Tunel IPsec - brak możliwości zestawienia tunelu w Mikrotiku

[KariGuri]

Udało się zestawić tunel. Na adres bramy, który jest jednocześnie IP połączeniówki.
Niestety ruchu między sieciami LAN nadal brak - a Mikrotik był konfigurowany adresacją przekazaną przez technika Orange. Coś jest bardzo pomieszane z translacją adresów, brama odpowiada i robi za IP połączeniówki. Już się pogubiłem w tych regułach w Orange, pierwszy raz mam taką sytuację i komplikację.

[Samotnick]

@KariGuri Powinieneś mieć publiczny adres dla routera LB150 i dodatkową pulę do użytku wyłącznie na porcie 0/0. I tej dodatkowej puli adresów publicznych powinieneś używać dla MT itp.

[agat13]

@KariGuri Dlatego proponuję zweryfikować jaką naprawdę masz usługę. Może być ich kilka rodzajów. 

Na LB150 stawiany jest Internet Premium (dawniej Biznes Pakiet) w kilku wariantach. Usługa ma status prawdziwej usługi dla biznesu mając 1,4 lub 8 adresów IP, co daje możliwość skonfigurowania własnych urządzeń za LB150. Najmniej wygodną jest opcja z 1 adresem IP, który przypisany jest do modemu, który z kolei realizuje NAT.

FB zaś są  stawiane są na Internecie Firmowym (dawniej Neostrada biznes), który ma takie same funkcjonalności jak , ale jest bardziej...hmmm...skomplikowany w obsłudze. Nie mam pojęcia czy LB150 są dostępne dla IF, ale przypuszczam, że nie, przez co masz lepszą usługę, tylko nie wiesz w jakim wariancie 🙂

Dla 4 i 8 adresów ważny jest IP bramy (adres modemu) i adres urządzenia (to co wpisujesz na WAN routera własnego), oraz maska (252 dla 4 IP i 248 dla 8 IP), oraz DNSy Orange. To musi działać 🙂 no, chyba, że masz tylko 1 adres IP...wtedy jest trudniej 🙂

[KariGuri]

Dziękuję za pomoc.

Zweryfikowałem, na miejscu jest usługa z 4 adresami IP.
Adres IP modemu jest jednocześnie adresem bramy Mikrotika. Połączenie od drugiej, swojej strony, mogę zestawić z IP modemu - adres MT nie odpowiada/nie jest widoczny. Maska to /252
Natomiast od strony MT, tunel musi być zestawiony z własnym IP, gdy w połączeniu ustawiam IP modemu (czyli ten, na który idzie ipsec z mojej strony), to połączenie nie działa.

I tunel się zestawia, mimo wpisania innych adresów IP. Niestety komunikacja nadal jest przerywana. Pakiety wychodzą z obydwu stron, ale żadna niczego nie odbiera.

[Samotnick]

@KariGuri Czyli masz do dyspozycji jeden adres IP, który ustawiasz na WAN w MT, ponieważ drugi adres to wewnętrzne IP routera (czyli brama w MT). Adres przypisany do WAN w MT musi być osiągalny z zewnątrz. Jeżeli tak nie jest to sprawdź jak wyglada konfiguracja firewalla i tablicy routingu w LB. Adres połączeniowy (ten na WAN w LB) jak i adres używany jako wewnętrzny/bramy nie może służyć do zestawiania tunelu.

[agat13]

@KariGuri Zadzwoń na infolinię Biznes 510600600 i poproś o weryfikację usługi. Wyjaśnij o co Ci chodzi, aby sprawdzili widoczność Twojego MT i reguły na firewallu. Mają do tego narzędzia...

[KariGuri]

Tablica routingów, NAT oraz Firewall są praktycznie przezroczysta. Mam reguły tylko między sieciami za tunelem.
Adres WAN Mikrotika nie jest osiągalny z zewnątrz. Nie mogę się po nim zapiąć tunelem, Winboxem do MT (oczywiście z dozwolonych adresów) ani oczywiście wykonać ping/tracert.

Skontaktuję się, po raz kolejny, z Orange.
Dzięki za wsparcie.

[KariGuri]

Tak zrobię, chociaż z Orange kontaktowałem się już trzy razy. Każdorazowo, po chwili, konsultant mówił, że po ich stronie wszystko jest w porządku.

Dziękuję za wsparcie.

[Samotnick]

@KariGuri Musi być osiągalny. Może nie jest ustawiony routing do tej sieci po stronie Orange. Jak wygląda traceroute z zewnątrz? Dochodzi do LB?

[agat13]

@KariGuri Jeśli wpisałeś 3 IP z puli jako IP WAN MT,

2 jako bramę, 

DNS 194.204.152.34 i 194.204.159.1

maskę 255.255.255.252, to adres MT musi być osiągalny z zewnątrz i niech to właśnie sprawdzą