Сложная маршрутизация трафика через vpn.

На 192.168.88.50-192.168.88.200 раздать/прописать-вручную роутинг до «корпоративным ресурсам» через 192.168.88.22.

ЗЫ кот. кот. кот. - Почему не пёс?

1. Это невозможно например на гаджетах с Android, IPhone, кот. входят в локальную сеть.
2. При подключении нового устройства в локальную сеть необходимо прописывать маршруты к корпоративному vpn что очень неудобно.

Хотелось бы что бы один раз настроить и забыть. Так что к сожалению это не вариант. (((

Сложная маршрутизация

нет

Немного не понятно что нет?

Что мешает прописать на микротике маршруты на нужные ресурсы через 192.168.88.22?

Пропиши на шлюзе сети маршрут до корпоративных ресурсов через твой сервер с ВПН.

На нём не забудь так же включить маршрутизацию и NAT.

впн - понятие растяжимое. Может быть между точками или подсетями. В зависимости от этого может быть нужен нат на сервере, либо дополнительные слои того же GRE. Иначе корп ресурс получит обратный адрес твоей подсети и спросит «хто это».

В плане маршрутов - ставишь сервер гейтом на корп подсеть на микротике или прямо на компе/девайсе, дальше см про нат и подсети, от микротика тут мало что зависит.

есть вариант проще кмк - поднять впн на самом микротике. например для ovpn взять за основу https://protonvpn.com/support/vpn-mikrotik-router/ и подрихтовать dst-address и маркеры. Минус один сервер хотя бы

NAT на 22 будет недостаточно, NAT нужно будет делать на шлюзе.

Т.к. клиенты с 50 по 200 и 22 находятся в одном адресном пространстве, то ответные пакеты пойдут напрямую клиентам.

Сделать сервер шлюзом сети более простой и даже правильный способ.

Ну либо что ещё проще - поднять VPN на микротике.

Это невозможно например на гаджетах с Android, IPhone, кот. входят в локальную сеть.

Вы вручную на них настраиваете? Или все-таки с dhcp раздаете?
Даже если вручную, на роутере пропишите маршруты до «корпоративным ресурсам» через 192.168.88.22, он сам редирект отправит. Но лучше таки настроить дхцп с которого раздавать.

впн - понятие растяжимое. Может быть между точками или подсетями.

Да корпоративный vpn между подсетями на основе openvpn.

Вы вручную на них настраиваете? Или все-таки с dhcp раздаете?

на микротике да конечно настроен dhcp кот. имеет как раз вот такую адресацию ip 192.168.88.50-192.168.88.200

есть вариант проще кмк - поднять впн на самом микротике. например для ovpn взять за основу https://protonvpn.com/support/vpn-mikrotik-router/ и подрихтовать dst-address и маркеры. Минус один сервер хотя бы

Ну либо что ещё проще - поднять VPN на микротике.

Все таки немного не понял про поднятие vpn на микротике. Если можно поясните пожалуйста. Я же раньше написал что корпоративный vpn на микротике поднять не получилось в силу ограничения RouterOS. (udp, SHA512 и т.д.)

на микротике да конечно настроен dhcp

Вот на нем и добавьте маршрут

ЗЫ Остальные ответы не на мой пост.

Микротик умеет SHA512, но с UDP засада, да. Он есть на Dev ветке, можно перешить на нее если не страшно

А так - см ответы anc, маршруты и потом на сервере NAT настроить

Микротик умеет SHA512

нет к сожалению не умеет. (( Auth только SHA1. Я уже перешел на дев ветку, но в других настройках засада. ((

Т.е. вы предлагаете:

1. на микротике прописать маршруры на 192.168.88.22 для корпоративных ресурсов в dhcp.
2. На 192.168.88.22 настроить NAT кот. будет заворачивать все пакеты для определенных ip корпоративных ресурсов т.е. например 10.55.55.0-10.55.55.250 в tun0 (openvpn интерфейс на 192.168.88.22)?

to upcFrost, anc

Я все верно понял? Поправте пожалуйста если где то вас не понял.

Да и еще один вопрос как быть с определением dns корпоративных ресурсов? Корпоративный OpenVPN добавляет на 192.168.88.22 свой ресолв имен.

Возможно тоже это как то настроить и где на микротике или нужно bind на 192.168.88.22 поднимать?

на микротике прописать маршруры на 192.168.88.22 для корпоративных ресурсов в dhcp.

Да

На 192.168.88.22 настроить NAT кот. будет заворачивать все пакеты для определенных ip корпоративных ресурсов т.е. например 10.55.55.0-10.55.55.250 в tun0 (openvpn интерфейс на 192.168.88.22)?

У вас корп ресурсы не в курсе про вашу сеть 10.55.55.0 ?

vpn кот. дает доступ к корпоративным ресурсам подними на самом микротике

У вас корп ресурсы не в курсе про вашу сеть 10.55.55.0 ?

Нет не в курсе, они вообще о ней ничего знать не знают и не должны в общем.

vpn кот. дает доступ к корпоративным ресурсам подними на самом микротике

Это был бы самый отличный вариант но как я писал ранее это не возможно, потому что RouterOS не поддерживает auth = SHA512 и другие настройки OpenVPN коорп сети.

/route add dst-address=co.rp.net/mask gateway=192.168.88.22

#(192.168.88.22)iptables iptables -t nat -A POSTROUTING -o tun0 -j SNAT –to tun0.addr/32

Тогда да, nat нужен.

Замудрено, но решаемо.

1. У всех твоих клиентов в качестве def.gw настроен mikrotik - на нем создаешь маршрут:

/ip ro add dst-address=<servers_subnet> gateway=192.168.88.22

iptables -t nat -A POSTROUTING -o <vpn-int> -j MASQUERADE

/ip fi nat add chain=src-nat in-interface=<lan> src-address=192.168.88.0/24 dst-address=<servers_subnet> action=masquerade

Ступил, тут интерфейс не нужно указывать

/ip fi nat add chain=src-nat src-address=192.168.88.0/24 dst-address=<servers_subnet> action=masquerade

iptables -t nat -A POSTROUTING -o -j MASQUERADE

Тут пакеты проходят.

/ip fi nat add chain=src-nat in-interface= src-address=192.168.88.0/24 dst-address=<servers_subnet> action=masquerade

Пришлось изменить in-interface на out-interface так как микротик не дает создать правило. И пакетов на микротике не вижу. Ну и соответственно маршрут не работает. Не подскажете как это можно продебажить?

изменить in-interface на out-interfac

ступил, вообще не надо интерфейс (ну точнее он не влияет особо т.к. нужный трафик и без него и с out- захватился бы...с in- в теории тоже, но на postrouting не доходит входящий интерфейс и фильтровать по нему нельзя).

Дебажить на сервере_с_vpn, смотреть что пакеты уходят в сторону подсети с серверами и возвращаются в сторону локального ip роутера.
Ну и еще проверить, что фильтрация трафика на mkt, сервере_с_vpn, удаленном сервере vpn, удаленных серверах настроена корректно.

chain=srcnat, без - тоже не доглядел

Зачем nat loopback? Клиент ожидает ответные пакеты с того адреса, с которого они идут.

Я бы поинтересовался, как сделана vpn сеть и маршрутизация в головном офисе, или бы просто спросил там как настроить сеть у себя.

Ну кстати да, был неправ