Настройка VPN сервера L2TP/IPsec на Mikrotik для удаленного доступа сотрудников

Правила для Firewall:
/ip firewall filter
add action=accept chain=input comment="For VPN" dst-port=500,1701,4500 \
in-interface=ether1 protocol=udp

[@mazur_vg]

Это лучше объяснение! Нет ни воды, ни каких-то ненужных отступлений! Великолепное видео! Спасибо!!!

[@hansurmann]

Все четко и с хорошим примером! Даже моего мозга размером с грецкий орех хватило, чтобы настроить доступ к домашней сети. Браво!

[@etodex]

Молодцом, отличный видос! :)

[@srh_btk]

Скажите, а если я например хочу разделить на VLAN, чтобы пул адресов для VPN клиентов был в отдельном VLAN или в этом нет необходимости? И если например сервера к которым нужно получить доступ находятся в другом VLAN например 20, то этот VLAN надо помещать в bridge? Мне, кстати, на Windows 10 пришлось руками прописывать маршрут в подсеть 192.168.21.0/24

[@Vislayer.]

Спасибо большое за гайд ! ТОП! Помог, от души.

[@MrMraspid]

Весь день бодался с L2TP/IPsec, ничего не получалось, сделал по вашей инструкции и сразу всё взлетело. Браво. Спасибо.

[@dailyvideo1593]

Боже, автор просто одуванчик. Так просто, и как было написано ниже, никакой воды. Просто о сложном - признак гениальности)

[@l4hsport]

При создании такого впн подключения в настройках сети стоит галка "Использовать шлюз удаленной сети" или как-то так, которая с одной стороны нужна, а с другой стороны сразу пытается весь трафик интернета направить через впн сервер. А следовательно интернет у вас может отвалиться, если удаленный маршрутизатор не маскарадит трафик из сети впн. Но при отключении этой галки маршрут до сети за маршрутизатором надо будет прописывать вручную на клиентской машине или мб может как-то можно через dhcp закинуть(не пробовал)

[@DyingRus63]

Если использовать в качестве удаленного шлюза, то какую скорость он выдаст максимум?

[@Hanigun]

Добрый день. Не знаете почему не работает 2tp/ipsec на роутере keenetic omni2? Служба установлена, настроена, но показывает ошибку соединения, а иногда вообще пишет что сервер не найден. Уточню что не работает только этот впн, настроенный на RouterOS. Другие l2tp\ipsec работают исправно!

[@user-uu8ep2xw5j]

видео по настройке openvpn не планируется?

[@Mimokrorodil]

Чётко, доходчиво. Спасибо!

[@dffdfd7829]

Подскажите, всё сделал как написанно. Захожу с удалённого компьютера, микротик пингуется, остальные устройства в сети - нет. В чем причина?

[@user-mq3xd5kn9m]

Видео хорошее. добавлю 5 копеек 1- чтобы не писать у пользователей руками route add -p ip_se ИТД....... поменяйте подсеть 192.168.21.1/24 хотя-бы на 172.16.21.1/24 adress mikrotik 172.16.200.1 Pool mikrotik 172.16.200.10-172.16.200.100 тогда на Windows автоматом прописывается route add 172.16.0.0 mask 255.255.0.0 172.16.200.1 и сеть пингуется и туда и обратно 2- также не забудьте поставить в настройках mikrotik на бридж-LAN (ARP=proxy-arp) это у кого прошивка 46 и выше. 3- ну и у кого есть windows server само провидение вам в руки дает Radius

[@Maxik_1988]

А можете подсказать то и где нужно прописать у пользователя если нет возможности поменять ip-адреса и подсети, по причине того что микротике уже есть настроенная vpn и менять ее не желательно. поднята вторая и при пинге локалка самого микротика не пингуется.?

[@ponomarvikvik9242]

Давыд, прошу подсказать. Можно ли создать vpn туннель между 2мя ноутами? Дома динамический ip, да еще подключение через wi-fi роутер. Второй ноут в поездках, в которых е работают многие сайты если за рубежом. Никакие сторонние ресурсы vpn использовать не хочу. Все хочется сделать на базе постоянно включенного домашнего ноута. Основная цель - выход в инет с домашнего локального интернета. спасибо

[@RomanDenisov]

Спасибо! Единственное дополнение - правило для Firewall создается в самом низу списка, его нужно поместить выше, я сделал на 2 позиции. После этого заработало.

[@Leafspine]

В связи с последними событиями актуально)

[@andrewmad2890]

По идее маршруты можно рулить при помощи DHCP options. Но не знаю может ли такое работать, тем более на микротах. Я использую OpenVPN, да, придётся ставить отдельное ПО на клиентов, но это пожалуй единственная проблема.

[@user-vb3ui7iy4u]

Как всегда все супер Давыд!!!!

[@AxirZaman11]

Здравствуйте, всё работает по инструкции, даже проверил через внешний ип по интернету телефона. Правило файрвола пришлось поднять в верхнюю строку т.к порты на файрволе вроде были закрыты. А в плане безопастности это надёжное решение или можно поднять что-то альтернативное кроме L2tp?

[@alexeyd4599]

Привет, помогите....задал параметры. Но ни к одной рабочей станции пользователей не могу подключиться (они получают настойки по DHCP) а к серверу(контроллеру домена) смог. Где искать проблему??? Задать статические настройки, или для ПК под управлением контроллера есть доп.настройки???

[@askhabmagomedkhanov4003]

Давыд благодарю за видео .

[@tohaSub]

Подскадите, если мткротик стоит за роутером провайдера то с роутера прова пробросить порты на микротик 500,1701, 4500 для подклбчения по vpn?

[@user-rq3vi4oe7b]

Спасибо за видео ✌️👌 без воды. Есть видео в этой же тематики про коммерческий сертификаты ?! Заранее спасибо !

[@dexxxqqq]

Ответ на последний вопрос "как разруливаю": цепляюсь к VPN роутером и маршрутами рулю на нем. Метод не подходит, если подключаться приходится из разных мест.

[@mark_auto]

Друзья! Ситуация такая, может кто сможет помочь. Я микрот поставил перед основным роутером домашним. Микрот получает интернет с роутера TP LINK. В рамках wi-fi VPN подключается и все работает, как только я начинаю висеть на мобильном интернете, по VPN не получается подключится. Что может быть?

[@calapsyoutube8336]

подскажите а возможно ли в l2tp туннели отключить нат? а точнее что бы маршрут по умолчанию не юзался ?

[@myname8658]

VPN подключился и ходит в инет, но к локальной офисной сети и RDP конекта нет. куда копать фаервол или маршрут? буду благодарен за помощь

[@jesterolog7]

А що у вас там трапилось, до віддалені роботи у людей почались ?

[@user-xl8rv1tq7z]

Спасибо! ПОДПИСЫВАЮСЬ ОДНОЗНАЧНО!!!!!

[@kostantinsilko5865]

Еще обязательно нужно активировать на Bridge функцию proxy arp - иначе не работает. Можно в Routes еще прописать целевую сетку организации и шлюз, но у некоторых и без этого работает. Главное proxy arp или local proxe arp.

[@kpa39l]

А возможно уточнить про какой bridge говорится? В видео про этот интерфейс не упоминали даже

[@KidChan88]

о! спасибо тебе, человек! пару часов боролся. не было доступа к локальным компам через впн.

[@PRO61RUS]

Поясни пож для чего это и где настроить?

[@tonybrown3681]

Сделал точно так же как на видео но у меня почему то пишет без доступа к сети, подскажите пожалуйста в чем причина

[@Elator11777]

А это можно на любом роутере настроить? У меня TP link archer 6

[@andrewuwizard]

Изначально создается VPN L2TP Site to site а после мы уже добавляем ipsec для удаленных клиентов? Почему спрашиваю - реально очень мало внятной инфы в сети (либо плохо искал) о сзднании vpn l2tp ipsec именно site to site (в вашем видео client to site ) . Либо не работает какнужно, лио работает но толко на цисках либо просто какой то сферический конь в ваккуме) Спасибо за видео.

[@gangalil4675]

Возможно ли данную настройку реализовать в виртуальных машинах и произвести проверку?

[@combirus]

Спасибо за видео. Всё делал точь в точь. Не хочет никак соединяться :(( Проверил удалёнку с роутера Tp Link, всё работает. Но Mikrotik не в какую. Подскажите где искать причину? Model RB951Ui, Windows 10 (22H2)

[@itforceit]

Спасибо, а как быть если нужно подключаться через OpenVPN, что с настройками и сертификатами для подключения к Mikrotik?

[@JohnDoe-wf2td]

Важно понимать что один серт не является совместимым с другим, так что для каждого клиента нужно делать новый серт. Установка серта идёт как и любого другого серта, качаем его, и ставим просто запуская файл.

[@armenshaburyan3623]

а подскажите плиз на счет pool откуда они беруться какие ip ишники нужно задавать

[@BodunSpirit]

У меня пингуются всего два адреса после подключения. Это сам микрторик сервер и еще 1С сервер, не понимаю почему именно он пингуется. Есть еще файловая шара, она вот и не пингуется, а очень надо

[@gideon4253]

в 12:55 Вы говорите что все внешние подключения пользователей идут через установленный ВПН-туннель. Это можно исключить настройками соединения на клиенте: Свойства ВПН-подключения --> на вкладке Сеть --> Выбираем протокол Интерета версии 4 --> и его Свойства --> кнопка Дополнительно --> снимаем галку "Использовать основной шлюз в удаленной сети" Далее Вы раскрываете идею как можно было бы это исключить, но я не совсем все понял - Вы не показываете снятие этой галки. По идее это как раз и должно решать проблему, но Вы упоминаете "прописывание маршурута до корпоративной сети" - тут я не понял идею.

[@Janglistics]

Если галку снять а маршрут не прописать то не подключитесь к корпоративной сети.

[@user-hb6mj9et3e]

@@Janglistics а где именно нужно прописать маршрут, скажите пожалуйста..

[@Janglistics]

@@user-hb6mj9et3e Запустить командную строку от имени администратора и в ней командой route print посмотреть номер vpn интерфейса и командой route add задать статический маршрут. Например: "route add 192.168.1.4 192.168.31.1 if 33 -p" . Где 192.168.1.4 это удалённый пк, 192.168.31.1 шлюз vpn, if 33 номер вашего vpn интерфейса который route print показал. -p означает что маршрут постоянный.

[@user-hb6mj9et3e]

@@Janglistics Спасибо большое! Может еще посоветуете как правильно настроить фаервол для максимальной безопасности в случае, если поднят l2tp ipsec?

[@Efim88]

Благодарю!

[@user-cs5qr3hg8z]

Может быть подскажите? После настройки один клиент подключается отлично, второй подключается первый отваливается. Клиенты за NAT оба выходят через один IP учетные записи разные. Как исправить?

[@nzrz3090]

Никак, в микротик Вики об этом написано. Есть обходное решение - погуглите. Если найдете, то сможете реализовать, если нет - значит ещё рано и нужно набраться опыта. Но все равно решение то нестандартное, с оговорками и нюансами.

[@user-cs5qr3hg8z]

@@nzrz3090 решили просто сделали на Cisco ASA 5006

[@olegmiroshin2152]

как открыть локалки для клиентов, т. е. чтоб клиенты могли заходить друг на друга?

[@Olegek79]

добрый день, подскажите а не было у вас видео по интеграции авторизации пользователей из AD через VPN, или может подскажете где посмотреть, а то у меня два домена через один мироктик, по вашему видео я так понимаю что целую толпу народу необходимо создавать для каждого пользователя в домене пользователя на микротике, огород выйдет какой то с пользователями, или есть решение!?!?

[@user-iw7vg5wi6v]

RADIUS kzbin.info/www/bejne/bqXHemaMdtimas0

[@arconproject]

Radius server. Вот ваше решение ) РРР-профили- и там активируете radius client( нужно жамкнуть галочку ) Ну и естественно radius server включить на Windows server где установлена AD

[@Olegek79]

@@arconproject я уже решил эту проблему, все же создал пользователей на микротике, тем более они уменьшились, я пробовал, как вы пишите, но авторизация при этом не работало, а так как нужно было работающее решение, то в итоге создал пользователей на микротике.

[@arconproject]

@@Olegek79 ну и зря. я сделал и все получилось. очень удобно. VPN+radius server. На просторах интернета много мануалов. рекомендую почитать.

[@TheJtrg]

почему внешний адрес /24 ? а не /32 ?

[@SovMan]

красава!

[@don-din-don]

Добрый день\вечер. После полугода работы vpn L2tp , отвалился сервер. Ошибка при подключение "Попытка l2tp не удалась из за ошибки произошедшей на уровне безопасности во время согласования" При этом все остальное работает (проброс портов без vpn и доступ ). Настройки стандартные, добавил только vpn, обновления только с исправлением ошибок. Буду признателен за помощь.

[@woodywoodpecker9093]

Тоже самое, хз что такое

[@DaveRylenkov]

Провожу индивидуальные консультации по компьютерным сетям и настройке MikroTik . Пишите мне в ВК

[@user-dr5ci8vx8y]

Есть задача, объединить 2 удаленных офиса, и там и там стоят микротики. На филиале получение WAN происходит по PPPoE (от Ростелеком), на центральном офисе обычная статика Произвожу настройки l2tp все вроде правильно, перепроверял 10 раз, но зараза соединение не устанавливается, куда смотреть!? и вообще возможна ли одновременная работа 2 протоколов ppp?

[@user-zenov]

Смотреть в логи, потом в снифер. Смотря о каких протоколах семейства ppp вы говорите?

[@mostrakt]

Здесь есть важный нюанс, весь вирусняк с домашних компов юзеров может пролесть в корп. сеть. Нужны правила в файрволле для ограничений. Вопрос как и куда их прописать.

[@DaveRylenkov]

Можно в файрволе микротика написать запрет форварда всего со стороны пула клиентов, кроме rdp ( выставить ограничение по порту)

[@GaSeMi1]

​@Светлодарск 1) add chain=forward protocol=tcp dst-port=3389 in-interface=all-ppp action=accept 2) add chain=forward in-interface=all-ppp action=drop Как-то так

[@user-qd9yl3zl6p]

Давыд, здравствуйте. Сделал все как у вас в видео, подключение проходит, а пинги с удаленной машины не проходят, не пойму почему. Подскажите как с вами можно связаться для консультации?

[@DaveRylenkov]

Можете в вк мне написать

[@kostantinsilko5865]

Брат, у меня такая же проблема. Ты разобрался что к чему? Rx есть а Tx нет совсем. Похоже что-то с трассами но не могу понять... Помоги, если можешь, пожалуйста!!!

[@user-qd9yl3zl6p]

@@kostantinsilko5865 нужно маршруты прописывать с обеих сторон

[@kostantinsilko5865]

@@user-qd9yl3zl6p да сенкс брат. Уже разобрался. Или можно включить прокси Арп. На худой конец

[@unreliabletraffic9450]

Подскажите, пожалуйста, настроил по вашему мануалу - клиенты впн не видят локальную сеть (с самого микротика пингуются как локальные хосты, так и впн хосты)

[@user-iw7vg5wi6v]

такая же фигня. если разобрались - подскажите пожалуйста, как)

[@user-mq3xd5kn9m]

решение оставил смотрите выше

[@user-mq3xd5kn9m]

@@user-iw7vg5wi6v решение оставил смотрите выше

[@user-iw7vg5wi6v]

Максим Воеводин спасибо

[@TheVengord]

Спасибо!

[@Keper]

Привет. После всего выше проделанного появляется ошибка failed to pre-process ph2 packet Подскажи в чём может быть касяк?

[@DaveRylenkov]

Версия прошивки какая на Mikrotik?

[@Keper]

@@DaveRylenkov 6.46.4 Сама последняя на данный момент. Справедливости ради скажу что така я же ошибка на прошивке 6.42 была

[@Keper]

@@DaveRylenkov Решил. Нашёл на форуме /ip ipsec policy set 0 disabled=no dst-address=::/0 group=default proposal=default protocol=all src-address=::/0 template=yes Все сразу подключилось

[@user-zenov]

Такое поведение наблюдалось на очень СТАРЫХ прошивках. Решалось удалением созданной по умолчанию группы IP ->IPSec ->Groups, потом создать новую, и указать ее в IP -> IPSec -> Peers.

[@ruslanmiftakhov3455]

актуально)

[@nachshaburyan7953]

подскажите откуда беруться pool адреса

[@user-qz8kq3nc2i]

А в меню IPSec настраивать ничего не нужно?

[@user-zenov]

нет не нужно, если вам только не нужен чистый IPSec.

[@Paktra]

у сервера (ВинХР в данном случае) должен быть прописан маршрут до подсети 10.123.0.1/24, в противном случае он не знает, куда ему отвечать на запросы из этой подсети и все пакеты отправит в основной гейтвей.

[@s3df0x]

В данном случае вингейт и 10.123.0.1 для ВинХР этой схемы один и тот же. пакеты будут уходить согласно таблице роутинга в микротике, так что тут все верно вроде как.

[@AlexB-bd8lt]

+1 тоже не понял каким чудом клиент впн из 10-й подсети увидел Рдп на 192,168,21,253 ps. у меня сей метод не заработал

[@VoidObj]

тю, так снимаешь "шлюз по умолчанию" и прописываешь маршрут, мол только запросы к корп. сетке через vpn, остальное по умолчанию в интернет

[@apxivan]

А если ip адрес внешний (провайдера) не статический, какой есть вариант VPN ?

[@alexandergreat6192]

DDNS

[@serjand121]

@@alexandergreat6192 и то, если он динамический, а не серый

[@stasex1988]

а а винде на клиенте статичный маршрут прописать к северу куда по рдп заходишь например так route add -p ip_servera_rdp mask 255.255.255.0 ip_gate_po_vpn METRIC 1

[@user-hb6mj9et3e]

а где именно нужно прописать маршрут, скажите пожалуйста..

[@parzival_x]

@@user-hb6mj9et3e в командной строке от имени администратора

[@mixserVideos]

21:38:17 ipsec,info respond new phase 1 (Identity Protection): IProuter[500] ip_clinet[500] 21:38:17 ipsec,error no suitable proposal found. 21:38:17 ipsec,error ip_clinet failed to get valid proposal. 21:38:17 ipsec,error ip_clinet failed to pre-process ph1 packet (side: 1, sta tus 1). 21:38:17 ipsec,error ip_clinet phase1 negotiation failed. чем может быть вызвана?

[@user-zenov]

1. Обновить MIT до актуальной прошивки. 2. Временно отключить firewall. 3. Проверить настройки Authentication на сервере и клиенте.

[@abask000]

если сервер vpn (mikrotik) находится за nat реально сделать l2tp+ipsec ?

[@DenisBMWE39]

Нет. только белый IP

[@user-jq4yo8qd8i]

Денис а ddns у микротик в пункте cloud? Почему так категорично про белый ip?

[@mail4mony]

@@user-jq4yo8qd8i да, cloud должен работать

[@Efim88]

У меня задачка которую, не придумал как решить, подключаюсь через iphone к vpn, но на айфоне нет галочки использовать удаленный шлюз.., пока писал автор тоже самое озвучил в конце))

[@user-ck4mg9wi6t]

Здравствуйте! Всё сделал по Вашей инструкции, VPN поднялся, но у пользователя при подключении к VPN пропадает интернет. Можете что-нибудь посоветовать?

[@ITgti]

Нужно в Firewall разрешить сеть которую создали для VPN.

[@user-ck4mg9wi6t]

@@ITgti весь интернет трафик пользователя идёт через роутер офиса! как разделить?

[@andreyosss4352]

@@user-ck4mg9wi6t получилось разделить трафик?

[@user-ck4mg9wi6t]

@@andreyosss4352 нет (

[@bushcraft.azerbaijan]

спосибо -создал подключение-

[@AntonDiakonov]

А белый ip адрес внешний как его получить? У провайдера получать?

[@rtklm1167]

да, на офф сайте провайдера поищи, как его подключить, обычно нужно им позвонить. У меня уфанет даже через приложение можно подключить

[@user-ee2qp9mq1s]

Не работает данный метод, подключение не проходит

[@andrewuwizard]

+

[@user-sh2ws8rr4o]

Правила для Firewall: /ip firewall filter add action=accept chain=input comment="For VPN" dst-port=500,1701,4500 \ in-interface=ether1 protocol=udp Не учитывается в создании правила то что интерфейс ether1 может быть другим. В моем варианте так как подключение к провайдеру через pppoe и вместо ether1 ---- pppoe-out1

[@user-fc8pg3xb3z]

как сделать простой vpn без всяких схем

[@srh_btk]

смущает 2007 год на винде 7))

[@DaveRylenkov]

Батарейка для биос слетела

[@user-zenov]

@@DaveRylenkov из-за этого первый раз и соединение не устанавливалось.

[@Ravvinoff]

может проще (для клиентов) проброс порта и поткнокинг?

[@DaveRylenkov]

VPN добавляет дополнительное шифрование в этом плюс. Про Port knocking не всегда это проще

[@q1ncite]

2007 или всё таки 2020?

[@serhioramires3166]

Звук в видео необязательно задирать.

[@user-rd3lj4gn4s]

Звук в видео - идеален!

[@user-dr1zc7km8s]

Чтобы в тоннель шёл только корпоративный трафик, надо использовать в корп сети сеть 172.16.0.0/16 (kzbin.info/www/bejne/aqi6aqWGpKmclc0)

[@CatWorldson]

Эм, ну 10.0 .0.0/8 тут ничем не отличается же от предложенного вами, это на вкус и цвет. Погуглите private ip pools

[@cybernetek]

Способ годный. Но можно ведь, проще, во вкладке Nat, добавить новое правило, в chain поставить dstnat, протокол tcp6, dist port указать номер порта, in interface выбрать ether1. Далее во вкладке action пишем локальный адрес машины и порт и все. Правило должно быть выше маскарадинга если что. И все есть конект по рдп, актуально для белого внешнего.

[@michaeltolica3788]

Я все это читаю уже несколько раз, прошу прощения но пока не врубаюсь, хотя очень интересно. Можно пл подробней каждый пунтк? Вы Говорите dist port указать номер порта ... А на машине куда подключаемся нужно будет создать при этом: New Incoming connection - VPN?

[@cybernetek]

@@michaeltolica3788 нет vpn не нужен, простыми словами это проброс порта, в данном случае если по стандарту, у тебя должен быть белый внешний, порт по стандарту 3389 для rdp, но потом смени его в реестре. В тех настройках что описал, ставишь локальный адрес машины. Из дома через rdp, вводишь внешний ip и порт, тебя переадресует на твою машину

[@cybernetek]

@@michaeltolica3788 зайди в микротик, firewall-nat, сделай те пункты что я описал выше, локальный ip укажи свой. Vpn не нужен. Также в свойствах системы на самой ос, где вкладка удалённый доступ тоже поставь разрешения. После того как сделаешь, пробуй подключится с дома, введя внешний ip и порт, введя имя пк\имя пользователя и пароль удалённой машины. Всё должно работать, пробуй

[@alexwm547]

ага, а потом добрые люди за считанные часы поломают такой rdp выставленный голым задом в интернет.

[@user-tk9vi9ew9s]

@@cybernetek так себе решение, особенно если на домашнем компьютере динамический ip адрес

[@Cepbl4es]

Хоть кто-то из благодарных пробовал по этой инструкции настроить? Не работает же))

[@user-bj9hd1bc4j]

Вот так можно передавать маршруты, чтобы не прописывать их внучную kzbin.info/www/bejne/pmrCapmrorN3j68

[@MsAndrewKing]

Чтобы интернет трафик не заворачивался в туннель, всем удаленщикам ставим программу - www.draytek.com/products/smart-vpn-client/ , и рассылаем им настройки, очень удобно, там просто прописывается два маршрута, работает идеально

[@serhioramires3166]

Не понял восторгов в отзывах. Обычный ролик на хороший туториал не тянет.

[@TinTaBraSS777]

впн в россии запрещен ) одного чувака за него посадили

[@ttrfhphr1733]

Это не касается случая с подключением сотрудников к инфраструктуре филиала. Если вы не понимаете вообще о чем речь, не пишите.

[@zultulce]

Никого за впн не посадили... Он не запрещен

[@metall-arti]

чушь не пишите, если не знаете о чём это видео и для чего оно. в этом видео совсем о другом речь идет, ничего общего не имеющего с вашим пониманием о VPN, даркнет и TOR.

[@user-fm3xk6jk9g]

Добрый день! Как на одном интерфейсе fe 0/0 маршрутизатора cisco2811 подключить две локальных сети? Может был уже урок, скиньте ссылку.

[@DaveRylenkov]

Вы имеете в виду сабинтерфейсами через vlan? У меня есть про это видео kzbin.info/www/bejne/d4imkpqfgsdon9k

[@user-fm3xk6jk9g]

@@DaveRylenkov спасибо за ответ. Посмотрел видео. С сабинтерфейсами понятно. А как сделать чтоб компы из разных вланов общались между собой. Аксеес листы создавать. Просто 1 отдел с компами переехал физически к другому отделу. Желательно сохранить их сети, и чтоб они были доступны к друг другу.

[@user-xg5wg5fr4u]

@@user-fm3xk6jk9g делаешь роутинг через те же сабинтерфейсы и все будет работать