LINUX.ORG.RU
решено ФорумAdmin

Не проходит трафик в локальную сеть mikrotik через vpn

 , , ,


0

2

Коллеги, добрый день. Подскажите в решении задачки по маршрутизации. Имеем такую схему

https://i.imgur.com/x2j5pYj.png

Локальная сеть(192.168.100.) -> mikrotik(раздает инет в локальную сеть + подключен как openvpn client к vpn серверу, ip клиента [192.168.10.28] + включен masquerade на интерфейс openvpn) vpn сервер (docker + pritunl/openvpn сеть в режиме host ) ip [192.168.10.1] сервер 1 подключен через openvpn client к vpn серверу, ip клиента [192.168.10.3]

Делаем пинг из локальной сети, например до сервер 1. все пинги проходят без проблем

PING 192.168.10.3 (192.168.10.3) 56(84) bytes of data.
64 bytes from 192.168.10.3: icmp_seq=1 ttl=63 time=6.79 ms
64 bytes from 192.168.10.3: icmp_seq=2 ttl=63 time=3.91 ms

А вот если мы например с vpn сервера попробуем пингануть локального клиента или сам mikrotik по 192.168.100.1 ответа уже не получим Если будем пинговать с vpn сервера по ip 192.168.10.28 ответ будет

На впн сервере добавил маршрут 192.168.100.0/24 via 192.168.10.28 dev tun2

Но результата это не принесло. Что еще можно предпринять и в какую сторону копать ?

Правила mikrotik

[admin@MikroTik] /ip route> print 
Flags: X - disabled, A - active, D - dynamic, C - connect, S - static, r - rip, b - bgp, o - ospf, m - mme, B - blackhole, U - unreachable, P - prohibit 

 #      DST-ADDRESS        PREF-SRC        GATEWAY            DISTANCE
 
 0 A S  0.0.0.0/0                          vpn-local             1
 
 1 A S  0.0.0.0/0                          109.195.36.254            1
 
 2 ADC  109.195.36.0/24    109.195.36.41  ether1                    0
 
 3 ADC  192.168.10.0/24    192.168.10.28   vpn-local             0
 
 4 ADC  192.168.100.0/24   192.168.100.1   bridge1                   0
[admin@MikroTik] /ip firewall nat> print 
Flags: X - disabled, I - invalid, D - dynamic 
0    ;;; all to 41
     chain=srcnat action=masquerade src-address-list=!white_ip out-interface=ether1 log=no log-prefix="" 

1 X  chain=srcnat action=masquerade src-address=10.8.1.0 out-interface=ether1 log=no log-prefix="" 

2    chain=srcnat action=masquerade out-interface=vpn-local log=no log-prefix=""
 [admin@MikroTik] /ip firewall filter> print 
Flags: X - disabled, I - invalid, D - dynamic 
 0 X  chain=input action=drop in-interface=ether1 log=no log-prefix="" 
 
 1    chain=input action=accept protocol=icmp 
 
 2    chain=input action=accept connection-state=established 
 
 3    chain=input action=accept connection-state=related 
 
 4    chain=input action=accept protocol=tcp dst-port=1723 log=no log-prefix=""
 
 5    ;;; vpn
 
      chain=input action=accept protocol=tcp src-port="" dst-port=1723 log=no log-prefix=""
      
 6    ;;; vpn
 
      chain=input action=accept protocol=gre log=no log-prefix=""
      
 7    chain=input action=accept protocol=udp in-interface=ether1 dst-port=1701,500,4500,50,51 log=no log-prefix=""
 
 8    chain=input action=accept protocol=ipsec-esp log=no log-prefix=""
 
 9    chain=input action=accept protocol=l2tp log=no log-prefix=""
 
10    chain=input action=accept protocol=tcp dst-port=1194 log=no log-prefix=""

11    chain=input action=accept in-interface=vpn-local log=no log-prefix=""

12    chain=output action=accept out-interface=vpn-local log=no log-prefix=""

маршруты на тестовой машине (просто подключенной к впн)

Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
default         109x195x36x254. 0.0.0.0         UG    100    0        0 enp6s0
109.195.36.0    0.0.0.0         255.255.255.0   U     100    0        0 enp6s0
172.17.0.0      0.0.0.0         255.255.0.0     U     0      0        0 docker0
192.168.10.0    0.0.0.0         255.255.255.0   U     0      0        0 tun0
192.168.100.0   192.168.10.28   255.255.255.0   UG    0      0        0 tun0
192.168.122.0   0.0.0.0         255.255.255.0   U     0      0        0 virbr0


Последнее исправление: MrDeff (всего исправлений: 2)

Ответ на: комментарий от imul

[admin@MikroTik] /ip route> print Flags: X - disabled, A - active, D - dynamic, C - connect, S - static, r - rip, b - bgp, o - ospf, m - mme, B - blackhole, U - unreachable, P - prohibit

DST-ADDRESS PREF-SRC GATEWAY DISTANCE

0 A S 0.0.0.0/0 vpn-local 1

1 A S 0.0.0.0/0 109.195.36.254 1

2 ADC 109.195.36.0/24 109.195.36.41 ether1 0

3 ADC 192.168.10.0/24 192.168.10.28 vpn-local 0

4 ADC 192.168.100.0/24 192.168.100.1 bridge1 0

[admin@MikroTik] /ip firewall nat> print Flags: X - disabled, I - invalid, D - dynamic 0 ;;; all to 41 chain=srcnat action=masquerade src-address-list=!white_ip out-interface=ether1 log=no log-prefix=""

1 X chain=srcnat action=masquerade src-address=10.8.1.0 out-interface=ether1 log=no log-prefix=""

2 chain=srcnat action=masquerade out-interface=vpn-local log=no log-prefix=""

[admin@MikroTik] /ip firewall filter> print Flags: X - disabled, I - invalid, D - dynamic 0 X chain=input action=drop in-interface=ether1 log=no log-prefix=""

1 chain=input action=accept protocol=icmp

2 chain=input action=accept connection-state=established

3 chain=input action=accept connection-state=related

4 chain=input action=accept protocol=tcp dst-port=1723 log=no log-prefix=""

5 ;;; vpn

  chain=input action=accept protocol=tcp src-port="" dst-port=1723 log=no log-prefix=""

6 ;;; vpn

  chain=input action=accept protocol=gre log=no log-prefix=""

7 chain=input action=accept protocol=udp in-interface=ether1 dst-port=1701,500,4500,50,51 log=no log-prefix=""

8 chain=input action=accept protocol=ipsec-esp log=no log-prefix=""

9 chain=input action=accept protocol=l2tp log=no log-prefix=""

10 chain=input action=accept protocol=tcp dst-port=1194 log=no log-prefix=""

11 chain=input action=accept in-interface=vpn-local log=no log-prefix=""

12 chain=output action=accept out-interface=vpn-local log=no log-prefix=""

MrDeff
() автор топика
Ответ на: комментарий от MrDeff

прописал в ручную route 192.168.100.0 255.255.255.0 192.168.10.28

я ж говорю - это не работает.

работает только через iroute на сервере по имени клиента.

Toxo2 ★★★
()
Последнее исправление: Toxo2 (всего исправлений: 1)

кому интересно решение.

нашел активатор энтерпрайз версии pritunl там встроена такая штука https://docs.pritunl.com/docs/network-links-1

в итоге просто указал в параметрах клиента и заработало как понимаю он сам прописывает iroute для них

MrDeff
() автор топика