 Ты так и смог это запустить?

sindy Guest	#3 0 13.11.2018 06:57:00 Не знаю, у кого ты спрашиваешь, но я действительно некоторое время использовал вышеописанную настройку, прежде чем перейти с EoIP на GRE.

jasgot Guest	#4 0 13.11.2018 13:35:00 Думаю, я имел в виду mbrtonpye. Я тоже собираюсь пройти этот путь и ищу идеи и советы. В идеале у меня были бы оба EOIP-эндпойнта за другим роутером с переадресацией портов. Оба с фиксированными IP-адресами.

mbrtonpye

Guest

13.11.2018 13:43:00

К сожалению, у меня не получилось это запустить, и время закончилось. Но я обязательно вернусь к этому проекту как можно скорее. @Sindy, спасибо за помощь до сих пор и извини, что не держал тебя в курсе, но надеюсь скоро к этому вернуться.

sindy Guest	#6 0 13.11.2018 15:16:00 Проброс портов добавляет дополнительный уровень сложности по двум причинам: EoIP использует GRE, а GRE не работает с понятием порта, поэтому GRE нужно инкапсулировать в UDP или TCP (что происходит автоматически, если для шифрования используется IPsec и в сценарии задействован NAT). Для IPsec можно настроить удалённый номер порта только для начальных переговоров ISAKMP, но нельзя заставить инициатора отправлять данные на порт, отличный от 4500, в режиме NAT-T, на который он быстро переключается. Так что у вас всё будет нормально, если сможете пробросить порт на стороне ответчика с публичного IP внешнего маршрутизатора:4500 на приватный IP внутреннего Mikrotik:4500. Но если на публичном IP внешнего маршрутизатора уже что-то слушает на порту 4500, тогда переводить целевой порт придётся уже на стороне инициатора соединения. Для этого нужно либо делать это на внешнем роутере в «необычном» направлении (LAN->WAN), либо пропускать исходящие пакеты через сетевой стек Mikrotik дважды, чтобы выполнить перевод на стороне инициатора Mikrotik. И при этом нужно использовать IKEv2, когда Mikrotik в роли инициатора не пытается начать с порта 500, а сразу отправляет первый пакет на 4500.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры