И так на обоих сторонах если надо

пытался - не дает гад, говорит шлюз укажи. а че указать то? 🙂 Шлюз из той другой сети, дык он анричибл

А интерфейс нельзя указать? И тогда выше что писал в правила не срц а инт указать

какой? увы это не PPP, а IPSEC

как делать с PPP понятно

но не хочется из-за такой фигни переводить на L2TP...

ИП сек без туннеля - зло.

то есть сейчас выглядит так [mdv@Welding] > ping 10.5.17.10 SEQ HOST SIZE TTL TIME STATUS 0 10.5.17.10 timeout 1 10.5.17.10 timeout 2 10.5.17.10 timeout 3 10.5.17.10 timeout 4 10.5.17.10 timeout 5 10.5.17.10 timeout 6 10.5.17.10 timeout sent=7 received=0 packet-loss=100% [mdv@Welding] > ping 10.5.17.10 src-address=192.168.161.250 SEQ HOST SIZE TTL TIME STATUS 0 10.5.17.10 56 127 29ms 1 10.5.17.10 56 127 29ms 2 10.5.17.10 56 127 28ms 3 10.5.17.10 56 127 28ms 4 10.5.17.10 56 127 29ms 5 10.5.17.10 56 127 28ms sent=6 received=6 packet-loss=0% min-rtt=28ms avg-rtt=28ms max-rtt=29ms [mdv@Welding] >

ибо в туннель заворачивается локалка… ну зло не зло… но внутренне уверен, что способ есть 🙂

просто не хватает мозгов у меня, что куда прописать 🙂 не посетимши мы MTCRE еще 🙂

А как сейчас выглядит раут до 10.5.17.10?

опять же, что значит «без туннеля»? IPSEC как раз с туннелем. галка «Tunnel» стоит

да никак не стоит. заворачивается с помощью IPSEC полиси

IPSEC туннелирует на внешний IP как и должен

поэтому без лишней адресации (как было бы в случае с L2TP) ходит между микротами и все замечательно. было. до сегодняшнего дня 🙂

ходить то оно и сейчас ходит. но задача возникла именно с микрота мониторить. Дьюдом

В ипсек "туннеле" нет ни адреса, ни интерфейса. Это просто политика. И никакое прописывание роутов туда не поможет

а что, если поставить внутрь микротика второй? Метароутер.... и делать через него петлю...

Можно попробовать срц-натить в адрес внутреннего интерфейса. Тогда может и прокатить

БОЛЬШЕ КОСТЫЛЕЙ БОГУ КОСТЫЛЕЙ

Ну так создай еще один айписектунель. Но с соц.адресом ваниниерфейса

Что бы трафик тика в ту локалку тоже шел через айписек

Можно попробовать срц-натить в адрес внутреннего интерфейса. Тогда может и прокатить

мысль интетесная, но боюсь бомбанет дальше. Сервера могут подохренеть, если с одного адреса все прибегут. да и диагностика затруднится… хотя можно это правило сделать только для лана…

Можно попробовать срц-натить в адрес внутреннего интерфейса. Тогда может и прокатить

ipsec policy идёт после цепочек postrouting, так что должно прокатить...

тааак… включим Safe Mode и попробуем 🙂

в правиле нат обязательно указать: 1) src-ip 2) dst-ip 3) out-interface

так не, погодите 🙂 А как я объясню, что надо идти С ВНУТРЕННЕГО? 🙂 В этом вся подстава… Если б можно было б объяснить - можно было и роутинг прописать… А правило то как сработает? Он подставит внешний IP и все. Или это и имелось ввиду? Внешний IP натить внутрь??

ну и адрес, в который натить. ну и протокол - icmp

протоколы - дело десятое.. IP бы завернуть...

погодяем. 1) он пойдёт с того, который ближе. 2) тот кто ближе - снатится в тот, который нужен.

так что src-ip ставим - тот который ближе. натить в адрес - в тот который нужен. dst-ip - тот, который пингуем

Блин, да укажите в СРЦ адресе 0,0,0,0/0 тунеля айписец и всё что бы любой срц.адрес пришедший на роутер и имеющий ДСТ=той локалке пошле через айписец-тунель

Не слушайте вредные советы ☝️

это мои вредные?

это мои вредные?

Не, мои

ищите гемороя лишнего просто 😊. Как по мне так просто срц/дст пары описать так что бы трафик и роутера подпадал под тот тунель

Блин, с телефона неудобно печатать

не. не могу пока врубиться кого куда прописать 🙂

Блин, с телефона неудобно печатать

терпи. я вон пол часа терпер пока в маршрутке ехал :)

ищите гемороя лишнего просто 😊. Как по мне так просто срц/дст пары описать так что бы трафик и роутера подпадал под тот тунель

Забываете, что политика пишется с двух сторон. Соотв, с другой стироны получится дст 0.0.0.0/0 через ипсек, а я полагаю, это не то, что хотелось бы

https://wiki.mikrotik.com/wiki/Russian/Объединяем_офисы_с_помощью_Mikrotik

Забываете, что политика пишется с двух сторон. Соотв, с другой стироны получится дст 0.0.0.0/0 через ипсек, а я полагаю, это не то, что хотелось бы

да, сам это понял. но может там через запятую можно?

не. не могу пока врубиться кого куда прописать 🙂

/ip ipsec policy add src-address=192.168.20.0/24 dst-address=192.168.10.0/24 action=encrypt tunnel=yes sa-src-address=192.168.1.2 sa-dst-address=192.168.1.1

Нет. Несколько политик можно. Каждая устанавливается независтмо от другой

Нет. Несколько политик можно. Каждая устанавливается независтмо от другой

ну так в чем проблема тогда? одна политика - локалка-локалка вторая политика роутер-локалка

src - в туннеле должен быть исходящий, который зацепится

ну так и впиши в срц. адрес ВАН-адрес роутера с которого пингуешь :)

Нет

соответсвенно на другом конце впиши его в ДСТ.адрес политики

в общем. давайте на час отложим. приедет Алекс то нормально продолжим

т.е. сейчас так A ;;; LV src-address=10.10.11.0/24 src-port=any dst-address=10.5.17.0/24 dst-port=any protocol=all action=encrypt level=require ipsec-protocols=esp tunnel=yes sa-src-address=***.***.**.** (реальный внешний IP офиса) sa-dst-address=***.***.***.*** (реальный внешний IP облака) proposal=FAST ph2-count=1

по той ссылке что ты прислал... это должно выглядеть так: /ip firewall nat add action=src-nat src-address=192.168.1.1 dst-address=192.168.20.0/24 to-addresses=192.168.10.1

для микротика-1

В нате: add chain=srcnat src-address-type=local dst-address=пингуемыйдевайс action=src-nat to-addresses=адрес-с-которого-пинается

и так оно всю жизнь работало. проблема как я уже сказал в том, что ЗА роутерами все изумительно работает. Вопрос КАК объяснить самому Mikrotik’у, что когда он САМ идет в ту заайписеченную сеть, ему надо в туннель

да, забыл chain указать)

ибо он сурс ставит согласно своих внутренний представлений

да бог с ним с чейном 🙂

без этого никак.

и так оно всю жизнь работало. проблема как я уже сказал в том, что ЗА роутерами все изумительно работает. Вопрос КАК объяснить самому Mikrotik’у, что когда он САМ идет в ту заайписеченную сеть, ему надо в туннель

так всё же, ты еще одну политику пробовал создавать?

бог микротика с ним - и не позволит такому правилу быть

ибо он сурс ставит согласно своих внутренний представлений

Согласно pref.sourse таблицы маршрутизации

так всё же, ты еще одну политику пробовал создавать?

еще не успел

Избавляться от долбаных ипсек туннелей, делать всё в транспортном режиме

Согласно pref.sourse таблицы маршрутизации

а шлюз кто? без шлюза не дает

И не даст. Натом пробуйте

Избавляться от долбаных ипсек туннелей, делать всё в транспортном режиме

если не получится, так и сделаю

Или просто выпиливайте туннельный ипсек и делайте гре овер ипсек

Тогда уже всё будет просто и понятно

а шлюз кто? без шлюза не дает

Через нат тренер правильно говорит. Шлюз будет по умолчанию и его срц

В нате: add chain=srcnat src-address-type=local dst-address=пингуемыйдевайс action=src-nat to-addresses=адрес-с-которого-пинается

Поднять над маскарадингом

Избавляться от долбаных ипсек туннелей, делать всё в транспортном режиме

сам их не люблю. но нужно работать с тем что есть 😊

Вот смотрю я на табличку Packet_Flow_v6 (ту часть, где ipsec) и думаю,а сможет ли микротик ipsec внутри ipsec ?

Вот смотрю я на табличку Packet_Flow_v6 (ту часть, где ipsec) и думаю,а сможет ли микротик ipsec внутри ipsec ?

нарываешся... на пост Кеши о костылях и наркоманах 😄

на самом деле,подозреваю, со своей наркоманско-костыльной точки зрения, что ответ на этот вопрос значит примерно то же, что и ответ на вопрос про возможность схемы мр.кота

так. вариант с NAТ’ом похоже проканал. Ща проверю, что ничего больше не отвалилось 🙂)))

Так, коллеги. Огромное спасибо! Вариант с NAT абсолютно рабочий, сурс с других айпи не подменяет, сервера останутся довольны 🙂 Всем спасибо!!!

Пжалст :)

Так, коллеги. Огромное спасибо! Вариант с NAT абсолютно рабочий, сурс с других айпи не подменяет, сервера останутся довольны 🙂 Всем спасибо!!!

Главное — правильно составить правило