MikroTik: EoIP туннель между статическим и динамическим IP адресами

Настройка EoIP на MikroTik требует статических IP адресов с одной и другой стороны туннеля. Часто бывает, что статический адрес только с одной стороны. Выход — использовать двойное туннелирование. В данном примере будем использовать PPTP, хотя можно использовать L2TP или SSTP.

Имеем схему:

Имеется VPN Сервер, который находится за маршрутизатором с NAT, на котором настроен проброс 1723 TCP порта. Далее этот маршрутизатор подключен к провайдеру, раздающему динамические IP адреса VPN клиенту. Требуется чтобы TestPC1 соединился с TestPC2.

Поехали.

Первоначальные настройки

Настройка VPN Сервера

/system identity
set name=Server

/interface bridge
add name=BR_LAN protocol-mode=none
add name=BR_WAN protocol-mode=none

/interface bridge port
add bridge=BR_WAN interface=ether1
add bridge=BR_LAN interface=ether2

/ip address
add address=10.0.0.10/24 interface=BR_WAN

/ip route
add gateway=10.0.0.1

# Создадим «песочницу» куда будет терминироваться PPTP туннель.
/interface bridge
add name=BR_PPTP_SANDBOX protocol-mode=none

# Поместим «песочницу» в отдельный VRF
/ip route vrf
add interfaces=BR_PPTP_SANDBOX routing-mark=VRF_SANDBOX_FOR_PPTP

# В фаерволле разрешаем только IPSec и GRE для PPTP подключений
/ip firewall filter
add action=accept chain=input in-interface=all-ppp protocol=ipsec-esp
add action=accept chain=input dst-port=500 in-interface=all-ppp protocol=udp
add action=accept chain=input dst-port=4500 in-interface=all-ppp protocol=udp
add action=accept chain=input in-interface=all-ppp protocol=gre
add action=drop chain=input in-interface=all-ppp
add action=drop chain=forward in-interface=all-ppp

Настройка VPN Клиента

/system identity
set name=Client

/interface bridge
add name=BR_LAN protocol-mode=none
add name=BR_WAN protocol-mode=none

/interface bridge port
add bridge=BR_WAN interface=ether1
add bridge=BR_LAN interface=ether2

# Аренда IP адреса от провайдера
/ip dhcp-client
add interface=BR_WAN dhcp-options=hostname,clientid disabled=no

Настроим PPTP туннель

Со стороны VPN Сервера

# Профили для сервера и клиентского подключения
/ppp profile
add name=PROF_PPP_PPTP_SERVER change-tcp-mss=no
add name=PROF_PPP_PPTP_REMOTE_CLIENT bridge=BR_PPTP_SANDBOX change-tcp-mss=no \
local-address=172.16.0.1 remote-address=172.16.0.2 use-encryption=required

# Пароль для VPN Клиента
/ppp secret
add name=Rem0te_Cl1ent password="P@\$\$w0rD" \
profile=PROF_PPP_PPTP_REMOTE_CLIENT service=pptp

# Включаем PPTP сервис
/interface pptp-server server
set authentication=mschap2 default-profile=PROF_PPP_PPTP_SERVER enabled=yes

Со стороны VPN Клиента

# Принудительно включаем в профиле какое-никакое шифрование MPPE128.
/ppp profile
add change-tcp-mss=no name=PROF_PPP_PPTP use-encryption=required

# Создаем PPTP подключение
/interface pptp-client
add name=PPTP_CLIENT allow=mschap2 connect-to=2.2.2.2 disabled=no \
password="P@\$\$w0rD" profile=PROF_PPP_PPTP user=Rem0te_Cl1ent

[admin@Server] /log> print
...
09:28:13 pptp,info TCP connection established from 1.1.1.200 
09:28:13 pptp,ppp,info,account Rem0te_Cl1ent logged in, 172.16.0.2 
09:28:13 pptp,ppp,info : authenticated 
09:28:13 pptp,ppp,info : connected 
09:28:13 pptp,ppp,info : using encoding - MPPE128 stateless 
…

[admin@Server] > /ppp active print 
Flags: R - radius 
 #   NAME         SERVICE CALLER-ID         ADDRESS         UPTIME   ENCODING  
 0   Rem0te_Cl... pptp    1.1.1.200         172.16.0.2      12m45s   MPPE128…

Настроим EoIP туннель

Со стороны VPN Сервера

# Мелкий тюнинг
/ip ipsec proposal
set [ find default=yes ] auth-algorithms=sha512 enc-algorithms=aes-256-cbc

# Создаем EoIP туннель
# В качестве local-address и  remote-address указываем адреса PPTP туннеля
/interface eoip
add allow-fast-path=no ipsec-secret="1P\$ec_KeY" \
local-address=172.16.0.1 mac-address=02:C8:47:D3:39:EF \
name=EoIP_TUNNEL remote-address=172.16.0.2 tunnel-id=0

# Добавляем EoIP туннель в бридж BR_LAN
/interface bridge port
add bridge=BR_LAN interface=EoIP_TUNNEL

Со стороны VPN Клиента зеркальные настройки

/ip ipsec proposal
set [ find default=yes ] auth-algorithms=sha512 enc-algorithms=aes-256-cbc

/interface eoip
add name=EoIP_TUNNEL allow-fast-path=no ipsec-secret="1P\$ec_KeY" \
local-address=172.16.0.2 remote-address=172.16.0.1 tunnel-id=0

/interface bridge port
add bridge=BR_LAN interface=EoIP_TUNNEL

[admin@Server] > /log print
...
09:28:14 ipsec,info initiate new phase 1 (Identity Protection): 172.16.0.1[500]<=>172.16.0.2[500] 
09:28:14 ipsec,info respond new phase 1 (Identity Protection): 172.16.0.1[500]<=>172.16.0.2[500] 
09:28:14 ipsec,info ISAKMP-SA established 172.16.0.1[500]-172.16.0.2[500] spi:27fc72bf 
09:28:23 interface,info EoIP_TUNNEL link up 
…

Боремся с фрагментацией в EoIP туннеле

На VPN Сервере и на VPN Клиенте настройки идентичные.

/interface bridge settings
set use-ip-firewall=yes

/ip firewall mangle
add action=change-mss chain=forward in-interface=BR_LAN new-mss=1360 \
passthrough=yes protocol=tcp tcp-flags=syn tcp-mss=1361-65535

PS

В реальной схеме VPN Клиент выполнял еще роль шлюза в интернет. Так вот на ПК, выходящих через него в сеть, половина сайтов открывалась, другая — нет. С туннелем проблем не наблюдалась. Симптомы как с фрагментацией трафика. В итоге решением проблемы было — прописать на интерфейсе EoIP MTU равным 1500.