Mikrotik.moscow [тема: 6.40rc11 — теперь IPsec-пиры можно указывать с помощью DNS-имён, а как же быть с политиками?]

6.40rc11 — теперь IPsec-пиры можно указывать с помощью DNS-имён, а как же быть с политиками?

Wed, 28 Nov 2018 10:42:00 -0500

6.40rc11 — теперь IPsec-пиры можно указывать с помощью DNS-имён, а как же быть с политиками? RouterOS в форуме RouterOS.
+1 Понимаю, что могут быть ограничения, но, как мне кажется, должно быть возможно каким-то образом связать пиры и политики между собой. Если политики нельзя привязать к пирами (по той причине, которую вы указали), то, возможно, можно связать пиры с политиками (в обратном порядке)? В любом случае: в большинстве других устройств с поддержкой VPN как-то можно привязать политику к пиру.
28.11.2018 10:42:00, BertV.

6.40rc11 — теперь IPsec-пиры можно указывать с помощью DNS-имён, а как же быть с политиками?

Mon, 28 Aug 2017 17:01:00 -0400

6.40rc11 — теперь IPsec-пиры можно указывать с помощью DNS-имён, а как же быть с политиками? RouterOS в форуме RouterOS.
На самом деле можно настроить работоспособный IPsec туннель lan2lan с динамическим адресом. Я сделал это на обычной Linux-системе. Программа racoon может запускать скрипт всякий раз, когда устанавливается первая фаза, и этим можно исправлять адрес политики SA для второй фазы. Это делается на стороне «сервера». На стороне с динамическим адресом политику можно исправлять скриптом, который запускается при определении или изменении динамического адреса на «клиентской» стороне. На данный момент RouterOS пока не позволяет запускать скрипт при установлении первой фазы, но такую возможность можно добавить. При наличии этой поддержки также можно делать GRE/IPsec и IPIP/IPsec туннели с динамическим адресом.
28.08.2017 17:01:00, pe1chl.

6.40rc11 — теперь IPsec-пиры можно указывать с помощью DNS-имён, а как же быть с политиками?

Mon, 28 Aug 2017 16:35:00 -0400

6.40rc11 — теперь IPsec-пиры можно указывать с помощью DNS-имён, а как же быть с политиками? RouterOS в форуме RouterOS.
Всё это связано с тем, как IPsec работает «за кулисами». Для туннелей L2L сначала должны применяться политики, на основе которых находится подходящий SA. И только если подходящего SA нет, ищется конфигурация пиринга, после чего на основе найденной конфигурации запускается обмен ISAKMP или IKEv2. Использовать DNS-имена в политиках в таком сценарии — не вариант.

Однако в сценариях типа road-warrior клиент обычно первым инициирует соединение ISAKMP или IKEv2. Когда устанавливается фаза 1, одна из сторон инициирует обмен фазой 2, в этот момент обе стороны создают и устанавливают динамические политики. Вот где становится полезной возможность указывать адрес пира в виде FQDN, а не IP-адреса. В этом сценарии ожидается использование шаблонов политики, а не заранее определённых правил, поэтому возможность указывать sa-src-address и sa-dst-address в виде DNS-имён тоже не нужна.

И, конечно, второй способ настройки можно использовать и для L2L туннелей, если это необходимо.
28.08.2017 16:35:00, andriys.

6.40rc11 — теперь IPsec-пиры можно указывать с помощью DNS-имён, а как же быть с политиками?

Mon, 28 Aug 2017 16:26:00 -0400

6.40rc11 — теперь IPsec-пиры можно указывать с помощью DNS-имён, а как же быть с политиками? RouterOS в форуме RouterOS.
Тогда должна быть какая-то связь между «policy» и «peer», сейчас она присутствует только в виде SA-адресов. Если в «policy» появится ссылка, например, на «peer name», это позволило бы автоматически заполнять SA-адреса внутри RouterOS. Обратите внимание, что это уже возможно, если использовать «generate policy» в определении «peer». Но, конечно, применение ограничено политиками только между SA-адресами и для определённого набора протоколов. Тем не менее, это работает, когда IPsec используется как транспорт под другим туннельным протоколом (GRE, IPIP, L2TP). В любом случае рекомендую именно такой подход, вместо попыток использовать IPsec-туннель для передачи трафика для заданных подсетей.
28.08.2017 16:26:00, pe1chl.

6.40rc11 — теперь IPsec-пиры можно указывать с помощью DNS-имён, а как же быть с политиками?

Mon, 28 Aug 2017 15:16:00 -0400

6.40rc11 — теперь IPsec-пиры можно указывать с помощью DNS-имён, а как же быть с политиками? RouterOS в форуме RouterOS.
Извиняюсь, если это глупая идея, но действительно ли нужны опции sa-src-address и sa-dst-address? Возможно, политики можно было бы просто привязывать к peer из «/ip ipsec peer»? Может, я что-то упускаю в продвинутом использовании, но во всех случаях, когда я пользовался, всегда задавал sa-src-address= и sa-dst-address=. Даже если это не сработает во всех сценариях, было бы здорово иметь такую опцию.
28.08.2017 15:16:00, Sob.

6.40rc11 — теперь IPsec-пиры можно указывать с помощью DNS-имён, а как же быть с политиками?

Mon, 28 Aug 2017 13:32:00 -0400

6.40rc11 — теперь IPsec-пиры можно указывать с помощью DNS-имён, а как же быть с политиками? RouterOS в форуме RouterOS.
Я тоже, плюс один.
28.08.2017 13:32:00, buzzdee.

6.40rc11 — теперь IPsec-пиры можно указывать с помощью DNS-имён, а как же быть с политиками?

Sat, 12 Aug 2017 05:35:00 -0400

6.40rc11 — теперь IPsec-пиры можно указывать с помощью DNS-имён, а как же быть с политиками? RouterOS в форуме RouterOS.
Всем привет! В списке изменений 6.40rc11 есть такая запись: ipsec — теперь можно указывать адрес удалённого пира в виде DNS-имени (только через CLI). То есть теперь можно написать:
> /ip ipsec peer set address=
Но если я попробую указать DNS-имя в параметре sa-dst-address=, CLI выдаёт ошибку:
> /ip ipsec policy set sa-dst-address=
invalid value for argument sa-dst-address:
invalid value for argument ipv6
invalid value for argument ip
Так как же тогда создать подходящую политику?
12.08.2017 05:35:00, intelfx.