http://mikrotik.moscow Новое в теме Amazon VPC — IPSec VPN-соединение с маршрутизатором Mikrotik CHR RouterOS. форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Thu, 13 Aug 2026 06:38:11 -0400 Amazon VPC — IPSec VPN-соединение с маршрутизатором Mikrotik CHR RouterOS. RouterOS в форуме RouterOS.
Я успешно запустил экземпляры RouterOS EC2 в Ирландии и Северной Калифорнии. Создал отдельный VPC для экспериментов, поэтому решил не использовать ключи, чтобы всё было проще. После запуска инстанса работает вход под админом по умолчанию с логином admin и паролем [nopassword]. Обязательно настройте корректные разрешения в политике безопасности, иначе боты очень быстро найдут ваш инстанс. Я всё ещё не могу настроить IPSEC между CHR... Кто-нибудь имеет рабочую конфигурацию для AWS?
09.05.2017 16:58:00, usego.]]> http://mikrotik.moscow/forum/forum57/87089-amazon-vpc-_-ipsec-vpn_soedinenie-s-marshrutizatorom-mikrotik-chr-routeros./message413355 http://mikrotik.moscow/forum/forum57/87089-amazon-vpc-_-ipsec-vpn_soedinenie-s-marshrutizatorom-mikrotik-chr-routeros./message413355 Tue, 09 May 2017 16:58:00 -0400 RouterOS Amazon VPC — IPSec VPN-соединение с маршрутизатором Mikrotik CHR RouterOS. RouterOS в форуме RouterOS.
Кто-нибудь уже сталкивался с входом на Amazon через SSH впервые? У меня постоянно появляется сообщение «Server refused our key» в Putty. Я следовал всем инструкциям с puttygen.exe и прочим. Какой пользователь должен быть? ec2-user, root, admin, winbox? Ничего не получается. После отказа система предлагает ввести пароль. Пробовал спросить и на AWI Community, и у Amazon по поводу «RouterOS», но пока без результата.
30.01.2017 01:50:00, maxrate.]]> http://mikrotik.moscow/forum/forum57/87089-amazon-vpc-_-ipsec-vpn_soedinenie-s-marshrutizatorom-mikrotik-chr-routeros./message413354 http://mikrotik.moscow/forum/forum57/87089-amazon-vpc-_-ipsec-vpn_soedinenie-s-marshrutizatorom-mikrotik-chr-routeros./message413354 Mon, 30 Jan 2017 01:50:00 -0500 RouterOS Amazon VPC — IPSec VPN-соединение с маршрутизатором Mikrotik CHR RouterOS. RouterOS в форуме RouterOS.
Что я не могу сделать, так это добавить второй VPC в свой CHR. Я хочу, чтобы мой CHR управлял фаерволом и NAT для моих серверов, но он не позволяет добавить ещё один VPC… ??
18.10.2016 13:04:00, gmsmstr.]]> http://mikrotik.moscow/forum/forum57/87089-amazon-vpc-_-ipsec-vpn_soedinenie-s-marshrutizatorom-mikrotik-chr-routeros./message413353 http://mikrotik.moscow/forum/forum57/87089-amazon-vpc-_-ipsec-vpn_soedinenie-s-marshrutizatorom-mikrotik-chr-routeros./message413353 Tue, 18 Oct 2016 13:04:00 -0400 RouterOS Amazon VPC — IPSec VPN-соединение с маршрутизатором Mikrotik CHR RouterOS. RouterOS в форуме RouterOS.
Возможно ли настроить маршрутизатор CR так, чтобы ОС не использовала NAT arm? Использовать NAT Gateways?
24.08.2016 06:22:00, wolfktl.]]> http://mikrotik.moscow/forum/forum57/87089-amazon-vpc-_-ipsec-vpn_soedinenie-s-marshrutizatorom-mikrotik-chr-routeros./message413352 http://mikrotik.moscow/forum/forum57/87089-amazon-vpc-_-ipsec-vpn_soedinenie-s-marshrutizatorom-mikrotik-chr-routeros./message413352 Wed, 24 Aug 2016 06:22:00 -0400 RouterOS Amazon VPC — IPSec VPN-соединение с маршрутизатором Mikrotik CHR RouterOS. RouterOS в форуме RouterOS.
Перейдите по этой ссылке: https://rbgeek.wordpress.com/2014/04/23/add-a-custom-nat-instance-in-aws-vpc/ Сделайте необходимые адаптации, как будто NAT-сервер — это CHR.
10.01.2017 16:55:00, juliokato.]]> http://mikrotik.moscow/forum/forum57/87089-amazon-vpc-_-ipsec-vpn_soedinenie-s-marshrutizatorom-mikrotik-chr-routeros./message413351 http://mikrotik.moscow/forum/forum57/87089-amazon-vpc-_-ipsec-vpn_soedinenie-s-marshrutizatorom-mikrotik-chr-routeros./message413351 Tue, 10 Jan 2017 16:55:00 -0500 RouterOS Amazon VPC — IPSec VPN-соединение с маршрутизатором Mikrotik CHR RouterOS. RouterOS в форуме RouterOS.
Введение: Все AWS-аккаунты, созданные после 04.12.2013, поддерживают только EC2-VPC. Amazon VPC предлагает несколько вариантов для установления соединения между EC2-инстансами в VPC и вашей собственной сетью. Как описано в документации в разделе: Amazon Virtual Private Cloud → Руководство пользователя → VPN Connections, можно создать подключение User Network–to–Amazon VPC Connectivity Options с использованием: AWS hardware VPN, AWS Direct Connect, AWS VPN CloudHub, Software VPN. Для более подробной информации ознакомьтесь с whitepaper по Amazon Virtual Private Cloud Connectivity Options. Здесь мы рассмотрим четвертый вариант — Software VPN. Если хотите использовать другой вариант, прочитайте официальную документацию: Amazon Virtual Private Cloud Documentation или задайте вопрос на официальном форуме Forum: Amazon Virtual Private Cloud. Также на форуме Mikrotik можно найти рабочие примеры и вопросы без ответов: Amazon AWS VPN – A Working Configuration Example and Bug, Amazon VPC and Mikrotik IPSec Tunnel, Connecting to Amazon Virtual Private Cloud - VPC, IPSec tunnel between RouterOS and Amazon AWS VPC, IPSec VPN to Amazon AWS VPC, AWS VPC Issues, IPSEC VPN to Amazon AWS VPC (for EC2).

Требования: Amazon VPC. Amazon EC2-инстанс с CHR RouterOS. Amazon EC2-инстанс, который будет доступен через VPN.

Установка: Инструкции по установке можно найти в Wiki: CHR AWS installation. Согласно Wiki, на данный момент CHR доступен только в регионах us-east1 (Северная Вирджиния, ID=ami-3f486355) и eu-west1 (Европа (Ирландия), ID=ami-bef141cd). Выберите подходящий регион и запустите новый инстанс, нажав кнопку “Launch instance”:  
На первом шаге выберите AMI из Community AMIs, поиск по названию “CHR RouterOS” или по AMI ID. Тип инстанса выбирайте по вашим потребностям. Выберите “Network”, “Subnet” и “IP” (например, X.X.X.254). Установите размер “Root Volume” 1 ГБ, тип — “Magnetic”. Задайте тег для инстанса. Настройте доступ, отредактировав “Security Group”. Проверьте настройки инстанса и запустите его.  
После установки можно привязать Elastic IP к инстансу, чтобы ваш CHR RouterOS был доступен по статическому IP. После этого можно подключиться к CHR RouterOS по SSH, используя ключ, выбранный при запуске, установить пароль администратора и получить доступ к роутеру через Winbox.

Конфигурация: Теперь ваш CHR RouterOS почти готов работать в качестве VPN-шлюза. Можно настроить любой подходящий тип VPN. На втором EC2-инстансе, который должен быть доступен через VPN, добавьте статический маршрут в вашу сеть через CHR RouterOS.

Ограничения: При использовании IPSec нужно учитывать, что ваш CHR RouterOS находится за AWS NAT. Это обязательно нужно учесть при настройке политики IPSec и при создании peer.

Связанные посты на форумах: Feature Request: IPSec: allow manual override of IKE ID, IPSEC behind nat, Help with IPSec NAT-Traversal, L2TP/IPsec policy autogeneration when both roadwarrior client and RouterOS device behind NAT issue, Cloud Hosted Router: L2TP/IPsec server behind 1:1 NAT on Amazon EC2, Our IPSec with Cisco ASA started only with disabled “NAT-Traversal” and internal “SA Src.Address”.

Тесты: Мы запустили nano-инстанс на магнитном диске. Настроили IPSec с Cisco ASA 5505 на ASA OS 8.0(4) с DH5, SHA, AES128. Получили скорость 50-60 Мбит/с при загрузке CPU около 10% на CHR RouterOS, по протоколу SMB.

Цены:  
Инстанс: nano — $0.0065 в час = $4.84 в месяц.  
Диск: 1 ГБ — $0.05 за ГБ-месяц выделенного хранилища = $0.05.  
$0.05 за миллион I/O запросов.  
Elastic IP: бесплатно для одного Elastic IP, связанного с запущенным инстансом.  
Трафик: согласно вашему использованию.  
Исходящий трафик с Amazon EC2 в Интернет: до 10 ТБ/месяц — $0.09 за ГБ.  
Входящий трафик в Amazon EC2 из Интернета: бесплатно.  
Итого примерно $4.9 в месяц (без учета трафика).  
Разовый платеж за лицензию CHR — $45 (1 Гбит).

Сравнение с VPC VPN Gateway: $0.05 за VPN Connection-час = $36. В итоге около $36 в месяц (без учета трафика).

Выводы: Настроить VPN между EC2-инстансами и вашей локацией с помощью CHR RouterOS гораздо проще. Использование CHR RouterOS дешевле, чем AWS VPN Gateway. Кроме того, CHR RouterOS дает полный контроль над VPN-шлюзом и доступ к логам отладки VPN. Этот CHR RouterOS также можно использовать как NAT-шлюз вместо отдельной платной AWS NAT Gateway. CHR RouterOS может использоваться и в других сценариях подключения: “Amazon VPC–to–Amazon VPC Connectivity” или “Internal User-to-Amazon VPC Connectivity”.

Спасибо!
27.02.2016 19:46:00, stmx38.]]> http://mikrotik.moscow/forum/forum57/87089-amazon-vpc-_-ipsec-vpn_soedinenie-s-marshrutizatorom-mikrotik-chr-routeros./message413350 http://mikrotik.moscow/forum/forum57/87089-amazon-vpc-_-ipsec-vpn_soedinenie-s-marshrutizatorom-mikrotik-chr-routeros./message413350 Sat, 27 Feb 2016 19:46:00 -0500 RouterOS