Настройка VPN сервиса для обхода блокировок

[Chupaka]

Можно попробовать именно в таком порядке Настройки, как понимаю, в последнем файле, а его со скриншота даже посмотреть невозможно.

[r136a8]

Скопировал и установил серификаты в такой последовательности - ca.crt - client.crt - client.key
http://www.fotolink.su/v.php?id=e011c0a ... e3a2699789
Но соеденение не происходит пишет статус - terminating... remote pear uses tun encapsulation while we -tap / link established
http://www.fotolink.su/v.php?id=6672a93 ... 5ae8863c66
Я ллпробовал выбирать профиль как ca.crt так и client.crt и ничего.

Содержимое файла - openvpn.ovpn

Код: Выделить всё

client
remote 4-us.cg-dialup.net 443
dev tun 
proto tcp
auth-user-pass


resolv-retry infinite 
redirect-gateway def1
persist-key
persist-tun
nobind
cipher AES-256-CBC
auth SHA256
ping 15
ping-exit 90
ping-timer-rem
script-security 2
remote-cert-tls server
route-delay 5
verb 4
comp-lzo


ca ca.crt
|
cert client.crt
|
key client.key

[Chupaka]

tun - это mode=ip
tap - это mode=ethernet

Меняйте

[r136a8]

Вы имели ввиду изменить вот так. Изменил, статус - link established / unkokwn auth alg
http://www.fotolink.su/v.php?id=b3c6870 ... 351b8518b3

[Chupaka]

Ну, значит, кина не будет - RouterOS не поддерживает аутентификацию по sha256, только sha1 или md5

[Chupakabra303]

Если comp-lzo обязателен, то mikrotik подключаться не будет. В свое время потратил прилично времени, прежде чем отловил, что из-за этого ключа не работало.

[MAKC7891]

Здравствуйте. Настраивал vpn (pptp клиент) аналогичным образом (vpn клиент, маскарад на интерфейс впн клиент, маркировка (src адрес ПК из локалки, без dst адресов), маршрут с маркировкой). При активном маршруте через шлюз впн с маркировкой, пропадает пинг с самого Микротика (8.8.8.8 ya.ru), т.е. нет выхода в интернет. При этом пакеты в счётчиках маскарада, мангал и самого впн клиента отсчитываются. На ПК для ip которого указан в мангл тоже нет выхода в интернет. Настройку пробовал на дефолтной конфигурации. В качестве впн сервера пробовал как Микротик с поднятым на нем впн сервером, так и сервер vpnbook. В чём может быть причина такой проблемы. P.S. Микротик стоит после маршрутизатора провайдера на котором активна DMZ на адрес Микротика.

[Chupaka]

Да многое может быть. Например, правила IP Firewall Filter могут запрещать пакеты в интерфейс VPN. Не видя конфиг, сложно сказать.

[Sir_Prikol]

У меня сделано следующим образом (вкратце, если очень интересно будет, выложу все исходники и правила)
Прим1: Все сделано на чистом опенсорсе, без затрат на сторонние VDS.
Прим2: Все работает внутри домашней сети
Прим3: Падения скорости не заметил

Итак, когда в очередной раз мне понадобилось обновить из репозитория определенную софтину, то я столкнулся с тем, что IP репозитория заблокирован на территории РФ. (IP принадежит амазону, а их у нас хлопнули аз 3млн. адресов)
Меня это порядком оскорбило и я решил сделать доступ для всех заблокированных адресов и вообще, получить чистый интернет. При этом чтоб лазать только на заблокированные ресурсы, ибо на всё остальное мне хватало и читого канала.
Перелопатив толпу мануалов и не найдя ничего внятного, решил собрать сам.
Внутри моей сети стоит тестовый стенд vmware (суть дела роли не играет, можно любую виртуализацию, можно любой простой комп на первом пентиуме с 256 RAM и 20Gb HDD, главное, чтоб избавится от тормозов, две сетевые карты)
На компе был развёрнут debian (питаю слабость к этой операционке), на debiane был поднят сервер Tor (не путать с нодой Tor^ за которую и посаить могут), там-же на дебиане я поднял Open VPN сервер (хотя можно хоть ipsec поднимать, тут главное чем меньше шифрования, тем лучше, сейчас вообще подумываю переделать систему на без шифрования, но из-за количества правил маршрутизации, манглов и нат, легче было поднять отдельный интерфейс на микротике, чтоб не запутаться в маршрутах)
Так вот, после того, как был поднят OVPN и с него завёрнут трафф в тор, получилось следующая связка:



Всё крутится в одном сегменте сети, на выходе имею чистый интернет без тормозов и блокировок.

[r136a8]

Надо просто создать l2tp-клиент, pptp-клиент или ovpn-клиент, соответственно. Там заполнить, куда подключаться и с каким паролем. Убрать галку Add default route. После этого должно нормально подключиться (интерфейс в состоянии established/connected).

Создать правило NAT для трафика, идущего в этот интерфейс (/ip firew nat add chain=srcnat out-interface=l2tp-out1 action=masq).

Затем создать маршрут по умолчанию в новой таблице маршрутизации (например, /ip route add routing-mark=VPN gateway=l2tp-out1).

После этого в mangle отмаркировать (action=mark-routing new-routing-mark=VPN) трафик, который хотите загнать в vpn. Всё

Имею два провадера интернета (ether10-WAN-E и ether9-WAN-V) и две сети
https://prnt.sc/k1kxy3
Все работает хорошо, у каждой сети свой интернет провайтер, в случае пропадания интернета на одном из провадеров интернет не переключется от другого.

Настраивал VPN к провадеру ether10-WAN-E и только понял что я сделал что-то не так, как как при пропадании интернета VPN все таки переключается на дугого провайдера + VPN берет интернет не от нужного провайдера это ether10-WAN-E а берет от этого ether9-WAN-V

Тест скорости на ПК с VPN (как видно интернет он берет с ether9-WAN-V) а нужно с ether10-WAN-E
https://prnt.sc/k1k8cj

Еще раз мои настройки

-Создал pptp-клиент (ввел логин, пароль) соединился, статус connected. Убрал галку "Add default route"
-Создать правило NAT для трафика, идущего в этот интерфейс (/ip firew nat add chain=srcnat out-interface=l2tp-out1 action=masq).
-Создал маршрут в таблице маршрутизации
-В mangle создал правило

?-Создал правило в IP - Routers (в случае пропадания интернета в VPN он будет пропадать а не восстанавливаться с параллельной сети) Но не -работает

Я так и не понял, а как указать с какого провайдера VPN будет брать интернет.

Скрин настроек
https://prnt.sc/k1klht

[Chupaka]

Я так и не понял, а как указать с какого провайдера VPN будет брать интернет.

В таблице main будет искаться подходящий маршрут к адресу pptp-сервера - через этот маршрут и пойдёт исходящее подключение.

[r136a8]

Извините не понял, можете более конкретизировать что и куда.
Спасибо

[Chupaka]

Код: Выделить всё

/ip route add dst-address=адрес_сервера_vpn gateway=.219.1

[Chupaka]

Если у сервера много адресов - можно так:

Код: Выделить всё

/ip firewall address-list add list=vpn-server-addresses address=eu-1.vpn.server.com
/ip firewall mangle add chain=output dst-address-list=vpn-server-addresses action=mark-routing new-routing-mark=WAN-E

[r136a8]

Все работает спасибо интернет уже с нужного провайдера, но появилась проблема со скоростью (очень часто прыгает высокая-низкая) и стабильностью работы интернет иногда совсем пропадает. Я так полагаю причина в количестве адресов у сервера. https://prnt.sc/k42a8d

[Chupaka]

Пропадает почему? Базовая диагностика (пинг, трассировка) хотя бы нужна, телепатов нет. Число адресов у сервера ни на что не влияет, любое обращение роутера к любому из адресов в списке пойдёт через WAN-E

[r136a8]

Сделал трассировку. Интернет через WAN-E, страницы вовсе не грузятся.
https://prnt.sc/k4amub

Без этих настроек, когда интернет через WAN-V скорость отличная, обрывов связи нет

Если у сервера много адресов - можно так:

Код: Выделить всё

/ip firewall address-list add list=vpn-server-addresses address=eu-1.vpn.server.com
/ip firewall mangle add chain=output dst-address-list=vpn-server-addresses action=mark-routing new-routing-mark=WAN-E

https://prnt.sc/k4au5m

[Chupaka]

Сделал трассировку. Интернет через WAN-E, страницы вовсе не грузятся.
https://prnt.sc/k4amub

Ну, тут вроде доступа не было, потом появился - должно было заработать. Возможно, кэш DNS не позволяет клиентам мгновенно войти в работу.

Без этих настроек, когда интернет через WAN-V скорость отличная, обрывов связи нет

Другой канал - другое качество. Вроде ничего неожиданного

[r136a8]

По пропускаемости оба канала одинаковые.
Если работает через провайдера WAN-E то работает не стабльно после перезагрузки устройства интернет работает на хорошей скорости около 5 минут и потом начинаютя тормоза, высокой скорости я так и не дождался.

[Chupaka]

Что с использованием ресурсов роутера? ЦПУ, память...

[r136a8]

Как по мне все хорошо
https://prnt.sc/k4ep33
Включил, перезагрузил. Интернета нет. Подождал минут 30-40 тоже самое.
Включил выключил pptp-out в меню интерфейс для переподключения (иногда помогает) но ничего не меняется страницы не грузятся.

Возможно попробовать выписать каждый хост и по отдельности попробовать по этой настройке

Код: Выделить всё

/ip route add dst-address=адрес_сервера_vpn gateway=.219.1

[Chupaka]

Судя по трассировке, доступ есть. Может, с DNS загвоздка? Какие ошибки в браузере?

[r136a8]

Скрин Chrome и Firefox а также ping google.com и speedtest.net через терминал
https://prnt.sc/k4f7sb
https://prnt.sc/k4f82e
https://prnt.sc/k4f861
https://prnt.sc/k4f8bu
https://prnt.sc/k4f8g2

[Chupaka]

Ну, тут пару раз уже встречалось, что по итогу причиной оказывался провайдер VPN - в данном случае не может такого быть?

[r136a8]

Вы имеете ввиду что этот провайдет не воспринимает VPN? Сам VPN работает хорошо/ не плохо.