спасибо! буду изучать.

Без интерфейсов работать не будет.

Без интерфейсов работать не будет.

Как с минимальными потерями и простоями лучше уйти от чистого ипсека?

Как с минимальными потерями и простоями лучше уйти от чистого ипсека?

Ipip/gre

спасибо! буду изучать.

Только помните... Любая засада в одном филиале может привести к такой засаде во всех разом. Так что не забываем о фаерволах, антивирях, апдейтах и тд

Только помните... Любая засада в одном филиале может привести к такой засаде во всех разом. Так что не забываем о фаерволах, антивирях, апдейтах и тд

ну сейчас по факту тоже самое - случись в одном из филиалов - заражается HQ и оттуда остальные филиалы

Вначале надо пометить соединения IPsec: /ip firewall mangle add action=mark-connection chain=forward comment="Mark IPsec" ipsec-policy=out,ipsec new-connection-mark=ipsec add action=mark-connection chain=forward comment="Mark IPsec" ipsec-policy=in,ipsec new-connection-mark=ipsec Далее изменить стандартное правило Fast Track так, что бы оно не обрабатывало пакеты IPsec. Изменения внесенные в стандартное правило выделены красным. /ip firewall filter add action=fasttrack-connection chain=forward comment=FastTrack connection-mark=!ipsec connection-state=established,related

Добрый вечер, в общем я как понял соединения не помечаются

Прошло пол дня, и та же самая история, и счетчики маркировки, по нулям

Я думаю ему не хватает сейчас правил forward conn-state = untracked action = accept

Вот отсюда почитайте ещё

«Разреши весь untracked трафик и подними на самый верх» - вы это имеете в виду?

Я настраивал FW на основе дефолтной конфигурации, там так и есть

input rel, est, untracked в самом вверху

ну и тут маркировка пакетов, как видите, по нулям

/ip firewall export на pastebin.com и ссылку в студию. Посмотрим

/ip firewall export на pastebin.com и ссылку в студию. Посмотрим

https://pastebin.com/WJ4xzHxg

В продолжении темы об "оптимизации" ipsec: после переноса nat правила в raw notrack перестал пинговать с роутера вообще какие-либо хосты на удаленной стороне. Туннель работает без проблем, но вот с роутера не могу пинговать ничего, пробовал и ping src-address и просто. Включаю правило nat - пинги проходят. С стороны головного офиса правило в nat и все отлично пингуется непосредственно с роутера.

в input untracked галочка стоит, не пойму куда копать.

А я тем временем запилил ipip/ipsec-ike2 между двумя тиками и поднял OSPF ;)

Кому там было интересно как обстоят дела в ike2 ipsec в новой 6.44?

Building the MikroTik VPN ike2 IPSec demo laboratory: day 1 results ✅ MacOS 10.14 connected ✅ iOS 12 connected ✅ Windows 10 connected ✅ Windows 7 connected ✅ Android + StrongSwan ike2 connected Working on RouterOS <-> RouterOS IPSec ike2 connection… Posting from: 🇻🇳 Vietnam, MuiNe, coconut valley house. #mikrotik #vpn #ipsec #mum #vietnam

Building the MikroTik VPN ike2 IPSec demo laboratory: day 1 results ✅ MacOS 10.14 connected ✅ iOS 12 connected ✅ Windows 10 connected ✅ Windows 7 connected ✅ Android + StrongSwan ike2 connected Working on RouterOS <-> RouterOS IPSec ike2 connection… Posting from: 🇻🇳 Vietnam, MuiNe, coconut valley house. #mikrotik #vpn #ipsec #mum #vietnam

Можно ли глянуть конфиг? 😊

Можно ли глянуть конфиг? 😊

Покажу на MUM Malaysia 2019 ¯\_(ツ)_/¯

Покажу на MUM Malaysia 2019 ¯\_(ツ)_/¯

Буду ждать 😊

Building the MikroTik VPN ike2 IPSec demo laboratory: day 1 results ✅ MacOS 10.14 connected ✅ iOS 12 connected ✅ Windows 10 connected ✅ Windows 7 connected ✅ Android + StrongSwan ike2 connected Working on RouterOS <-> RouterOS IPSec ike2 connection… Posting from: 🇻🇳 Vietnam, MuiNe, coconut valley house. #mikrotik #vpn #ipsec #mum #vietnam

Похвально, я тоже подключал еще 2 года назад айфоны к ике2 (когда только 6.39 вышел) Но сейчас моя задача была выдать каждому абоненту его индивидуальный адрес и дальше файрволлить его трафик в соответствии с его тарифом 😉

+ к этому каждому юзеру пушить его индививидуальные роуты )

+ к этому каждому юзеру пушить его индививидуальные роуты )

А айфончики поймают резве пуши?

До 6.44 эта задача была нерешаемой. Все старые мануалы, написанные до 6.43 утратили свою актуальность.

До 6.44 эта задача была нерешаемой. Все старые мануалы, написанные до 6.43 утратили свою актуальность.

Это верно

Я как раз сейас и работаю над этим. Еще 2 года назад всем обещал запилить наглядный мануал

А айфончики поймают резве пуши?

Сейчас проверю

Сейчас проверю

Вот это интересно

А айфончики поймают резве пуши?

Через split include

Вот это интересно

✅ в роут таблице айфона появился маршрут до заданной сети ✅ трафик в инет полетел через дефолт шлюз ✅ трафик до заданных сетей полетел через ike2

Both Apple macOS and iOS will use the DNS servers from system-dns and static-dns parameters only when 0.0.0.0/0 split-include is used. Both Apple macOS and iOS will only accept the first split-include network.

Это в вики

Both Apple macOS and iOS will use the DNS servers from system-dns and static-dns parameters only when 0.0.0.0/0 split-include is used. Both Apple macOS and iOS will only accept the first split-include network.

ща проверю

Windows will always ignore networks received by split-include and request policy with destination 0.0.0.0/0 (TSr). When IPsec-SA is generated, Windows requests DHCP option 249 to which RouterOS will respond with configured split-include networks automatically.

Windows will always ignore networks received by split-include and request policy with destination 0.0.0.0/0 (TSr). When IPsec-SA is generated, Windows requests DHCP option 249 to which RouterOS will respond with configured split-include networks automatically.

Это для винды пишут на вики

Windows will always ignore networks received by split-include and request policy with destination 0.0.0.0/0 (TSr). When IPsec-SA is generated, Windows requests DHCP option 249 to which RouterOS will respond with configured split-include networks automatically.

о, это интересно

ща проверю

iOS подтверждаю, трафик идет на системный DNS

ну да, скорее всего корпоративные DNS работать не будут не гнать весь трафик через VPN на Apple девайсах, наверное это как-то связано с безопасностью. Ща проверю винды

Винда приняла DNS, приняла split-include роуты

Покажу на MUM Malaysia 2019 ¯\_(ツ)_/¯

☹️

✅ в роут таблице айфона появился маршрут до заданной сети ✅ трафик в инет полетел через дефолт шлюз ✅ трафик до заданных сетей полетел через ike2

😭 вот прямо хотюхотю

😭 вот прямо хотюхотю

Сделайте

😭 вот прямо хотюхотю

Меня еще не включили в MUM Agenda до тех пор, пока не предоставлю им концепцию презентации. Проект еще в процессе разработке.

кто в курсе где StrongSwan в убунте ведет логи? Работаю над линуксом клиентом

Сделайте

у меня лапки и я весь трафик гоняю в впн с яблофона.

у меня лапки и я весь трафик гоняю в впн с яблофона.

у тебя split-include 0.0.0.0/0 ? перечисли требуемые тебе сети

Меня еще не включили в MUM Agenda до тех пор, пока не предоставлю им концепцию презентации. Проект еще в процессе разработке.

а что там это проверяют? некоторые видео смотришь будто для мамкиных админов сделано просто стыдно за мум позволивший выйти такому презентеру

кто в курсе где StrongSwan в убунте ведет логи? Работаю над линуксом клиентом

By default, the IKE daemon charon logs via syslog(3) using the LOG_AUTHPRIV (only messages on log level 0) and LOG_DAEMON (all log levels) facilities. The default log level for all subsystems is 1. Where the log messages eventually end up depends on how syslog is configured on your system. Common places are /var/log/daemon, /var/log/syslog, or /var/log/messages. Unlike charon, charon-systemd logs to the systemd journal and not syslog, by default. The log levels are configurable in a separate section in strongswan.conf, which is not described here.

а что там это проверяют? некоторые видео смотришь будто для мамкиных админов сделано просто стыдно за мум позволивший выйти такому презентеру

Мне прислали стандартную отписку типа пришли черновик презентации и мы подумаем, никаких гарантий до тех пор пока не будет более менее понятной сути доклада.

у тебя split-include 0.0.0.0/0 ? перечисли требуемые тебе сети

я вот что-то пока даже не понимаю о ком речь но скоро я это повычитаю

By default, the IKE daemon charon logs via syslog(3) using the LOG_AUTHPRIV (only messages on log level 0) and LOG_DAEMON (all log levels) facilities. The default log level for all subsystems is 1. Where the log messages eventually end up depends on how syslog is configured on your system. Common places are /var/log/daemon, /var/log/syslog, or /var/log/messages. Unlike charon, charon-systemd logs to the systemd journal and not syslog, by default. The log levels are configurable in a separate section in strongswan.conf, which is not described here.

/var/log/syslog |grep charon

у тебя split-include 0.0.0.0/0 ? перечисли требуемые тебе сети

Вот попробовал. Реально только первое что в сплитинклуде стоит ту Сеть и направляет через впн. Остальные по дефолту

Эх. Жаль конечно.

всего одну сеть??

всего одну сеть??

Первую

Да

Вот попробовал. Реально только первое что в сплитинклуде стоит ту Сеть и направляет через впн. Остальные по дефолту

тоесть хотябы 192.168/16 туда можно загнать? А днс корпоративные он возьмет?

тоесть хотябы 192.168/16 туда можно загнать? А днс корпоративные он возьмет?

DNS - Винда да, яблоки нет - проверил выше Роуты зайду и там и там

тоесть хотябы 192.168/16 туда можно загнать? А днс корпоративные он возьмет?

Сеть загнать можно. Днс только когда весь трафик через впн

ну все не слава богу (((

без днс это все бесполезно - снова учить их ip прописывать

ну все не слава богу (((

Тебя яблоки надо?

мак винда яблоко андроид

яблоко не скушает vpn dns

мак/иос

все что в руках командировочный может держать и без гре который блочится в кафешках

без днс это все бесполезно - снова учить их ip прописывать

Можно днс в паблике разместить свой и его прописать

Можно днс в паблике разместить свой и его прописать

Добыча пентестера )

Добыча пентестера )

Ой ладно.

в убунте есть какой графический интерфейс для работы с системными корневыми сертифкатами?

в убунте есть какой графический интерфейс для работы с системными корневыми сертифкатами?

Installing a root/CA Certificate Given a CA certificate file foo.crt, follow these steps to install it on Ubuntu: Create a directory for extra CA certificates in /usr/share/ca-certificates: sudo mkdir /usr/share/ca-certificates/extra Copy the CA .crt file to this directory: sudo cp foo.crt /usr/share/ca-certificates/extra/foo.crt Let Ubuntu add the .crt file's path relative to /usr/share/ca-certificates to /etc/ca-certificates.conf: sudo dpkg-reconfigure ca-certificates To do this non-interactively, run: sudo update-ca-certificates In case of a .pem file on Ubuntu, it must first be converted to a .crt file: openssl x509 -in foo.pem -inform PEM -out foo.crt