+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Как добавить публичный IP к адресу и локальному адресу IPSec-пиров?

Как добавить публичный IP к адресу и локальному адресу IPSec-пиров?, RouterOS

LifeGame

Guest

11.05.2022 09:06:00

Привет! У меня Mikrotik стоит за модемом.
Модем Public: 176.41.xxx.xxx (динамический)
Модем LAN: 192.168.1.0/24
Mikrotik - UpLink (ether1): 192.168.1.15/32 (WAN)
Mikrotik - bridge - LAN: 10.10.5.1/24 (eth2-3-4-5)

У меня работает IPsec VPN, но когда модем перезагружается, мой публичный IP меняется. Чтобы VPN снова заработал, мне нужно добавить новый публичный IP так:
/ip address set interface=UpLink address="Новый IP адрес"
/ip ipsec peer set myvpn local-address="Новый IP адрес"

Есть ли способ автоматически добавить новый публичный IP (IP → Cloud → Public Address) и в “IP → Addresses”, и в “IP → IPsec → Peers → Local Address”?

Спасибо!

LifeGame Guest	#2 0 02.06.2022 07:07:00 Не должно быть так сложно и запутанно…

pe1chl

Guest

02.06.2022 07:14:00

Но это так. Это просто IPsec. Посмотри на свой Palo Alto — там тоже всё сложно. И он вообще не может общаться с GRE/IPsec-пирами за NAT. Если не хочешь всей этой мороки, либо ищи соединение без NAT (а как насчёт IPv6?), либо не используй IPsec.

LifeGame Guest	#4 0 02.06.2022 07:24:00 Да, в PaloAlto многое отсутствует. У меня нет возможности выйти за NAT...

Sob

Guest

02.06.2022 18:01:00

Я бы сказал, что это не так уж и сложно, и что RouterOS не единственный виновник. IPSec может работать за NAT. Насколько я знаю, IKEv1 имел это как расширение, а IKEv2 поддерживает изначально. И та, и другая версия уже не новые, так что сейчас всё должно это поддерживать.

pe1chl

Guest

02.06.2022 19:49:00

Расширение NAT для IKEv1 работает только в туннельном режиме, а не в транспортном. GRE поверх IPsec обычно работает в транспортном режиме, потому что это эффективнее. RouterOS умеет автоматически переключаться в туннельный режим, когда используется NAT, а другие маршрутизаторы не всегда могут это сделать. Вот и первый рабочий вопрос при использовании NAT.

Sob Guest	#7 0 03.06.2022 01:02:00 Ладно, я всё время забываю про некоторые части IPSec.

LifeGame

Guest

03.06.2022 05:21:00

Ребята, привет… @Sob, @pe1chl Моя проблема не в ipsec. На самом деле, это обычная ситуация, потому что Mikrotik стоит за NAT. Мне нужен скрипт, который бы добавлял мой публичный IP в:

/ip address set interface=UpLink address="Public IP"
/ip ipsec peer set myvpn local-address="Public IP"

Примечание:
Public IP: 172.41.XXX.XXX
Modem Wan: 10.XXX.XXX.XXX
Modem Lan: 192.168.1.0/24
Mikrotik Wan: 192.168.1.15
Mikrotik Lan: 10.10.5.0/24

Настоящая проблема — мой провайдер… !!! Даже если бы я мог перевести модем в режим моста, чего я не могу, проблема бы всё равно не решилась.

pe1chl

Guest

03.06.2022 07:39:00

Но это не сработает, если вы укажете свой публичный IP как локальный в IPsec, в то время как на самом деле вы за NAT! В таком случае нужно указать локальный IP (RFC1918), который у вас за NAT. Также, если у вас двойной NAT (например, у вас есть локальный роутер с NAT, а у провайдера тоже есть NAT), обычно это вообще не работает. (зависит от конкретного IPsec-профиля, который вы используете) Это происходит потому, что номер порта может быть изменён дважды, а IPsec-профиль проверяет номер порта, и он не совпадает. С этим можно обойтись, используя generate-policy=port-override в ipsec identity (вместо port-strict).

Larsa

Guest

#10

03.06.2022 09:21:00

И в дополнение к посту @Pe1chl: в случае двойного NAT (то есть CG-NAT у провайдера и NAT на вашем роутере) или, например, если оба конца соединения находятся за NAT, существуют разные техники для обхода NAT, такие как «пробивание отверстий» (hole punching), используемые в SIP, STUN и подобных протоколах. К сожалению, в IPsec нет стандарта для решения этой проблемы, хотя некоторые производители сами разработали свои собственные решения, например, Cisco Meraki.

Как работает обход NAT
NAT Traversal - IPSec over NAT Tutorial

LifeGame

Guest

#11

03.06.2022 09:37:00

Бро... мой ipsec РАБОТАЕТ!!! Мне только нужен скрипт, который сможет добавить новый IP-адрес так:
/ip address set interface=UpLink address="New IP Adress"
/ip ipsec peer set myvpn local-address="New IP Adress"
Потому что мой публичный IP динамический, и я не понимаю почему, но он меняется каждый день...

pe1chl Guest	#12 0 03.06.2022 09:37:00 И, конечно, рабочее решение — настроить IPsec-туннель через IPv6. Поставщик интернет-услуг, который внедрил CG-NAT, по моему мнению, хотя бы должен предоставлять IPv6.

Sob Guest	#13 0 03.06.2022 15:30:00 Я уже оставил подсказку, как можно это запрограммировать.

LifeGame Guest	#14 0 04.06.2022 12:43:00 Да.. Это работает :local NewIP [/ip cloud get public-address] /ip address add interface=UpLink address=$NewIP /ip ipsec peer set onurgroup local-address=$NewIP и расписание 1 час… хочу это улучшить… хочу сделать так: находить новый IP и сравнивать его с текущим. Если не совпадают… … :global currentIP; :local newIP [/ip cloud get public-address]; :if ($newIP != $currentIP) do={ /ip address add interface=UpLink address=$NewIP /ip ipsec peer set myvpn local-address=$NewIP }; это правильный путь?

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры