Маршрутизация через VPN с самого микротика

RIP, OSFP, BGP, MPLS/VPLS
Domian_Kortes
Сообщения: 6
Зарегистрирован: 05 апр 2020, 09:08

Маршрутизация через VPN с самого микротика

Сообщение Domian_Kortes »

Нужна помощь
Реализовал маршрутизацию через VPN для избранных адресов по вот этой схеме https://habr.com/ru/post/467471/
Все нормально работает из локальной подсети. Однако если с самого микротика сделать traceroute, то видно что маршрут идет мимо VPN. Соответственно микротик получает DNS мимо VPN и провайдер подменяет адреса.
Где искать проблему/ошибку - в Mangle или в маршрутах?

Аватара пользователя
Chupaka
Сообщения: 2651
Зарегистрирован: 29 фев 2016, 15:26
Откуда: Минск

Re: Маршрутизация через VPN с самого микротика

Сообщение Chupaka »

В Mangle, конечно же. Трафик от самого маршрутизатора надо маркировать не в prerouting, а в output. Т.е. продублируйте ваши правила.

Domian_Kortes
Сообщения: 6
Зарегистрирован: 05 апр 2020, 09:08

Re: Маршрутизация через VPN с самого микротика

Сообщение Domian_Kortes »

Спасибо, помогло. Заработало только когда я указал в Mangle ip адрес WAN интерфейса. Что нужно указывать, чтобы корректно работало на динамическом адресе?

Одна это не решила проблему:
Поднятое впн используется для обхода блокировок провайдера.
Имеем собственный (на VPS) OVPN сервер в Амстердаме с 256 битным шифрованием и поднятым соединением с микротика
1. tracert c роутера на все указанные в списке адреса днс идет через vpn (указаны адреса гугла)
2, tracert c локальной сети на все указанные адреса днс идет через vpn
3. tracert c локальной сети на rutracker идет через vpn
4. Все запросы ДНС микротик перенаправляет на себя (я надеюсь).
4. nslookup с компа на rutracker (на все известные адреса) показывает корректный адрес.
5. Сбрасываем все кэши ДНС, кэши браузеров и перезагружаем ВСЕ.
6. Вбиваем rutracker.org в браузере и переходим на страницу блокировки провайдера!!! Смена браузера, очистка кэша и даже использование браузера на телефоне эффекта не дает. Если повторять набор адреса несколько раз подряд, то на 4-5 раз корректно открывается, потом в ходе перехода по ссылкам рутрекера иногда нормально работает, иногда перескакивает на страницу провайдера, повторный переход по ссылке обычно корректный.

ЧТО НЕ ТАК? Провайдер фильтрует трафик внутри VPN? До этого полтора года работало все корректно, в марте начались проблемы с открытием заблокированных сайтов.

Аватара пользователя
Chupaka
Сообщения: 2651
Зарегистрирован: 29 фев 2016, 15:26
Откуда: Минск

Re: Маршрутизация через VPN с самого микротика

Сообщение Chupaka »

Domian_Kortes писал(а):
08 апр 2020, 08:50
Спасибо, помогло. Заработало только когда я указал в Mangle ip адрес WAN интерфейса. Что нужно указывать, чтобы корректно работало на динамическом адресе?
Там много полей. Вы в каком поле указали этот адрес? :)
Если речь про src-address - его вообще не нужно указывать.
Domian_Kortes писал(а):
08 апр 2020, 08:50
6. Вбиваем rutracker.org в браузере и переходим на страницу блокировки провайдера!!! Смена браузера, очистка кэша и даже использование браузера на телефоне эффекта не дает. Если повторять набор адреса несколько раз подряд, то на 4-5 раз корректно открывается, потом в ходе перехода по ссылкам рутрекера иногда нормально работает, иногда перескакивает на страницу провайдера, повторный переход по ссылке обычно корректный.

ЧТО НЕ ТАК? Провайдер фильтрует трафик внутри VPN? До этого полтора года работало все корректно, в марте начались проблемы с открытием заблокированных сайтов.
Какой DNS устройства получают по DHCP? Если это адрес роутера - смотрите /ip dns print и /ip dns cache print, для начала: правильный ли IP-адрес рутрекера у роутера в кэше и нет ли лишних DNS у самого роутера.

Domian_Kortes
Сообщения: 6
Зарегистрирован: 05 апр 2020, 09:08

Re: Маршрутизация через VPN с самого микротика

Сообщение Domian_Kortes »

Chupaka писал(а):
08 апр 2020, 13:52
Там много полей. Вы в каком поле указали этот адрес? :)
Если речь про src-address - его вообще не нужно указывать.
Убрал src-adreess. Вроде все нормально.
Chupaka писал(а):
08 апр 2020, 13:52
Какой DNS устройства получают по DHCP? Если это адрес роутера - смотрите /ip dns print и /ip dns cache print, для начала: правильный ли IP-адрес рутрекера у роутера в кэше и нет ли лишних DNS у самого роутера.
Клиенты получают адрес роутера. В списке роутера и в кэше нет ничего лишнего, по всем указанным адресами маршрут tracert идет через VPN.

Аватара пользователя
Chupaka
Сообщения: 2651
Зарегистрирован: 29 фев 2016, 15:26
Откуда: Минск

Re: Маршрутизация через VPN с самого микротика

Сообщение Chupaka »

В кэше правильный IP-адрес? А браузер подключается к какому IP (в Chrome можно посмотреть в Developer Console на вкладке Network, например)?

Domian_Kortes
Сообщения: 6
Зарегистрирован: 05 апр 2020, 09:08

Re: Маршрутизация через VPN с самого микротика

Сообщение Domian_Kortes »

Посмотрел WireShark'ом все запросы DNS. Все ответы корректны.
Последний раз редактировалось Domian_Kortes 08 апр 2020, 21:05, всего редактировалось 1 раз.

Domian_Kortes
Сообщения: 6
Зарегистрирован: 05 апр 2020, 09:08

Re: Маршрутизация через VPN с самого микротика

Сообщение Domian_Kortes »

В консоле разработчика браузера вот это:
URL запроса:http://rutracker.org/
Метод запроса:GET
Удалённый адрес:195.82.146.214:80
Код состояния: 302 Moved Temporarily
Location: http://block.svsreut.ru
Т.е. ip адрес верный, но в ответ приходит редирект на заглушку провайдера. Но как, если все маршруты уходят в VPN? Tracert показывает коректно. Но трафик явно идет не так.
Если на VPN поставить default route, то сайт открывается нормально.

Аватара пользователя
Chupaka
Сообщения: 2651
Зарегистрирован: 29 фев 2016, 15:26
Откуда: Минск

Re: Маршрутизация через VPN с самого микротика

Сообщение Chupaka »

Хм... А FastTrack у вас выключен? Нет правил в файрволе с action=fasttrack?

Domian_Kortes
Сообщения: 6
Зарегистрирован: 05 апр 2020, 09:08

Re: Маршрутизация через VPN с самого микротика

Сообщение Domian_Kortes »

Chupaka писал(а):
09 апр 2020, 00:45
Хм... А FastTrack у вас выключен? Нет правил в файрволе с action=fasttrack?
Бинго! Все заработало как надо!