Stałe łącze VPN

[@Mati_ZAKO]

Ostatni film o vpn był bardzo dobry co zresztą podkreśliłem komentarzem. Zadałem tam Panu pytanie i proszę w tym filmie jest już odpowiedź. Normalnie SZTOS ! super material na bardzo wysokim poziomie. Dla mnie jeden z najlepszych kanałów w tej tematyce. Pozdrawiam i czekam na więcej.

[@RemigiuszPyrek]

Dziękuję za komentarz. Cieszę się, że materiał trafia w sedno problemu i pozwala rozwiązać jakieś zagadnienie. Trzymam kciuki za powodzenie w administrowaniu :)

[@pridsi]

Zgadza sie jeden z najlepszych kanalow w tej tematyce. 👍

[@macati1234]

Bardzo treściwy materiał :)

[@RemigiuszPyrek]

Dziękuję za komentarz!

[@weareonlynumber]

Świetny materiał. Dziękuję!

[@RemigiuszPyrek]

Dziękuję za komentarz!

[@marcinlatkowski6766]

Super filmiki. Nie tylko ten

[@RemigiuszPyrek]

Dziękuję za komentarz!

[@marcinlatkowski6766]

@@RemigiuszPyrek Nie wiem czy dobrze rozumiem ale w mojej konfiguracji router dostawcy internetu musiałby być przeźroczysty (bridge?) i IP zewnętrzne skonfigurowane na mikrotik?

[@RemigiuszPyrek]

@@marcinlatkowski6766 dokładnie tak

[@mondelas2000]

Super materiał dziękuję :)

[@RemigiuszPyrek]

Dziękuję za komentarz :)

[@pridsi]

Biorac po uwage firmy ktore posiadaja łącza ip nie statyczne ale zmienne, bo nie maja takiej mozliwosci a posiadaja produkcje, zarzad i ksiegowosc. Co siadzisz o ustawieniu no-ip czy inną tego typu usluge. ... dostawca np play dosc popularny w firmach. Moze nowy odcinek na ten temat z MikroTekiem . Bo materiał bardzo fajny. Gratuluje... przeczytałem opis ponizej p. Przemek P

[@RemigiuszPyrek]

Sprawdziłby, czy rzeczywiście to dynamiczne IP jest adresem publicznym. Operatorzy zabezpieczają się w taki sposób, że stosują dodatkowo podsieć dla tych adresów. Nawet znając taki dynamiczny adres i tak nie można połączyć się z routerem ponieważ nie wszystkie porty są przekazywane dalej (forwardowane). Sugeruję choć 1 łącze ze stałym adresem, czyli na przykład Orange na kartę jako punkt centralny. Przy takim rozwiązaniu niestety cały ruch pójdzie właśnie przez to łącze a tym samym transfer plików nie będzie za szybki. Jeśli są to programy korzystające przede wszystkim z zapytań do baz danych to nie będzie tragedii. Jeśli chodzi o monitoring to aby przesłać strumień Live ze wszystkich lokalizacji łącze LTE raczej będzie czerwone od wygenerowanego ruchu :-)

[@tomekmus82]

Ja mam takie pytanie techniczne - odnośnie tego przykładu. Zrobić tak by DOM miał usługę DDNS na NOIP. A FIRMA ma IP zmienne. Jak zmodernizować tą konfigurację. Dodam by przykład działania pozostał bez zmian chodzi o to że z domu loguje się do FIRMY i dostaje jej lokalne IP - lecz mój dom posiada tylko aktywnego DDNS'a

[@RemigiuszPyrek]

Z usługą DDNS problemu nie ma, tylko nawet jak IP uda się ustalić jakie w danym momencie jest, może być tak, że dostawca internetu stosuje maskaradę, co uniemożliwi połączenie do wewnątrz. Orange stosuje takie rozwiązanie na 100%. Proszę się zorientować czy konfiguracja łącza na pewno pozwoli na zdalne połączenie. Najprościej wykonać próbę na IP, które w danym momencie zostało przydzielone, a DDNS to wtórna kwestia.

[@stasio1740]

Czy w takiej konfiguracji adres ip zewnętrzny jest taki jak na serverze vpn ?

[@RemigiuszPyrek]

Przyjmując, że serwer VPN jest uruchomiony na routerze Mikrotik to tak jego adres WAN jest adresem serwera czyli adresem IP od operatora.

[@stasio1740]

@@RemigiuszPyrek Skonfigurowałem takie połączenia według Twojego instruktażu, wszystko śmiga i pinguje. Tylko jest problem taki że prędkość jest przy kopiowaniu plików itp takieś 2-3 MB/s a bez IPSEC 14-15 MB/s, a łącząc się z windowsa jest 30-33 MB/s. łącze od strony serwera VPN 1000/1000 po stronie klienta 300/300. Serwer rb5009ug_s_in a klient hex 760igs

[@RemigiuszPyrek]

@@stasio1740 Sprawdź ile zasobów procesora na routerze zajmuje takie kopiowanie, może szybszy router będzie potrzebny. Ogólnie VPN nie pali się do „roboty” :)

[@owcazzz]

Czy przy takiej konfiguracji, w drugą stronę też będzie działało połączeni? tzn. z czy produkcja urządzenia z sieci 10... będą miały dostęp do zasobów pana biura? Jeżeli nie to co należy dodatkowo skonfigurować? Maskaradę po stronie fabryki?

[@RemigiuszPyrek]

Tak oczywiście, to działa w 2 strony, na obu routerach w tej konfiguracji należy ustawić routing. IP > Route i w biurze podajemy klasę sieci z produkcji oraz przez jaką bramę (połączenie L2TP) ma odbywać się ruch oraz na produkcji podajemy klasę sieci z biura oraz przez jakie ustanowione połączenie.

[@owcazzz]

@@RemigiuszPyrek tak też zrobiłem. Zadziało. Bardzo mi pomógł Twój film. Dziękuję.

[@RemigiuszPyrek]

@Waldemar Staszak sprawdz czy na Firewall > masquerade nie masz ustawionego łącza WAN, jeśli tak to usuń aby maskarada działała na każdym połączeniu. L2TP nie jest zaliczane do WAN, oczywiście możesz ustawić osobny wpis dla L2TP i akcje masquerade. Zobacz czy Tobie to zadziała.

[@RemigiuszPyrek]

@Waldemar Staszak Komunikacja w tym przypadku wyłącznie za pośrednictwem routera ze stałym adresem IP, układ w gwiazdę. Reguły w routes, na mikrotiku 2 i 3, żeby się komunikowały ze sobą muszą wysyłać pakiety przez router 1 a router 1 pchnie pakiety dalej.

[@dariuszdugosz2173]

Dzień dobry, Dzięki za materiał - bardzo pomocny. Zrobiłem połączenie Mikrotika z serwerem Synology przez L2TP/IPSec, kanał się zestawia, pingi do wszystkich urządzeń w sieci odpowiadają, ale gdy próbuję się połączyć np. na zdalny pulpit lub przez WWW przez VPN, połączenie początkowo się uruchamia, czasem nawet zobaczę pulpit zdalnego komputera, ale potem połączenie przestaje działać. Ma Pan może pomysł w czym może być problem. Pozdrawiam

[@RemigiuszPyrek]

Hmm, nie mam pojęcia co się dzieje, nie miałem takiego przypadku u siebie. Może jakaś niestabilność łącza powoduje zerwanie połączenia z routerem. Czasami sieci WiFi mają słaby link i przepuszczenie pakietu za pomocą komendy PING większego niż domyślny, powoduje zagubienie pakietu. O ile pamiętam to w windows komenda PING przesyła domyślnie 32 bajty i czeka na powrót, można wówczas wydać komendę „ping -l 64” aby sprawdzić czy 64 bajty przejdą. Jeśli będzie ok, to zwiększać do wartości krytycznej. U mnie na WiFi „ping -l 1024” jeszcze działa, „ping -l 2048” do serwera wp.pl już nie dociera. To tylko jedna z możliwych przyczyn, trzeba byłoby się pochylić głębiej nad tematem, gdyż każdy przypadek jest inny.

[@goof3r]

W jaki sposób połaczyć sieci gdy router(serwer) ma adresacje DHCP 192.168.1.1-99 a u routera(klienta) siec ma adresacje DHCP 192.168.1.100-200 ? żeby komputery z jednej sieci wydziały komputery z drugiej sieci?

[@RemigiuszPyrek]

Z mojego doświadczenia wynika, że taki podział jak opisałeś jest niemożliwy. Należałoby zrobić tak, że 1 router ma adres 192.168.1.1 i adresy do 192.168.1.2 do 192.168.1.126, maska w tym przypadku 255.255.255.128, router 2 ma adres 192.168.1.129 i adresy od 192.168.1.130 do 192.168.1.254 i maska także 255.255.255.128. Do takich podziałów sieci niezbędny jest kalkulator aby wszystko zadziałało. www.subnet-calculator.com/

[@goof3r]

@@RemigiuszPyrek Dziękuję za odpowiedź, w takim razie najłatwiej bedzie w jednej lokalizacji zmienic na adresacje 192.168.2.0. Jeszcze jedno pytanie mam zwiazane z mikrotikami. Czy jest możliwość w mikrotikach zestawić połączenie OPENVPN jako TAP zeby między sieciami latały broadcasty ? Jezeli nie, to czy jest możliwość uzyskania takiego czegoś za pomocą L2TP?

[@RemigiuszPyrek]

Niestety nie konfigurowałem połączeń TUN/TAP. Znam teorię ze strony OpenVPN openvpn.net/community-resources/ethernet-bridging/. Tutaj polecam ciekawy projekt mum.mikrotik.com/presentations/VN17/presentation_4102_1493726768.pdf

[@zbigniewryba9357]

Witam Super poradnik. Mam małe pytanie czy jest możliwość uruchomienia na 1 Mikrotiku kilku połączeń l2tp klient do różnych lokalizacji równocześnie.

[@RemigiuszPyrek]

Oczywiście :) Proszę pamiętać tylko aby w tych lokalizacjach adresacja była różna w 3 oktecie adresu IP. Inaczej nie będzie można utworzyć reguły dla routingu - w sensie działające reguły :)

[@Ni3zywy]

A co w przypadku kiedy mam Unifi Dream Machine i chciałbym aby VPN był postawiony na routerze albo inaczej - żeby każde połączenie wychodzące na świat było z adresem IP VPNa? Szukałem trochę w internecie, ale nie znalazłem rozwiązania tego problemu, więc może Pan mógłby podpowiedzieć. Dziękuje :)

[@RemigiuszPyrek]

Proszę jutro o kontakt telefoniczny, potrzebuje więcej danych. Jeśli dobrze zrozumiałem potrzebę to cały ruch a nie tylko na daną podsieć należy skierować na router do którego się połączyłeś. Na filmie kierowałem ruch 192.168.1.0/24 przez L2TP a tutaj cały ruch czyli 0.0.0.0/0 na łącze L2TP. Jak wspominałem, potrzebuje więcej danych.

[@PrzemoPSzynku]

Remigiusz, Zamiast IP publicznego użyłeś DDNS. Jakiego dostawce użyłeś do przekształcenia adresu IP na nazwę? Używałeś kiedyś wbudowanego DDNS w miktoriku? Pozdrawiam Przemek

[@RemigiuszPyrek]

nie używam DDNS stały się płatne w większości przypadków. używam własnych serwerów

[@chilli9129]

Bardzo przejrzyście wytłumaczone

[@RemigiuszPyrek]

Dziękuję za komentarz, dobry motywator do działania!