HNIZDO: Musis pro vpn mit samostatnou sit. Jinak nebude fungovat routovani.

uf, vzdavam se.
situace: mikrotik s ovpn serverem, klient s ovpn windows10
cil: potrebuju se zvenku pripojit do interni site pres ovpn klient na mikrotik ovpn server, potrebuju, aby veskery traffic pripojujiciho se klienta (vcetne http,...) sel do interni site a eventualne ven, jako by se stal jejim normalnim clenem

soucasny stav: vpn funguje, zvenku se pripojim, pingnu mikrotik zkrz vpn, mikrotik funguje tez jako interni dns, rozsah dhcp 192.168.1.100-.200, pro vpn .50-.59

(Postupoval jsem dle
https://delphinus.qns.net/xwiki/bin/view/Blog/Mikrotik+OpenVPN+in+90+seconds)

Ahoj,
můžete prosím poradit. Mám několik veřejných adres na eth1 a přes dstnat a srcnat si to směruju dovnitř (rdp, ftp, ssh,..) a ven (server se musí propagovat pod danou IP.

Teď ale vzniká ten problém, ¨mám zde za jednou IP i vnitřní síť, ale z té nelze přistupovat přes ty pravidla na ty další veřejné adresy. Nemáte s tím někdo zkušenost?

dík

mate nekdo rozchozenej SCEP oproti necemu jinymu nez mikrotiku? Tedy mikrotik jako klient?

Takze odpoved ohledne rozpadu PPTP ve VF je takova, ze drtiva vetsina zarizeni to nedela.
Tedy je problem zrejme v koncovych zarizenich, pricemz velikost MTU na to nema vliv.
Tim padem to tedy operator nedokaze nijak resit.

MARECEK: jak rikam. bylo to testovani takze ty interfacy jsem propojil kabelem a dal jsem jim kour. ted je mam na netu a dostavam 40mbps coz je propustnost linky, tudiz nemuzu soudit zda se hw zadychava nebo uz to dal proste nejde. kdyz se podivam do profilu tak vidim ze sifrovani zabira cca 30% prostredku.

LEXXA: 26/21 na aes-128-cbc

LEXXA: to je slusny. zkusim....

MARECEK: ja mam aes-cbc-128 a pri testovani jsem se dostal na 60mbit.

LEXXA: jo ale jakou mas propustnost? konkretne PPTP co mam, pouzivam na tunelovani IPTV a streamovani filmu z nasky tak ze hraju na vykon a bezpecnost je v tomhle pripade druhorada.
Jasne ze OVPN je reseni ale tech 10 (nebo 20mbit kdyz dam 128bit AES) co z toho vytahnu neni proste zadna slava a konkretne na moje pouzti je to nedostatecny.

jen takova kacirska otazka.
chapu ze OpenVPN je drahe ale zkousel si nekdo hrat s sifrovanim? Ja mam 750G hex a EoIP sifrovany IPSEC v pohode zvlada usifrovat, sice s nizsim zabezpecenim nez bych byl rad ale porad lepsi nez PPTP.

DANYSEK: Hele me to nevysvetluj, na me neni to vyresit. Prodlouzeni timeoutu to nejspis nevyresi, protoze to zjevne pada z nejakeho jineho duvodu, jen by to padalo pozdeji.
Ano, prvotni odpoved byla takova, ze PPTP neni podporovane, protoze neni bezpecne, tedy ochota to resit nebyla. Ale domluvil jsem se, ze se na to presto podivame, zaver je takovy jaky jsem napsal.
To je maximum co muzu udelat... ja se tam staram o uplne jiny veci.
Bude se to resit s dodavatem reseni.

JOINTER: Ty miliony lidi hadam pptp nepouzivaj... a selektivne prodlouzit timeout k jedny aplikaci jde. Kazdopadne tohle dakt uz neni chyba vendora, kdyz se nekdo s podobnym oduvodnenim rekne, ze to resit nechce - holt je to kazdyho jeho volba...

DANYSEK: To si mozna muzes udelat doma, ale ne pro sit s par milionem lidi.
Kdyz to zvednem na hodinu, tak to stejne problem nevyresi. Ten je nekde v tom, ze by to nemelo to spojeni zabit, kdyz je aktivni, ale stane se to.
Kazdopadne vyresit to musi kolega, ktery se o to stara, ne ja.

JOINTER: Polad si timeouty na ALG a mas vyreseno. Zrovna k PPTP je na tohle tema tuna hintu na internetu...

JOINTER: jestli to fixnou mas u me pivsona.

MARECEK:
jo napadlo me to pozdeji jak jsi to myslel. ja si vetsinou se sikovne nastrcenou routovaci tabulkou vystacim ale dva srcnaty jsou pro me tezko pozratelne. budu to dal nasilnit. na to prijdu.

RAINBOF: tak kdyz mas vic WANu, pro kazdou udelas maskaradu aby slo komunikovat ven (je jedno jestli normalni van k ISP nebo to PPTP spojeni) tak je potreba mu rict kam ma ktery spojeni jit - takhle on to myslim bere proste podle poradi jak to najde v routovaci tabulce.
Kdyz to omarkujes tak jasne rikas kterou routu ma to ktery spojeni pouzit a kterej traffic proste do ty vpn chces hnat.
Mozna ja chapu spatne co chces udelat ale pokud mas proste vic spojeni ven, tak je tohle nejcistci zpusob jak toho docilit

MARECEK:

vim jakej rozsah nastesti. snazil jsem se o pravidlo typu

10 10.10.10.0 masquerade 10.4....
20 0.0.0.0 masquerade 89.233....

kde teda v MK se ten prvni sloupecek vyplnuje jako interface kde je "venku" a ip si dosadi

ale zdá se že to celý chápu poněkud blbě. nebo mi něco uniká. proc bych to mel markovat ?