eov10 сен 2017 в 19:57

IPsec

8 мин

83K

Настройка Linux * Серверное администрирование * Сетевые технологии * Системное администрирование *

+24

Комментарии 50

НЛО прилетело и опубликовало эту надпись здесь

eov 10 сен 2017 в 20:23

Х-м… пока не понял о чем речь. Можно подробнее?

НЛО прилетело и опубликовало эту надпись здесь

eov 11 сен 2017 в 04:19

Понял, спасибо! Попробую.

НЛО прилетело и опубликовало эту надпись здесь

Belya-Dj 11 сен 2017 в 07:45

Вариант, не плох, но есть нюансы.
А вдруг у ресурса есть поддомены, например, их тоже тогда надо все описать/вписать верно?
Не проще ли из базы whois вытянуть список подсетей ресурса (если мы конечно говорим не про маленький сайт визитку) и завернуть их через нужный GW?
Следующий нюанс, адрес резолвится в IP (а списки таки да, динамические, хранятся именно по IP) создаются или при добавлении ресурса или при первом старте микротика — те ситуация когда вдруг на ресурсе измениться IP может быть исправлена либо пересозданием записи в списке или перезагрузкой микротика, что тоже не по феншую.

Вообщем, имхо, ваш вариант имеет место быть, но я бы честно говоря, несколько раз подумал прежде чем использовать именно его.

eov 11 сен 2017 в 07:46

Я подумаю на предмет использования встроенного скриптинга в Микротик для автоматического обновления адресов в маршрутах.

HeX 11 сен 2017 в 15:54

Я поступил проще:

/ ip firewall filter add action=add-src-to-address-list address-list=toVPN address-list-timeout=3d chain=forward content="Location: http://адрес заглушки провайдера\?" in-interface=WAN protocol=tcp src-port=80

Дальше mangle и маршрут как описал AcidVenom.
При попытке открыть сайт отображается заглушка и ip сайта добавляется в address-list, при повторном открытии он уже открывается через туннель. Время жизни записи в моем случае 3 дня. Можно менять по желанию.

Bonio 11 сен 2017 в 21:17

Не сработает с https сайтами.

НЛО прилетело и опубликовало эту надпись здесь

Belya-Dj 11 сен 2017 в 08:16

Вот за этот отсыл к мануал спасибо, сразу эту инфу не нашел — тогда да, вполне годное решение.
Но вопрос с сабдоменами все равно открыт получается.
У себя я решил этот вопрос заворотом подсетей а вот с вашим предложением даже не знаю как быть…

НЛО прилетело и опубликовало эту надпись здесь

b0m8er 11 сен 2017 в 08:32

Забыли маскарад на ВПН интерфейс сделать (если не настроено, или настроено на другой интерфейс, не пойдет трафик).

/ip firewall nat add chain=srcnat action=masquerade out-interface=*имя_ВПН_интерфейса*

НЛО прилетело и опубликовало эту надпись здесь

eov 11 сен 2017 в 08:37

Не забыл. Я это и не планировал делать. Ubuntu тоже мой и через него пакеты от LAN проходят с неизменным src IP. Ну и пусть. Двойная трансляция мне нужна.

eov 11 сен 2017 в 08:40

не нужна

b0m8er 11 сен 2017 в 14:12

Согласен. Пост читал вдоль. У меня частный случай, когда впн сервер не маскарадит.

eov 12 сен 2017 в 20:22

Попробовал. Работает почему-то заметно медленнее. Предположу, что теряет первые пакеты и переписылает.

Night_Snake 10 сен 2017 в 21:14

Я уже делал нечто подобное правда без GRE. Там же и про RoadWarriors написано (т.е. L2TP+IPSec). Единственный момент — на мой взгляд лучше использовать libreswan, т.к. у strongswan проблемы с apple-девайсами (причем на момет начала 2016 года проект был заморожен, и разработчик не спешил фиксить баги. libreswan это, собственно, форк strongswan).

eov 10 сен 2017 в 21:34

Спасибо, поизучаю эту тему. Вопрос с Apple-девайсами у меня действительно остался открытым…

jscar 11 сен 2017 в 07:00

Если мне не изменяет память, то libreswan — форк Openswan, который, в свою очередь, форк FreeS/WAN.

StrongSwan — имеет корни от FreeS/WAN, но почти полностью переосмысленный.

Night_Snake 11 сен 2017 в 07:50

Возможно, что и так, но главная моя мысль была в том, что когда я этой задачей занимался, strongswan почти не развивался, и в репах Debian 8 лежала битая версия (latest). Хорошо, если ситуация изменилась

eov 11 сен 2017 в 07:57

На офицальном сайте стронгсвана последнее обновление датируется 14.08.2017.

Chugumoto 10 сен 2017 в 21:16

*просмотрел по диагонали*
эм… а не лучше ли будет OpenVPN с сертификатами заюзать?

eov 10 сен 2017 в 21:37

Давайте определимся откуда и куда… Тема с OpenVPN для Apple-девайсов у меня пока не раскрыта. Что-то конкретное говорить про LAN2WAN через OpenVPN я пока тоже не готов. Может есть пример такой конфигурации?

Chugumoto 11 сен 2017 в 07:07

да везде :)
у самого к продукции эпл неприязнь, но если погуглить, то можно такое найти
habrahabr.ru/post/168853
ну и
itunes.apple.com/ru/app/openvpn-connect/id590379981?mt=8
а пример конфигурации… если vps делаем ovpn сервером, на микротике просто добавляем интерфейс, ну и также например маршрутами необходимый трафик в него посылаем по адресу назначения…
просто gre… наблюдал уже, что некоторые провайдеры ни с того ни с сего резать начинают… imho openvpn более гибок, да и с сертификатами безопаснее, чем с psk…

eov 11 сен 2017 в 07:13

Спасибо. Подумаю на тему OpenVPN на досуге.
Я не сталкивался с тем, чтобы провайдеры «резали» gre. Какого-то разумного объяснения тому, зачем им это делать не нахожу. В любом случае, у меня получился уже не GRE, а ESP. Вот его как раз могут начать «резать» по требованию властей…

lehnh 11 сен 2017 в 11:49

OpenVPN сильно медленнее ipsec в силу работы в userspace.
Ну и как упоминали ниже, микротики не умеют его через udp, что тоже накладывает ограничения в производительности. Ситуация такая уже много лет и меняться не собирается.

Chugumoto 11 сен 2017 в 12:04

и чего вы за udp ухватились? :)
а если почитать пост между строк, то видно, что автору 443/tcp будет лучшим вариантом :)
хотя тут еще про sstp писали… не знаю — его еще не щупал.
да и медленнее… у меня тут интернеты сильно медленнее столичных. и ничего — меня устраивает :)
а в цифрах можно про медленнее? у меня конечно не hEX… но и аплинк всего 5120/896…

НЛО прилетело и опубликовало эту надпись здесь

lehnh 11 сен 2017 в 14:58

Ну… зависит от железки конечно. У меня 3011, который в разы быстрее хекса, и он не выжимает 100 мбит, ну в районе 50-70 где-то. Ipsec разгоняется до ~150.
А зачем 443/tcp собственно? Если говорить про тотальную секьюрность и антицензуру, то надо смотреть в сторону udp2raw или govpn, но это уже не микротик будет.

Meklon 10 сен 2017 в 21:45

Микротик хреново с ними дружит.

Chugumoto 11 сен 2017 в 06:58

ну у меня туннельчик до VPS настроен — вроде полгода пока — полет нормальный…
на каком железе, какая версия и в чем хреновость заключается?

toper 11 сен 2017 в 05:21

Микротик не умеет UDP и LZO с OVPN, и разработчики это допиливать не собираются, официальная позиция — используйте SSTP…

НЛО прилетело и опубликовало эту надпись здесь

Chugumoto 11 сен 2017 в 07:19

ну меня интересовал именно tcp на 443ий порт
а сжатие… так ли оно необходимо? если учесть, что большинство по объему трафика плохо сжимается, ибо данные и так уже сжаты?

Skyroger2 11 сен 2017 в 05:59

В планах настроить IKEv2 туннель с моих устройств (я использую технику Apple) непосредственно на сервер с использованием сертификатов.

Предложил бы использовать для этой цели SSH. На стороне клиента делаем что-то вроде:
ssh -w 0:0 root@server_ip
Мне неизвестно о существовании аналога /etc/network/interfaces на OS X, так что видимо tun0 на стороне Apple придётся настраивать вручную (и маршрутизацию тоже). Но зато поддержка сертификатов и шифрования из коробки.

eov 11 сен 2017 в 06:06

Если MacOS это может сработать, то в iOS скорее всего нет.
В Apple-устройствах есть встроенные VPN клиенты. Подключение через них производится «в один клик».

Skyroger2 11 сен 2017 в 06:13

SSH клиенты, даже бесплатные, для iOS есть, и они поддерживают как минимум проброс портов.
Но в общем да, неаккуратненько. Тема интересная, подумаю тоже на досуге, как заставить заработать встроенный VPN клиент на iOS.

toper 11 сен 2017 в 06:38

коллега уже описывал конфиги стронгсвана для яблок
habrahabr.ru/post/250859

eov 11 сен 2017 в 06:47

Да, эта статья у меня есть в закладках, но это пока не заработало (бился над этим дня 3). Там есть лайфкак связанный xauth, который мне применять не хочется.
Еще у меня и на Mасbook и на iPad стоят последние бетты. Может что с ними не так… Я на досуге еще раз поиграюсь.

iluvar 11 сен 2017 в 07:21

Обращаю внимание на то, что не сконфигурирован keepalive. Мне так и не удалось включить ответную часть на Ubuntu. Если не будет трафика, то интерфейс на MikroTik будет «уходить» из running и подниматься, только если пойдет трафик со стороны Ubuntu.

Попробуйте использовать netwatch, отправляя пинг на Ubuntu — это будет работать вместо keepalive

s123 11 сен 2017 в 19:53

За 1 евро доступны VM только в Италии и Чехии :)

eov 11 сен 2017 в 19:53

Спасибо, не знал. Меня пока устраивает Чехия. Дальше посмотрим…

zorg59r 12 сен 2017 в 11:57

Тоже пользуюсь связкой mikrotik + ubuntu сервер на VPS от Arubcloud для vpn. Только использую не тоннель сайт-ту-сайт, а l2tp+ipsec сервер (strongswan) на убунту, с ручным подключением.
Но есть вопрос, может тут кто ответит, почему с клиента windows l2tp+ipsec, находящийся за NAT, я без проблем подключаюсь к удаленному l2tp ipsec серверу mikrotik, а чтобы подключиться к серверу l2tp+ipsec ubuntu, приходится править реестр windows, так как ошибка 809 (ms рекомендует, если клиент за NAT то внести изменения в реестр HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PolicyAgent\AssumeUDPEncapsulationContextOnSend )
P.S. Пробовал разных провайдеров, со статикой. В роли шлюза и сервера использовал, mikrotik, ubuntu server, 10/14/16 версий. Алгоритм шифрования ipsec на убунте тот же, что и на mikrotik.
При этом клиенты ios/android без проблем випиенятся за nat'ом той же сети, как к mikrotik, так и к ubuntu.

vikarti 21 апр 2018 в 12:46

Пробую такую конфигурацию (с ubuntu 16.04) и… не работает. Пинговать машины друг друга пингуют (пришлось на микротике в явном виде прописать адрес на gre-интерфейс), добавляю машруты — пинг/трейсроут (с машины за микротиком) на добавленные адреса проходят а что то большее — нет и в логе ubuntu IPv4: martian source <ip_куда_обращаемся> from <публичный ip микротика>, on dev tun1

eov 24 апр 2018 в 20:17

Спасибо! Добавил настройку IP адреса на интрефейсе MikroTik.
Что касается маршрутизации и forwarding-а пакетов, то нужно tcpdump-ить трафик и смотреть что видно. В логах следов ping/traceroute ничего не будет.

Oval 30 апр 2018 в 04:12

У меня была проблема в том, что при добавления сайта в список, микротик брал его ip адреса из ДНС провайдера, а он отдавал свою заглушку. Поправил глобальный ДНС на 1.0.0.1 и все заработало. Но кроме linkedin.com. В чем с ним проблема так и не понял.

Oval 30 апр 2018 в 04:49

Разобрался — надо было еще добавить в список www.linkedin.com

cy-ernado 31 июл 2018 в 12:18

У меня была проблема с MTU, в tcpdump-е было что-то вроде:

ICMP x.x.x.x unreachable - need to frag (mtu 1426), length 556

Пробовал устанавливать MTU на GRE-интерфейсе (и вообще где торько можно), не получалось.
Долго искал решение, помогло только добавление tcp-mss для интерфейсов GRE, например:

/ip firewall mangle
add action=change-mss chain=forward new-mss=1300 out-interface=gre passthrough=yes protocol=tcp tcp-flags=syn tcp-mss=1420-65535
add action=change-mss chain=forward new-mss=1300 in-interface=gre passthrough=yes protocol=tcp tcp-flags=syn tcp-mss=1420-65535

Зарегистрируйтесь на Хабре, чтобы оставить комментарий