http://mikrotik.moscow Новое в теме NordVpn и Mikrotik? форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Wed, 12 Aug 2026 03:57:43 -0400 NordVpn и Mikrotik? RouterOS в форуме RouterOS.
Когда устанавливается соединение, src-address в политике ipsec — это текущий IP-адрес, назначенный через ikev2. Есть ли способ использовать этот IP в скрипте?
03.07.2019 06:18:00, ztx.]]> http://mikrotik.moscow/forum/forum57/87409-nordvpn-i-mikrotik/message416716 http://mikrotik.moscow/forum/forum57/87409-nordvpn-i-mikrotik/message416716 Wed, 03 Jul 2019 06:18:00 -0400 RouterOS NordVpn и Mikrotik? RouterOS в форуме RouterOS.
Вам нужно предотвратить создание правила динамического NAT, а это просто значит — не устанавливать элемент address-list в строке с параметром request-only (responder=no) в /ip ipsec mode-config, на которую вы ссылаетесь из строки /ip ipsec identity, которую используете для NordVPN.

Что касается скрипта, то он примерно такой:  
if ([:len [/system script environment find name=lastIP]] = 0) do={global lastIP 8.8.8.8};
local currentIP [/ip address get [find dynamic !(address in your.wan.subnet.ip/mask) interface~"if-name"] address];
if ($lastIP != $currentIP) do={  
 ip firewall nat set [find chain=srcnat action=src-nat dst-address-list~"nordvpn-targets"] to-addresses=$currentIP;
 system script environment set lastIP value=$currentIP;  
}  

Правило для получения текущего IP, назначенного через IKEv2, нужно внимательно адаптировать под вашу среду — оно привязано к какому-то существующему интерфейсу, а я не знаю критериев выбора этого интерфейса. Поэтому условия поиска включают имя интерфейса и исключение подсети, из которой вы обычно получаете свой обычный WAN-адрес от DHCP провайдера, так чтобы подходил только действительно необходимый динамически назначенный IP.  

Скрипт необходимо запускать периодически через планировщик. Каждые 5 секунд, вероятно, будет достаточно. Возможно, со временем Mikrotik добавит возможность привязывать скрипт к identity или mode-config, чтобы он запускался при каждом изменении, как это сейчас работает с dhcp-client, dhcp-server и ppp-профилями.
02.07.2019 19:47:00, sindy.]]> http://mikrotik.moscow/forum/forum57/87409-nordvpn-i-mikrotik/message416715 http://mikrotik.moscow/forum/forum57/87409-nordvpn-i-mikrotik/message416715 Tue, 02 Jul 2019 19:47:00 -0400 RouterOS NordVpn и Mikrotik? RouterOS в форуме RouterOS.
Поскольку это правило стоит на самом первом месте в цепочке srcnat, создать для него исключения невозможно. Поэтому один из способов делать src-nat только для пакетов, направленных к указанным назначениям — периодически запускать скрипт, который будет обновлять параметр to-addresses в вручную созданном правиле с action=src-nat, как предлагает @mrz. Другой способ описан здесь, но, по моему мнению, вариант со скриптом гораздо проще. Есть примеры таких скриптов? И ещё, правильно ли я понимаю, что мне нужно убрать динамическое NAT-правило?
02.07.2019 18:56:00, ementat.]]> http://mikrotik.moscow/forum/forum57/87409-nordvpn-i-mikrotik/message416714 http://mikrotik.moscow/forum/forum57/87409-nordvpn-i-mikrotik/message416714 Tue, 02 Jul 2019 18:56:00 -0400 RouterOS NordVpn и Mikrotik? RouterOS в форуме RouterOS.
Режим IPsec mode-config избавляет вас от необходимости отслеживать изменения адреса, который вы получаете от респондера, с помощью динамически создаваемого (и обновляемого) правила src-nat — вы просто указываете имя address-list, которая будет использоваться в этом правиле как src-address-list. Таким образом, трафик, источник IP которого совпадает с этим списком адресов, проходит src-nat на IP, который в данный момент назначен вам респондентом, и, соответственно, попадает под политику IPsec. Поскольку это правило стоит в самом первом положении в цепочке srcnat, исключения из него создать невозможно. Поэтому один из способов сделать src-nat только для пакетов к указанным назначениям — периодически запускать скрипт, который обновляет параметр to-addresses в вручную созданном правиле action=src-nat, как предлагает @mrz, другой способ описан здесь, но, на мой взгляд, способ со скриптом гораздо проще. Конечно, возможность указать параметр dst-address-list для mode-config, чтобы динамически создаваемое правило src-nat срабатывало только на пакеты к адресам из этого списка, была бы ещё лучше, но это уже предложение по улучшению.
02.07.2019 15:03:00, sindy.]]> http://mikrotik.moscow/forum/forum57/87409-nordvpn-i-mikrotik/message416713 http://mikrotik.moscow/forum/forum57/87409-nordvpn-i-mikrotik/message416713 Tue, 02 Jul 2019 15:03:00 -0400 RouterOS NordVpn и Mikrotik? RouterOS в форуме RouterOS.
anav ВАЖНЫЕ ИЗМЕНЕНИЯ В v6.45.1:
----------------------
!) ike2 – добавлена поддержка EAP-методов аутентификации (eap-tls, eap-ttls, eap-peap, eap-mschapv2) в качестве инициатора;
02.07.2019 13:39:00, ementat.]]> http://mikrotik.moscow/forum/forum57/87409-nordvpn-i-mikrotik/message416712 http://mikrotik.moscow/forum/forum57/87409-nordvpn-i-mikrotik/message416712 Tue, 02 Jul 2019 13:39:00 -0400 RouterOS NordVpn и Mikrotik? RouterOS в форуме RouterOS.
ementat… Это новая информация на основе последнего обновления прошивки? Помню, что видел что-то про улучшения в VPN! Можно ли сделать вывод, что теперь любой провайдер VPN с похожей настройкой тоже можно использовать с RouterOS?
02.07.2019 13:27:00, anav.]]> http://mikrotik.moscow/forum/forum57/87409-nordvpn-i-mikrotik/message416711 http://mikrotik.moscow/forum/forum57/87409-nordvpn-i-mikrotik/message416711 Tue, 02 Jul 2019 13:27:00 -0400 RouterOS NordVpn и Mikrotik? RouterOS в форуме RouterOS.
Вероятно, можно обновить с помощью скрипта, если назначенный IP изменился.
02.07.2019 12:57:00, mrz.]]> http://mikrotik.moscow/forum/forum57/87409-nordvpn-i-mikrotik/message416710 http://mikrotik.moscow/forum/forum57/87409-nordvpn-i-mikrotik/message416710 Tue, 02 Jul 2019 12:57:00 -0400 RouterOS NordVpn и Mikrotik? RouterOS в форуме RouterOS.
Итак, eap-mschapv2 теперь поддерживается для IKEv2. У нас есть хорошая инструкция по настройке соединения с NordVPN https://wiki.mikrotik.com/wiki/IKEv2_EAP_between_NordVPN_and_RouterOS#Option_1:_Sending_all_traffic_over_the_tunnel. Но может кто-нибудь помочь с тем, как направлять через IPSec-туннель только трафик к определённым сайтам (список создан в Firewall → Address Lists)? Я думаю, что нужна статическая NAT-запись, где dst-address-list будет установлен на мой список сайтов. Как решить проблему возможных изменений IP-адресов со стороны NordVPN (скриптами)? Может, кто-то поделится рабочим примером?
02.07.2019 12:52:00, ementat.]]> http://mikrotik.moscow/forum/forum57/87409-nordvpn-i-mikrotik/message416709 http://mikrotik.moscow/forum/forum57/87409-nordvpn-i-mikrotik/message416709 Tue, 02 Jul 2019 12:52:00 -0400 RouterOS NordVpn и Mikrotik? RouterOS в форуме RouterOS.
Привет, NordVPN и MikroTik — подключаться или нет? Я нашёл на сайте NordVPN https://support.nordvpn.com/Connectivity/Router/1225872552/Not-supported-routers.htm, что скажете?
29.12.2018 23:55:00, dadoremix.]]> http://mikrotik.moscow/forum/forum57/87409-nordvpn-i-mikrotik/message416708 http://mikrotik.moscow/forum/forum57/87409-nordvpn-i-mikrotik/message416708 Sat, 29 Dec 2018 23:55:00 -0500 RouterOS