NordVpn и Mikrotik?

Итак, eap-mschapv2 теперь поддерживается для IKEv2. У нас есть хорошая инструкция по настройке соединения с NordVPN https://wiki.mikrotik.com/wiki/IKEv2_EAP_between_NordVPN_and_RouterOS#Option_1:_Sending_all_traffic_over_the_tunnel. Но может кто-нибудь помочь с тем, как направлять через IPSec-туннель только трафик к определённым сайтам (список создан в Firewall → Address Lists)? Я думаю, что нужна статическая NAT-запись, где dst-address-list будет установлен на мой список сайтов. Как решить проблему возможных изменений IP-адресов со стороны NordVPN (скриптами)? Может, кто-то поделится рабочим примером?

ementat… Это новая информация на основе последнего обновления прошивки? Помню, что видел что-то про улучшения в VPN! Можно ли сделать вывод, что теперь любой провайдер VPN с похожей настройкой тоже можно использовать с RouterOS?

Режим IPsec mode-config избавляет вас от необходимости отслеживать изменения адреса, который вы получаете от респондера, с помощью динамически создаваемого (и обновляемого) правила src-nat — вы просто указываете имя address-list, которая будет использоваться в этом правиле как src-address-list. Таким образом, трафик, источник IP которого совпадает с этим списком адресов, проходит src-nat на IP, который в данный момент назначен вам респондентом, и, соответственно, попадает под политику IPsec. Поскольку это правило стоит в самом первом положении в цепочке srcnat, исключения из него создать невозможно. Поэтому один из способов сделать src-nat только для пакетов к указанным назначениям — периодически запускать скрипт, который обновляет параметр to-addresses в вручную созданном правиле action=src-nat, как предлагает @mrz, другой способ описан здесь, но, на мой взгляд, способ со скриптом гораздо проще. Конечно, возможность указать параметр dst-address-list для mode-config, чтобы динамически создаваемое правило src-nat срабатывало только на пакеты к адресам из этого списка, была бы ещё лучше, но это уже предложение по улучшению.

Вам нужно предотвратить создание правила динамического NAT, а это просто значит — не устанавливать элемент address-list в строке с параметром request-only (responder=no) в /ip ipsec mode-config, на которую вы ссылаетесь из строки /ip ipsec identity, которую используете для NordVPN.

Что касается скрипта, то он примерно такой:  
if ([:len [/system script environment find name=lastIP]] = 0) do={global lastIP 8.8.8.8};
local currentIP [/ip address get [find dynamic !(address in your.wan.subnet.ip/mask) interface~"if-name"] address];
if ($lastIP != $currentIP) do={  
 ip firewall nat set [find chain=srcnat action=src-nat dst-address-list~"nordvpn-targets"] to-addresses=$currentIP;
 system script environment set lastIP value=$currentIP;  
}  

Правило для получения текущего IP, назначенного через IKEv2, нужно внимательно адаптировать под вашу среду — оно привязано к какому-то существующему интерфейсу, а я не знаю критериев выбора этого интерфейса. Поэтому условия поиска включают имя интерфейса и исключение подсети, из которой вы обычно получаете свой обычный WAN-адрес от DHCP провайдера, так чтобы подходил только действительно необходимый динамически назначенный IP.  

Скрипт необходимо запускать периодически через планировщик. Каждые 5 секунд, вероятно, будет достаточно. Возможно, со временем Mikrotik добавит возможность привязывать скрипт к identity или mode-config, чтобы он запускался при каждом изменении, как это сейчас работает с dhcp-client, dhcp-server и ppp-профилями.