मिकरोटिक + आईपीएससी + सिस्को। भाग 2. "ग्रे" आईपी पर सुरंग

पद पर बने रहे ।
आखिरी बार मैंने कनेक्शन को देखा, जब टिस्का और माइक्रो की तरफ से वास्तविक आईपी थे।
यहां मैं एक "ग्रे रियलिटी" का उदाहरण देखूंगा, जो कि एक ग्रे आईपी है, जिसे प्रदाता बिना शर्त पुनर्निर्देशन (बिनैट) के रूप में बाहरी रूप में प्रदर्शित करता है।

तकनीकी कार्य: कार्यालय के बीच एक ipip सुरंग को व्यवस्थित करने के लिए, ipsec एन्क्रिप्शन के साथ, मिकरोटिक RB450G और सिस्को 2821 का उपयोग कर।

बारीकियों

बाहरी आईपी tsisk पर है, और मिकरोटिक पर ग्रे है, जो प्रदाता द्वारा बाहरी के रूप में मास्क किया जाता है, बिना शर्त पुनर्निर्देशन के साथ (इंटरनेट से इस बाहरी प्रदाता को कॉल इंटरफ़ेस, ग्रे "आईपी" पर पुनर्निर्देशित किया जाता है)।
ड्राइविंग:

स्रोत डेटा

• सिस्को 2821 (OS v12.4)
• 2. मिकरोटिक आरबी 450 जी
• 3. दोनों उपकरणों पर वास्तविक बाहरी आईपी
• 4. त्सिस्का पता: 77.77.77.226। Tsiska की ओर से सबनेट: 10.192.0.0/22
• 5. मिकरोटिक पता: 99.99.99.2। मिकरोटिक सबनेट: 192.168.100.0/24
• 6. बाहरी इंटरफ़ेस पर ग्रे मिकरोटिक पता: 172.16.99.2।

प्रागितिहास

जब मैंने एक नई शाखा कनेक्ट की, तो मैंने पाया कि प्रदाता (केवल स्थानीय एक) ने मुझे बाहरी आईपी के बजाय "ग्रे" दिया।
मेरे वैध आक्रोश के लिए कि हमें अनुबंध के तहत एक बाहरी पता दिया जाना चाहिए, प्रदाता ने जवाब दिया कि बाहरी व्यक्ति हमारे लिए नेट द्वारा बनाया गया था, और इंटरनेट से इस बाहरी व्यक्ति को सभी कॉल हमारे "ग्रे" आईपी पर रीडायरेक्ट किए जाएंगे, और वे कुछ और नहीं करेंगे कर सकते हैं।
इससे हमारी बातचीत समाप्त हो गई, और मैंने एक सुरंग स्थापित करना शुरू किया। सुरंग शुरू नहीं हुई :)
स्थिति अस्पष्ट है। एक तरफ, यह एक उपस्थिति की तरह है जो वास्तव में "ग्रे" दिखता है, लेकिन यह NAT-T का उपयोग करने के लिए कोई मतलब नहीं है
लगभग एक घंटे तक मैं मिक्रोटिक को तस्सिका के साथ प्रताड़ित कर रहा था, और परिणामस्वरूप मुझे एक अजीब लेकिन काम करने योग्य डिज़ाइन मिला (वैसे मैंने इसे फ्रीबस के तहत रचून पर दोहराने की कोशिश की - यह ऊपर नहीं उड़ पाया)।

नतीजा क्या हुआ

एक टिस्का पर सुरंग बनाई गई जिसमें ग्रे आईपी माइक्रोटिका को गंतव्य में इंगित किया गया।

सभी सेटिंग्स (कंसोल और समान ग्राफिक) नीचे दिए गए हैं।

सिस्को:

!   -  5   3des    (pre-share) crypto isakmp policy 20 encr 3des hash md5 authentication pre-share ! group2 ,      dh-group=modp1024 group 2 !   crypto isakmp key MyPassWord address 99.99.99.2 no-xauth crypto isakmp keepalive 30 ! . !  transport,   tunnel  crypto ipsec transform-set transform-2 esp-3des esp-md5-hmac mode transport crypto dynamic-map dynmap 10 set transform-set transform-2 reverse-route crypto map vpnmap client configuration address respond crypto map vpnmap 5 ipsec-isakmp dynamic dynmap crypto map vpnmap 10 ipsec-isakmp !   crypto map vpnmap 95 ipsec-isakmp description polyanka ! ip  set peer 99.99.99.2 set security-association lifetime seconds 86400 set transform-set transform-2 ! pfs group2 ,      dh-group=modp1024 set pfs group2 ! access-,   match address 136 !   interface Tunnel95 description tunnel_NewMikrotik ip unnumbered GigabitEthernet0/1 !   tunnel source 77.77.77.226 !  . !  -  .    -   ... !  ,      . tunnel destination 172.16.99.2 tunnel mode ipip interface GigabitEthernet0/1 description Internet ip address 77.77.77.226 255.255.255.224 no ip redirects no ip unreachables no ip proxy-arp ip wccp web-cache redirect out ip virtual-reassembly ip route-cache policy no ip mroute-cache duplex auto speed auto no mop enabled !     crypto map vpnmap !  ,    ip route 192.168.100.0 255.255.255.0 Tunnel95 !     access-list 136 permit ip host 77.77.77.226 host 99.99.99.2 access-list 136 permit ip host 77.77.77.226 host 172.16.99.2 

Mikrotik:

 /interface ipip add comment="Office tunnel" disabled=no dscp=0 local-address=172.16.99.2 \ mtu=1260 name=Cisco-VPN remote-address=77.77.77.226 /ip ipsec proposal set [ find default=yes ] auth-algorithms=md5 disabled=no enc-algorithms=3des \ lifetime=30m name=default pfs-group=modp1024 /ip ipsec peer add address=77.77.77.226/32 auth-method=pre-shared-key dh-group=modp1024 \ disabled=no dpd-interval=2m dpd-maximum-failures=5 enc-algorithm=3des \ exchange-mode=main generate-policy=yes hash-algorithm=md5 lifebytes=0 \ lifetime=1d my-id-user-fqdn="" nat-traversal=no port=500 proposal-check=\ obey secret=MyPassWord send-initial-contact=yes /ip route add disabled=no distance=1 dst-address=10.192.0.0/22 gateway=Cisco-VPN scope=30 \ target-scope=10 /ip firewall filter add action=accept chain=input comment="default configuration" disabled=no add action=accept chain=output disabled=no 

WinBox की आँखों के माध्यम से एक ही विन्यास:
1. इंटरफेस-आईपी सुरंग । जोड़ें:

2. डिफ़ॉल्ट नियम के IP-IPSec- प्रस्ताव अनुभाग में, SHA1 को MD5 में बदलना MANDATORY है, क्योंकि इस उदाहरण में MD5 का उपयोग किया जाता है।

3. आईपी- IPSec- साथियों । जोड़ें:

4. आईपी ​​रूट । जोड़ें:


आशा है कि सामग्री सहायक थी।