IPSec — Динамический IP с двойным NAT

Обновление по этому поводу: я пока не нашёл способ автоматически справиться с динамическим IP с одной стороны, но он до сих пор не менялся — не знаю, как именно у провайдера устроена аренда, но, похоже, она частично стабильная. Я обновил ROS на RB750 с одной стороны до версии 6.18, а с другой всё ещё стоит 6.17, и теперь трафик не проходит, хотя соединение отображается. Раньше, когда обе стороны были на 6.17, если туннель падал, поднять его мог только конец с динамическим IP и двойным NAT, инициируя пакеты — и это работало. Есть идеи?

Ок, я вернулся. Допустим, у тебя есть RB1 с публичным IP, который меняется, и RB2 с фиксированным IP, который не меняется, но находится за NAT, то есть фактически WAN-интерфейс RB2 имеет IP из какого-то внутреннего диапазона.

Прежде всего, нужно зарегистрировать какой-то dyndns-сервис для изменяющегося IP. Пусть это будет RB1.mydomain.tld. Запускаешь скрипт, который регулярно проверяет изменение и при необходимости обновляет DNS-запись. Скрипт должен соответствовать используемому тобой dyndns-сервису.

Далее на RB2 ты легко сможешь узнать настоящий IP RB1 и держать его в адресном списке фаервола (его можно использовать и для правила принятия в фаерволе — как делаю я).

Я использую такой скрипт:

:global RB1IPold [/ip firewall address-list get [find list=RB1IP] address];
:global RB1IP [:resolve “RB1.mydomain.tld”];
:if ($RB1IP != $RB1IPold) do={  
   :log info “DynamicIP: RB1IP изменился. Старый: $RB1IPold. Новый: $RB1IP.”  
   :log info “DynamicIP: Меняем настройки EOIP туннеля.”  
   /interface eoip set remote-address=$RB1IP eoip-RB1  
   :log info “DynamicIP: Настройки EOIP туннеля изменены.”  
   :log info “DynamicIP: Меняем настройки фаервола.”  
   /ip firewall address-list set address=$RB1IP [find list=RB1IP]
   :log info “DynamicIP: Настройки фаервола изменены.”  
   :set RB1IPold $RB1IP  
} else={  
   :log info (“DynamicIP: RB1IP не изменился.”)  
};

Как видишь, скрипт предназначен для EOIP, но такой же подход можно использовать и в твоём случае.

Сейчас я перехожу с eoip/ipsec на SSTP-туннели. Они более стабильные и проще в использовании.