Windows-клиенты PPP и классовые подсети

[Chupaka]

Подытоживая тему Windows-клиентов PPP и их маршрутов на локальные сети, оставлю это здесь для истории.

- Если раздавать PPTP, L2TP и прочий SSTP - то винда при подключении может добавлять себе маршрут на классовую подсеть. Если remote address (получаемый клиентом) из диапазона 1.0.0.0-126.255.255.255 - добавляется маршрут с маской /8, если 128.1.0.0-191.255.255.255 - то /16, если 192.0.0.0-223.255.254.255 - то /24. Т.е. можно выбрать сеть нужной ширины, побить её на подсети для локальных юзеров и впн - и спокойно пользоваться без ручного прописывания маршрутов.

- Можно раздавать маршруты через IPSec IKEv2 Mode Config, но Винда умеет его только с сертификатами, в pre-shared key она не умеет, поэтому для реализации надо будет генерить ключики на роутере и устанавливать сертификат на клиента.

Ну и всегда остаётся костыль в виде выдачи клиентам VPN адресов из подсети локалки и использования Proxy-ARP на локалку.

[chexov]

172.16.0.0/16
Еще бы статью по созданию site-to-site и client-to-site на классовой маршрутизации в VPN без ручного прописывания маршрутов и выключенного удаленного шлюза на компьютере.

128.1.0.0/16 а разве windows понимает, он все видит сети класса B и может маршрутизировать?

https://mum.mikrotik.com/presentations/ ... smghCoge8E

[Chupaka]

Без выключенного удалённого шлюза на компьютере - увы, никак. По умолчанию всё течёт в VPN на венде.

128.1.0.0/16 а разве windows понимает, он все видит сети класса B и может маршрутизировать?

Перефразируйте, пожалуйста, а то я пока не понимаю вопроса...

[chexov]

Без выключенного удалённого шлюза на компьютере - увы, никак. По умолчанию всё течёт в VPN на венде.

Вроде как правильно с выключенным (снять галочку) "Использовать основной шлюз в удаленной сети" https://www.youtube.com/watch?v=4wW9rPoDi_k

[chexov]

Если вы используете 10.0.0.0.8 или 172.16.0.0/16 то не надо маршруты прокидывать и Использовать основной шлюз в удаленной сети на компьютере.

128.1.0.0/16 а разве windows понимает, он все видит сети класса B и может маршрутизировать?

Перефразируйте, пожалуйста, а то я пока не понимаю вопроса...

[chexov]

Хотеться настраивать VPN чтоб интернет трафик не шел через удаленный шлюз.

[Chupaka]

Вроде как правильно с выключенным (снять галочку) "Использовать основной шлюз в удаленной сети"

Всё верно, я так и сказал.

Если вы используете 10.0.0.0.8 или 172.16.0.0/16 то не надо маршруты прокидывать и Использовать основной шлюз в удаленной сети на компьютере.

Скажем так, вы мыслите стереотипными масками подсетей. При любом адресе может быть подобрана конфигурация, когда не надо "маршруты прокидывать". Например, выбираем 192.168.123.0/24, выделяем для локалки подсетку 192.168.123.0/25 (адреса 192.168.123.2-192.168.123.125, шлюз 192.168.123.1), а для VPN-клиентов - 192.168.123.128/25 (пул 192.168.123.128-192.168.123.255).

Хотеться настраивать VPN чтоб интернет трафик не шел через удаленный шлюз.

Для этого надо снимать галку, как написано выше, и правильно планировать адресное пространство, как написано выше

[Vini]

Добрый день!
Почитав всё это, посмотрев видео и презентацию из него, решил, прежде чем переводить офисы на правильную адресацию, попробовать "на столе" настроить так:

MT1:
/ppp profile
add change-tcp-mss=yes local-address=172.16.10.1 name=L2TP only-one=no use-compression=yes use-encryption=yes
/ppp secret
add local-address=172.16.10.1 name=Ofis2 password=Ofis2 profile=L2TP remote-address=172.16.20.1 service=l2tp
add local-address=172.16.10.1 name=PC password=PC profile=L2TP remote-address=172.16.1.200 service=l2tp


возникло несколько вопросов:
1. Правильно я понимаю, что два Микротика (подписаны красным) являются шлюзами в офисах и соединены по VPN site-to-site?
2. Правильно понимаю, что для РС VPN адрес выдает МТ1?
3. Надо ли при такой адресации прописывать статические маршруты между МТ1 и МТ2?
4. При таких настройках РС получает маску 255.255.255.255, а не как в презентации и видео 255.255.0.0
Или я что-то не так понимаю?
Спасибо!

[Chupaka]

Добрый.

1. Да
2. Да
3. Да.
4. Всё верно, но на нём помимо адреса с 255.255.255.255 должен появляться дополнительный маршрут с 255.255.0.0

[Vini]

Да, отключил использование удаленного шлюза и маршрут появился.
Но нету доступа в 172.16.20.0, а в 172.16.10.0 есть. Или надо маршрут прописывать? На видео говорилось, если я все правильно путаю, что маршруты не нужно прописывать.
Proxy-arp не нужно в данной схеме включать?

[Chupaka]

Вы трассировку сделайте - увидите, где пропадает или не туда идёт.

Вы какой маршрут имеете в виду?

Proxy-arp нужен, когда у VPN-клиентов адреса в локальной подсети, для доступа к этой подсети.

[Vini]

на МТ1 у меня прописано:
/ip route
add distance=1 dst-address=172.16.20.0/24 gateway=172.16.20.1
На МТ2:
/ip route
add distance=1 dst-address=172.16.10.0/24 gateway=172.16.10.1
Трассировка:

Чего не хватает, чтобы с РС получить доступ к 172.16.20.0?

[Chupaka]

Надо МТ2 рассказать, где прячется 172.16.1.0/24

Код: Выделить всё

/ip route
add distance=1 dst-address=172.16.1.0/24 gateway=172.16.10.1

[Vini]

А можно это:
add distance=1 dst-address=172.16.10.0/24 gateway=172.16.10.1
add distance=1 dst-address=172.16.1.0/24 gateway=172.16.10.1
заменить на:
add distance=1 dst-address=172.16.0.0/16 gateway=172.16.10.1
?
На случай если ещё офисы будут
Или уже неправильно будет?

[Chupaka]

Вполне правильно. Всю 172.16.0/16 отправлять на МТ1, если неизвестно более детального маршрута - нормальная практика.

[Vini]

Спасибо Вам, мудрейший!

[chexov]

Кстати в последних прошивках, mikrotik прописываются маршруты (надо отключить в свойствах ip tcp шлюз удаленной сети)
Раньше если отключал шлюз, то пропадал интернет и надо было прописывать маршруты.

[Chupaka]

А можно чуть подробностей? Какие маршруты где прописываются?