+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Проблема с DHCP Relay и IPSec

Проблема с DHCP Relay и IPSec, RouterOS

sjoram

Guest

14.03.2015 15:54:00

Проблема с DHCP Relay, который не работает через IPSec туннель. Нашёл несколько предыдущих сообщений и попробовал предложенные там решения — без результата. Это временная схема на несколько месяцев, поэтому не хочу тратить на это слишком много времени, но было бы здорово, если бы всё заработало.

Сейчас использую встроенный DHCP сервер RouterOS на «удалённой» стороне, но хотел бы при помощи релэя обслуживать «удалённую» сторону с помощью Windows 2008R2 DHCP сервера на «основной» стороне.

Настройка осложнена небольшим «костылём», который пришлось сделать на «удалённом» роутере, чтобы IPSec туннель поднялся, из-за неидеальной конфигурации вне моего контроля.

Основный сайт: RB750 — интерфейс PPPoE Client выступает в роли шлюза в Интернет.
Удалённый сайт: RB750 — интерфейс Ether1 настроен как шлюз с адресом 192.168.0.250. Он подключается к другому устройству с адресом 192.168.0.1, которое через NAT выходит в Интернет.

Чтобы IPSec туннель заработал, пришлось добавить публичный IP удалённого сайта на RB750 как дополнительный IP для интерфейса Ether1. Есть правило src-nat masquerade по умолчанию, плюс правило src-nat с источником 10.10.0.0/16 (удалённый сайт), назначение 10.0.0.0/16 (один VLAN на основном сайте) с действием ‘accept’. Также пробовал добавить правило src-nat с источником без указания, назначением 10.0.0.0/16 и src-nat на адрес 10.10.0.254 — не сработало.

Есть идеи? Как уже сказал, это временная настройка, которая будет отключена через пару месяцев — удалённый сайт заменят другим, где RB750GL будет напрямую получать публичный IP через PPPoE клиент.

sjoram Guest	#2 0 02.05.2015 18:53:00 Поднимаю тему, так как никто не ответил, и проблема всё ещё не решена... Я также пытался развернуть это на своей новой линии FTTC (VDSL) и столкнулся с той же проблемой, при этом там не стоит другой NAT роутер...

troffasky

Guest

03.05.2015 09:18:00

Ваш IPsec-туннель между сайтами действительно работает? Как продвигается настройка DHCP relay? Вы так и не сказали, в чём именно проблема. Пытались сделать захват пакетов на целевом сервере, пока на удалённом сайте делается запрос?

sjoram Guest	#4 0 03.05.2015 10:31:00 Да, IPSec-туннель работает. Снятие пакетов на DHCP-сервере не показывает никаких DHCP-пакетов, исходящих из удалённой сети.

sjoram

Guest

16.05.2015 19:26:00

Отредактировано. Теперь проблема решена, и это было связано с парой ошибок в настройках. А именно: DHCP snooping на коммутаторе в главном офисе и правило Source NAT, которое применялось к трафику, идущему между сайтами.

manelfl

Guest

18.05.2015 10:39:00

Здравствуйте. Я новичок на этом форуме, и у меня похожая проблема с DHCP relay и IPsec VPN. У меня есть центральный DHCP-сервер и DHCP relay в удалённых филиалах. Для тестов я использую маршрутизатор Mikrotik RB2011iL-IN, но это такой же тип роутера, как и в удалённых филиалах. Думаю, проблема в том, что пакеты relay проходят NAT на маршрутизаторе:
0 время=174.501 номер=1 направление=приём интерфейс=ether2 src-address=0.0.0.0:68 (bootpc) dst-address=255.255.255.255:67 (bootps) протокол=ip ip-протокол=udp размер=328 cpu=0 размер-ip-пакета=328 размер-ip-заголовка=20 dscp=4 идентификатор=0 смещение-фрагмента=0 ttl=128
1 время=174.502 номер=2 направление=передача интерфейс=pppoe-out1 src-address=2.139.155.188:67 (bootps) dst-address=192.168.112.11:67 (bootps) протокол=ip ip-протокол=udp размер=328 cpu=0 размер-ip-пакета=328 размер-ip-заголовка=20 dscp=0 идентификатор=0 смещение-фрагмента=0 ttl=64

Не понимаю, почему:
[admin@MikroTik] > ip firewall nat print
Флаги: X - отключено, I - невалидно, D - динамическое
0 chain=srcnat action=accept src-address=192.168.233.0/24 dst-address=192.168.112.0/24 log=no log-prefix=""
1 X chain=srcnat action=accept log=no log-prefix=""
2 ;;; стандартная конфигурация chain=srcnat action=masquerade out-interface=pppoe-out1 log=no log-prefix=""

Правило 1 отключено. При его активации проблема сохраняется. Это правило нужно, чтобы не применять маскарадинг ко всему трафику. Правило 2 — для маскарадинга интернет-трафика. Правило 0 — чтобы не маскарадить трафик между удалёнными филиалами.

Какое правило source NAT вы настраиваете для трафика между филиалами?

Заранее спасибо за помощь!

manelfl Guest	#7 0 24.05.2018 14:38:00 Привет. Я нашёл проблему. [admin@MikroTik] > ip firewall nat print Флаги: X - отключено, I - некорректно, D - динамическое 0 chain=srcnat action=accept src-address=192.168.233.0/24 dst-address=192.168.112.0/24 log=no log-prefix=“” В этом правиле NAT указан исходный адрес. В DHCP-запросе исходный IP не установлен. Решение: правило NAT с назначением, равным адресу DHCP-сервера, и действием accept.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры