Помогите с обходом NAT для IPSec.

Привет, может кто-нибудь выложит решение для этого кейса, пожалуйста? У меня похожая ситуация, и я не могу понять, как это решить. Очевидно, адрес RB2 из приведённого выше примера должен быть в сети 192.168.2.0/24. Интересно то, что когда я пытаюсь подключиться к удалённому офису (к 192.168.1.1/24), оба роутера ненадолго показывают активное подключение в окне Remote Peers, но реального подключения нет.

Окей, вот моя ситуация: Офисный роутер MT1 <----------------------------> D-link Роутер — Домашний роутер MT2 (за NAT).

Вывод Router MT1 RouterOS 5.24
`/ip ipsec proposal set [ find default=yes ] auth-algorithms=md5`
`/ip address add address=Public_MT1/25 interface=ether1`
`add address=192.168.1.1/24 interface=ether2`
`/ip firewall filter add chain=input comment=“Ip-Sec-UDP 500” dst-port=500 protocol=udp`
`add chain=input comment=Ip-Sec-ESP protocol=ipsec-esp`
`add chain=input comment=Ip-Sec-AH protocol=ipsec-ah`
`add chain=input comment=VPN-pptp dst-port=1723 protocol=tcp`
`add chain=input comment=“Added by webbox” protocol=icmp`
`add chain=input comment=“Added by webbox” connection-state=established in-interface=ether1`
`add chain=input comment=“Added by webbox” connection-state=related in-interface=ether1`
`add action=drop chain=input comment=“Added by webbox” disabled=yes in-interface=ether1`
`add action=jump chain=forward comment=“Added by webbox” in-interface=ether1 jump-target=customer`
`add chain=customer comment=“Added by webbox” connection-state=established`
`add chain=customer comment=“Added by webbox” connection-state=related`
`add action=drop chain=customer comment=“Added by webbox” disabled=yes`
`/ip firewall nat add chain=srcnat dst-address=192.168.0.0/24 src-address=192.168.1.0/24`
`add action=masquerade chain=srcnat out-interface=ether1`
`/ip ipsec peer add address=Public_Address_of_DLink/32 dpd-interval=10s dpd-maximum-failures=15 exchange-mode=aggressive nat-traversal=yes secret=***`
`/ip ipsec policy add dst-address=192.168.0.0/24 sa-dst-address=Public_Address_of_DLink sa-src-address= Public_addr_MT1 src-address=192.168.1.0/24 tunnel=yes`

Вывод Router MT2 RouterOS 5.24
`/ip ipsec proposal set [ find default=yes ] auth-algorithms=md5`
`/interface pptp-server server set enabled=yes`
`/ip address add address=192.168.8.50/24 interface=ether1`
`add address=192.168.0.1/24 interface=ether2`
`/ip firewall filter add chain=input comment=rdp dst-address=192.168.0.9 dst-port=3389 protocol=tcp`
`add chain=input comment=VPN-PPTP dst-port=1723 protocol=tcp`
`add chain=input comment=“Ip-Sec- UDP 500” dst-port=500 protocol=udp`
`add chain=input comment=Ip-Sec-Esp protocol=ipsec-esp`
`add chain=input comment=Ip-Sec-AH protocol=ipsec-ah`
`add chain=forward comment=“port mapping na 0.9” dst-address=192.168.0.9 dst-port=3389 protocol=tcp`
`add chain=input comment=“Added by webbox” protocol=icmp`
`add chain=input comment=“Added by webbox” connection-state=established in-interface=ether1`
`add chain=input comment=“Added by webbox” connection-state=related in-interface=ether1`
`add action=drop chain=input comment=“Added by webbox” disabled=yes in-interface=ether1`
`add action=jump chain=forward comment=“Added by webbox” in-interface=ether1 jump-target=customer`
`add chain=customer comment=“Added by webbox” connection-state=established`
`add chain=customer comment=“Added by webbox” connection-state=related`
`add action=drop chain=customer comment=“Added by webbox” disabled=yes`
`add action=drop chain=input protocol=tcp src-address=125.210.0.0`
`add chain=input dst-address=0.0.0.0 dst-port=“” port=“” protocol=tcp src-address=0.0.0.0 src-port=“”`
`/ip firewall nat add chain=srcnat dst-address=192.168.1.0/24 src-address=192.168.0.0/24`
`add chain=srcnat disabled=yes dst-address=192.168.8.0/24 src-address= 192.168.0.0/24`
`add chain=srcnat out-interface=ether1`
`add action=dst-nat chain=dstnat comment=RDP dst-port=42107 in-interface=ether1 protocol=tcp to-addresses=192.168.0.9 to-ports=3389`
`add action=dst-nat chain=dstnat comment=RDP dst-port=42154 in-interface=ether1 protocol=tcp to-addresses=192.168.0.2 to-ports=3389`
`/ip ipsec peer add address=Public_addr_MT1/32 dpd-interval=10s dpd-maximum-failures=15 exchange-mode=aggressive nat-traversal=yes secret=**** send-initial-contact=no`
`/ip ipsec policy add dst-address=192.168.1.0/24 sa-dst-address=Public_addr_MT1 sa-src-address= Public_Address_of_DLink src-address=192.168.0.0/24 tunnel=yes`
`/ppp secret add local-address=192.168.100.1 name=*** password=*** profile= default-encryption remote-address=192.168.100.2 service=pptp`
`add local-address=192.168.100.1 name=*** password=*** profile= default-encryption remote-address=192.168.100.3 service=pptp`

D-Link Config
LAN IP 192.168.8.1/24
Port Forwarding (TCP/UDP)
1723 - 1723 192.168.8.50 (TCP/UDP)
500 - 500        192.168.8.50 (TCP/UDP)
50 - 50        192.168.8.50 (TCP/UDP)
445 - 445        192.168.8.50 (TCP/UDP)
1701 - 1701        192.168.8.50

Спасибо! Остальные настройки не меняются? И нужно ли перенаправлять 4500 порт на D-Link?

iluvar Спасибо большое! Кажется, всё в порядке. Я оставил порт 1723 перенаправленным на D-link, потому что у меня несколько клиентов подключаются через VPN pptp. В любом случае, насколько я понимаю, сработало благодаря командам: /ip firewall filter add chain=input comment=“Ip-Sec-NatT-UDP 4500” dst-port=4500 protocol=udp и /tool netwatch add host=192.168.1.1 interval=5s. Я пробовал другие команды раньше, но они не помогли. Не могли бы вы коротко объяснить, зачем нужен порт 4500 и что делает команда netwatch? Спасибо!

Ну и какие проблемы-то? Всё равно, скажи, почему на Д-Линке необязательно открывать порт 4500? И по поводу netwatch: разве туннель не создается автоматически, когда МТ видит "интересующий" траффик? Или это только для IpSec без Nat-T? Спасибо!

Вообще-то (теоретически) инициатором выступает устройство MT1, то есть пользователи из сети 192.168.1.0 (внутренней сети МТ1) подключаются к серверу, который в сети 192.168.0.0 (внутренней сети МТ2). Так что я немного в недоумении (или я не понимаю правильно концепт “инициализации”??).

Спасибо! Остальные настройки не меняются?
Runescape Gold | Diablo 3 Gold | WoW Gold | Rs Gold

Привет, ребята! У меня похожая ситуация: офис, железо неизвестно.

Дом MikroTik shrew клиент из дома подключается по sha1, 3des. Внешний IP 195.95.95.95.

Внешний белый IP 128.28.28.28 (из-под l2tp beeline).

Внутр_подсеть1 10.10.5.0/24.

Внутр_подсеть 192.168.88.0/24.

Внутр_подсеть2 10.10.0.0/24.

Требуется поднять на домашнем микротике туннель до офиса и получить доступ к двум офисным подсетям. Виндовый shrew клиент поднимается, работает. Из логов подсмотрел, что использует sha1 и 3des. Пытался переиначить вашу схему под себя, но туннель не поднимается. Помогите, камрады. Заранее благодарю!

Вот мой скрипт микротика касаемо задачи:

```
/ip firewall filter
add chain=input comment="ipsec mycompany" dst-port=500,1701,1723,4500 protocol=udp src-address=195.95.95.95
add chain=input protocol=ipsec-ah src-address=195.95.95.95
add chain=input protocol=ipsec-esp src-address=195.95.95.95
add chain=input dst-port=500,1701,1723,4500 protocol=tcp src-address=195.95.95.95

/ip firewall nat
add chain=srcnat dst-address=10.10.5.0/24 src-address=192.168.88.0/24
add chain=srcnat dst-address=10.10.0.0/24 src-address=192.168.88.0/24

/ip ipsec proposal
add enc-algorithms=3des lifetime=1d name=mycompany-proposal

/ip ipsec peer
add address=195.95.95.95/32 auth-method=pre-shared-key-xauth dpd-interval= 10s dpd-maximum-failures=15 enc-algorithm=3des exchange-mode=aggressive my-id-user-fqdn=VPNGROUP nat-traversal=yes secret=* xauth-login=* xauth-password=*

/ip ipsec policy
add dst-address=10.10.5.0/24 proposal=mycompany-proposal sa-dst-address= 195.95.95.95 sa-src-address=128.28.28.28 src-address=192.168.88.0/24 tunnel=yes
add dst-address=10.10.0.0/24 proposal=mycompany-proposal sa-dst-address= 195.95.95.95 sa-src-address=128.28.28.28 src-address=192.168.88.0/24 tunnel=yes
```