+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

VPN (PPTP, L2TP) + опция DHCP 121 для добавления маршрутов клиентам

VPN (PPTP, L2TP) + опция DHCP 121 для добавления маршрутов клиентам, RouterOS

Sysxp

Guest

31.10.2022 06:06:00

Привет! Короче, у меня есть VPN-клиенты (Windows 7 и новее), которые подключаются с IP из диапазона 192.168.20.0/24 (выдаётся пулом на Mikrotik). И я хочу, чтобы они могли получить доступ к 192.168.30.0/24, 192.168.40.0/24 и так далее, то есть нужны маршруты на клиентах. Я не люблю вручную добавлять маршруты через ROUTE ADD, поэтому после долгих поисков нашёл решение — внешний DHCP-сервер (у меня на Windows 2012) с опцией «121 - Classless route option». Чтобы всё работало, нужны следующие правила:

/ip firewall nat
add action=dst-nat chain=dstnat dst-address=255.255.255.255 dst-port=67 in-interface=all-ppp protocol=udp src-address=192.168.20.0/24 src-port=68 to-addresses='IP DHCP-сервера здесь'

/ip firewall raw
add action=notrack chain=prerouting dst-address=192.168.20.0/24 dst-port=68 protocol=udp src-address='IP DHCP-сервера здесь' src-port=67

И это отлично работает — клиенты как по волшебству получают маршруты автоматически, никаких скриптов, просто «так оно и работает».

Мой вопрос: всё это было сделано давно. Есть ли способ добиться того же результата, используя только Mikrotik, без внешнего DHCP? Можно ли сделать это в RouterOS 7? Есть ли вариант сделать это как-то иначе, чем я сейчас? Спасибо!

satman1w Guest	#2 0 15.11.2022 06:30:00 Я не уверен, что правильно понял твой пост, но если у тебя в сети стоит роутер Mikrotik и все твои сети к нему подключены, зачем тогда вообще нужно прокидывать дополнительные маршруты клиентам???

Sob Guest	#3 0 15.11.2022 14:23:00 Если VPN-клиент не использует сервер в качестве шлюза по умолчанию, тогда однозначно имеет смысл настраивать маршруты. И нет, я так и не нашёл способ, как это сделать.

Sysxp

Guest

16.11.2022 17:24:00

Когда клиент подключается, направлять ВЕСЬ его трафик через VPN — обычно плохая идея. Вот почему галочка «Use default gateway on remote network» в настройках TCP/IP не стоит, и пользователь может пользоваться интернетом через своё локальное подключение, одновременно имея доступ к корпоративным ресурсам, при этом не гоняя весь свой YouTube с котиками через VPN. Таким образом, при IP 192.168.20.x/24 он не может достучаться до 192.168.30.x/24 и т.п., потому что у клиента просто нет маршрута к этой сети. Надеюсь, это понятно. В любом случае, судя по количеству ответов, по этой конкретной проблеме ничего не сделано, и моё решение всё ещё лучшее. (Ну то есть, оно не моё, я просто нашёл его много лет назад, наверное, какой-то очень умный и отчаившийся человек придумал это изначально). И нет, я так и не нашёл способа, как сделать по-другому. Спасибо, я так и думал — это немного грустно. iOS 16 — грустно, routerOS 7 — грустно, не знаю, «раньше было лучше», видимо. :')

Sob

Guest

17.11.2022 02:26:00

Если бы не нужно было поддерживать Windows 7 и если ваша среда не слишком динамичная, то новые версии (не уверен, с 8 или 10) поддерживают назначение маршрутов для VPN-соединений (Add-VpnConnectionRoute в powershell). Это довольно удобно. Конечно, если бы RouterOS поддерживал DHCP для VPN-соединений, было бы тоже неплохо. Но, насколько мне известно, пока что это доступно только для IPSec-соединений, см. https://help.mikrotik.com/docs/display/ROS/IPsec#IPsec-Knownlimitations.

Sysxp Guest	#6 0 17.11.2022 05:07:00 Да, я слышал об этом. Но всё же это не то же самое — нужно подключаться к удалённому ПК или отправлять какой-то скрипт для добавления маршрута. Решение с DHCP гораздо более элегантное, простое, гибкое и не требует НИКАКИХ настроек на стороне клиента. Кроме того, я могу в любой момент добавить новый маршрут, и он сразу же применится ко всем новым (или перезапущенным) подключениям, без необходимости бегать по 100+ удалённым ноутбукам — это было бы просто сумасшествие.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры