Межсетевой экран IPSec Site to Site

У кого-нибудь есть идеи, чем помочь? GRE Tunnel или L2TP не вариант, потому что мои Road Warriors это не поддерживают. Может, сделать петлю с исходящего порта 6 на порт 7 и настроить файрвол так, чтобы трафик между портами 7 и 8 шел без шифрования? Или это полная ерунда?

Ваши удалённые пользователи будут получать динамический интерфейс L2TP при подключении. Если только вы не используете PPTP или SSTP. Также стоит отметить, что удалённый пользователь <> site-to-site — не одно и то же, как вы написали в своём сообщении. И ещё: у вас должна быть возможность задать несколько политик, чтобы правильно настроить маршрутизацию нужного трафика даже для удалённых пользователей. В вики есть раздел о том, как использовать mode conf с группами политик для описания вашего нужного трафика. Плюс, при необходимости, вы вполне можете настроить правила split tunneling. Почитайте вики по IP/IPSec — там много примеров и идей для конфигурации.

Привет! Спасибо за ответ. Проблема в том, что я не могу настроить IPsec/L2TP. Единственный вариант — site-to-site. Чтобы было понятнее, что у меня есть: компьютер (172.10.20.2) — 3G/UMTS-модем (172.10.20.1) — IPSEC — Mikrotik (172.10.0.1) — сервер (172.10.0.2).

Суть в том, что модем снаружи поддерживает только IPsec site-to-site или OpenVPN, поэтому я выбрал IPsec. Всё работает нормально. Но теперь я бы хотел закрыть неиспользуемые порты, чтобы повысить безопасность туннеля. Как уже писал, IPsec-туннель не является интерфейсом на маршрутизаторе Mikrotik. Но я всё ещё ищу способ ограничить порты, проходящие через туннель к серверу (172.10.0.2).

Идея — настроить правила исходящего трафика на порту подключателя с маршрутизатора, но будет ли это безопасно? Для информации: это одна из схем, сейчас к этому маршрутизатору подключено 35 таких настроек.

Спасибо за помощь!

Спасибо за инструкцию. Если я правильно понял, я могу разобраться с этим с помощью политик? Просто прочитал вики, как описано. Значит, если я изменю политику так, чтобы разрешался только tcp-трафик с порта 3002, этого должно хватить? Остальной трафик будет блокироваться, потому что он не зашифрован? Или я всё ещё ошибаюсь? Просто для информации — я не могу настроить никаких правил политики на модеме, так что надеюсь, этого будет достаточно, если я сделаю это в MK? Спасибо.

Только одна информация: насколько я знаю, в политике можно указать только один протокол или один порт. Или я неправильно понимаю. Завтра посмотрю и попробую. Просто для информации: нагрузка на процессор и пропускная способность почти в простое, потому что у нас трафик в диапазоне 1–5 Кб и около 1000 пакетов в час. Так что, если честно, трафик через туннель ну очень небольшой.

Привет, я попробовал твою идею с двумя политиками, но она не сработала. Если отключить одну, то вторая начинает работать. Так что, думаю, мой UMTS-роутер это не поддерживает. Второй способ — блокировать мост (там, где подключены локальные порты) — тоже не подходит. Я пытался добавить правило с drop any, но ничего не блокируется. Есть идеи?

Мне удалось это настроить! Вот как я сделал: я создал 3 правила переадресации с назначением на локальную подсеть, где завершается IPsec-трафик. Там я блокирую всё, кроме ICMP и указанного TCP-порта. Чтобы сделать это более точным, я настроил белый список, в который включил разрешённых клиентов. На стороне клиента я провёл тесты с помощью nmap, и кажется, что никакие другие порты на сервере недоступны. Это видно в логе правила блокировки. Надеюсь, я всё сделал правильно? Спасибо!