🏸 🔽 ⏭️ मिकरोटिक + आईपीएससी + सिस्को = शांति, दोस्ती, गम 🎻 🈵 🙏🏻

तकनीकी कार्य: कार्यालय के बीच एक ipip सुरंग को व्यवस्थित करने के लिए, ipsec एन्क्रिप्शन के साथ, मिकरोटिक RB450G और सिस्को 2821 का उपयोग कर।

बारीकियों

microt पर सॉफ्टवेयर का नवीनतम संस्करण (5.20)
आईपीआईपी सुरंग का प्रकार
"सुरंग" के बजाय "ट्रांसपोर्ट" टाइप करें

स्रोत डेटा

सिस्को 2821 (OS v12.4)
2. मिकरोटिक आरबी 450 जी
3. दोनों उपकरणों पर वास्तविक बाहरी आईपी
4. त्सिस्का पता: 77.77.77.226। Tsiska की ओर से सबनेट: 10.192.0.0/22
5. मिकरोटिक पता: 88.88.88.2। मिकरोटिक सबनेट: 192.168.88.0/24

प्रागितिहास

कुछ और विश्वसनीय, हार्डवेयर के साथ, हमारी शाखाओं में सर्वर को बदलने की आवश्यकता का सामना करना पड़ा।
केंद्रीय कार्यालय के साथ हमारा संचार ipsec एन्क्रिप्शन के साथ सुरंगों के माध्यम से होता है। केंद्रीय कार्यालय में, सब कुछ बिल्ली के समान लोगों पर बनाया गया है, और ज्यादातर शाखाओं में फ्रीबीएसडी के तहत नियमित सर्वर हैं, जो कि रस्कून का उपयोग करके सुरंगों से चिपके रहते हैं।
समस्या उत्पन्न हुई, अप्रचलन के संबंध में, सर्वर की विफलता, सरल, सस्ते हार्डवेयर समाधान स्थापित करने के लिए।

मेरे मन के भाई, सहकर्मी और फ़ोरम ने मुझे मिकरोटिक उत्पादों की ओर धकेल दिया, और तुरंत मैंने उन्हें निम्नलिखित सामग्री के साथ एक पत्र भेजा:

 . ,      ,   : nat-,  ipsec-    28,   100,  ospf. ,    "POE"  .

जवाब अप्रत्याशित रूप से, बहुत जल्दी, एक दिन के भीतर आया:

 ,          Mikrotik.     ,    -  RB/MRTG (miniROUTERG) 4531 -  RB1100AHx2 16915    : http://routerboard.com/RB450G http://routerboard.com/RB1100AHx2    http://wiki.mikrotik.com/wiki/IPSec_VPN_with_Dynamic_Routing_/_Mikrotik_and_Cisco

मैंने तुरंत RB450G चुना। आर्डर किया, लाया गया।
मुझे तुरंत कहना होगा कि मैं उपरोक्त लिंक को कॉन्फ़िगर नहीं कर सका। डेटा वहाँ पुराना है, संस्करण 5.20 में कुछ पैरामीटर बस गायब हैं।
मैंने मंचों के माध्यम से अफवाह उड़ाई, निम्नलिखित सामग्री के बारे में लेख पढ़ें:
betep.wpl.ru/2009/02/wiki-mikrotik.html
netandyou.ru/17 - वैसे यह दिलचस्प है, लेकिन एक गेल टनल में ipsec का उदाहरण माना जाता है, और मेरे मामले में ipip टनल टाइप, और tsisk के क्रिप्टो ipsec ट्रांसफॉर्म-सेट के संचालन का तरीका "टनल" नहीं है, लेकिन "ट्रांसपोर्ट" है। हालांकि, यह भी काम नहीं किया।
मैंने मंचों पर सामग्री के एक समूह के माध्यम से भी अफवाह उड़ाई, कनेक्शन मिल गया, एन्क्रिप्शन चालू हो गया, लेकिन कुछ भी काम नहीं किया, पैकेट ने सुरंग के माध्यम से चलने से इनकार कर दिया, क्योंकि मैंने उन्हें ऐसा करने के लिए मजबूर करने की कोशिश नहीं की।
दो खोए हुए दिनों ने मुझे एक गीक पत्रिका में लिखने के लिए भी प्रेरित किया, शायद ये पंक्तियाँ उनके काम में किसी की मदद करेंगी।

नतीजतन, सब कुछ ट्राइट और बहुत सरल हो गया।

मैंने मिकरोटिक में IPSec नीति सेटिंग्स पर ध्यान केंद्रित किया , और यह एक गलती की तरह लग रहा था :)
उस सामग्री का अध्ययन करने के बाद जिसने वास्तव में मेरी मदद की:
wiki.mikrotik.com/wiki/Manual : IP / IPsec # Transport_mode_2 - यहां और नीचे पृष्ठों की एक जोड़ी
और
wiki.mikrotik.com/wiki/Manual : इंटरफ़ेस / IPIP - यह सिर्फ मूल बातें है, लेकिन सिर्फ मामले में।

मैंने बस सभी राजनेताओं को हटा दिया (वैसे - वे सही ढंग से कॉन्फ़िगर किए गए थे, बाद में बनाए गए गतिशील लोगों को देखते हुए), और बस ऑटो-पीढ़ी की नीतियों की जांच की। जो सफल रहा और कनेक्शन के बाद मिकरोटिक के साथ एक टिस्का किया।

सभी सेटिंग्स (कंसोल और समान ग्राफिक) नीचे दिए गए हैं।

सिस्को:

 !   -  5   3des    (pre-share) crypto isakmp policy 20 encr 3des hash md5 authentication pre-share ! group2 ,      dh-group=modp1024 group 2 !   crypto isakmp key MyPassWord address 88.88.88.2 no-xauth crypto isakmp keepalive 30 ! . !  transport,   tunnel  crypto ipsec transform-set transform-2 esp-3des esp-md5-hmac mode transport crypto dynamic-map dynmap 10 set transform-set transform-2 reverse-route crypto map vpnmap client configuration address respond crypto map vpnmap 5 ipsec-isakmp dynamic dynmap crypto map vpnmap 10 ipsec-isakmp !   crypto map vpnmap 93 ipsec-isakmp description Mikrotik_Local ! ip  set peer 88.88.88.2 set security-association lifetime seconds 86400 set transform-set transform-2 ! pfs group2 ,      dh-group=modp1024 set pfs group2 ! access-,   match address 137 !   interface Tunnel93 description tunnel_Mikrotik ip unnumbered GigabitEthernet0/1 !   tunnel source 77.77.77.226 !   tunnel destination 88.88.88.2 !   ipip tunnel mode ipip !   interface GigabitEthernet0/1 description Internet ip address 77.77.77.226 255.255.255.224 no ip redirects no ip unreachables no ip proxy-arp ip wccp web-cache redirect out ip virtual-reassembly ip route-cache policy no ip mroute-cache duplex auto speed auto no mop enabled !     crypto map vpnmap !  ,    ip route 192.168.88.0 255.255.255.0 Tunnel93 !     access-list 137 permit ip host 77.77.77.226 host 88.88.88.2

Mikrotik:

 /interface ipip add disabled=no dscp=0 local-address=88.88.88.2 mtu=1260 name=ipip1 \ remote-address=77.77.77.226 add address=192.168.88.1/24 comment="default configuration" disabled=no \ interface=ether2-master-local network=192.168.88.0 add address=88.88.88.2/30 disabled=no interface=ether1-gateway network=\ 62.5.248.248 add add-default-route=yes comment="default configuration" \ default-route-distance=1 disabled=no interface=ether1-gateway \ use-peer-dns=yes use-peer-ntp=yes /ip ipsec peer add address=77.77.77.226/32 auth-method=pre-shared-key dh-group=modp1024 \ disabled=no dpd-interval=2m dpd-maximum-failures=5 enc-algorithm=3des \ exchange-mode=main generate-policy=yes hash-algorithm=md5 lifebytes=0 \ lifetime=1d my-id-user-fqdn="" nat-traversal=no port=500 proposal-check=\ obey secret=MyPassWord send-initial-contact=yes /ip route add comment="Default routing" disabled=no distance=1 dst-address=0.0.0.0/0 \ gateway=88.88.88.1 scope=30 target-scope=10 add disabled=no distance=1 dst-address=10.192.0.0/22 gateway=ipip1 scope=30 \ target-scope=10 /ip firewall filter add action=accept chain=input comment="default configuration" disabled=no add action=accept chain=output disabled=no /system logging add action=memory disabled=no prefix="" topics=ipsec

यदि कोई मिकरोटिक जीयूआई "विनबॉक्स" के माध्यम से कॉन्फ़िगर करता है, तो एक समान सेटअप:
1. इंटरफेस-आईपी सुरंग । जोड़ें:

2. डिफ़ॉल्ट नियम के IP-IPSec- प्रस्ताव अनुभाग में, SHA1 को MD5 में बदलना MANDATORY है!
3. आईपी- IPSec- साथियों । जोड़ें:

उसके बाद, यदि पहले से ही tsiska कॉन्फ़िगर किया गया है, तो सत्र में वृद्धि होनी चाहिए:

और नीतियां स्वतः उत्पन्न होती हैं:

4. आईपी रूट । जोड़ें:

उसके बाद, आप IP-IPSec, इंस्टाल्ड SAs टैब पर वापस देख सकते हैं, और आपको यह देखना चाहिए कि दोनों दिशाओं में सुरंग के साथ बाइट्स चल रहे हैं:

मुझे आशा है कि यह सामग्री किसी के समय और तंत्रिकाओं को बचाती है।