VPN:EoIP

Материал из MikroTik Wiki

В статье разбирается настройка EoIP-туннеля на оборудовании MikroTik с целью объединения двух сетей (site-to-site VPN). После создания VPN-канала между сетями будет настроена маршрутизация и выполнена проверка работоспособности. Также будут разобраны типичные проблемы, которые могут возникнуть в процессе настройки и проверки.

Схема сети

Схема сети VPN на базе "Ethernet over IP" на маршрутизаторах MikroTik
Схема сети VPN на базе "Ethernet over IP" на маршрутизаторах MikroTik



В головном офисе установлен маршрутизатор GW1. В филиале установлен маршрутизатор GW2. В обеих внутренних сетях используется одинаковая IP-адресация.

Головной офис
IP-адрес внешней сети головного офиса: 10.1.100.0/24
IP-адрес внешнего интерфейса маршрутизатора GW1: 10.1.100.1/24

IP-адрес внутренней сети головного офиса: 192.168.15.0/24
IP-адрес внутреннего интерфейса маршрутизатора GW2: 192.168.15.1/24

Филиал
IP-адрес внешней сети головного офиса: 10.1.200.1/24
IP-адрес внешнего интерфейса маршрутизатора GW1: 10.1.200.1/24

IP-адрес внутренней сети головного офиса: 192.168.15.0/24
IP-адрес внутреннего интерфейса маршрутизатора GW2: 192.168.15.2/24

Полезные материалы по MikroTik

Углубленный курс "Администрирование сетевых устройств MikroTik"
Онлайн-курс по MikroTik с дипломом государственного образца РФ. Много лабораторных работ с проверкой официальным тренером MikroTik. С нуля и до уровня MTCNA. 
На Telegram-канале Mikrotik сэнсей можно получить доступ к закрытой информации от официального тренера MikroTik. Подписывайтесь

Настройка

Настройка первого маршрутизатора

Через графический интерфейс

Создать EoIP-туннель. Укажем параметр "keepalive", который определяет находится ли туннель в рабочем состоянии. Если параметр не включен, то даже, если второй маршрутизатор будет выключен интерфейс все равно будет показывать рабочее состояние, что не удобно для диагностики. Мы рекомендуем использоваться значение 10 попыток по 10 секунд. т. е., если в течении 100 секунд не будет никаких сигналов с противоположной стороны туннель перейдет в нерабочее состояние. При этом он автоматически включится, если противоположная сторона попытается установить соединение. Мы рекомендуем выбирать имя интерфейса, которое бы позволяло однозначно идентифицировать кто находится на противоположной стороне туннеля. Если филиалов 1-2, то достаточно и простых идентификаторов. А вот если их число начнет расти, то идентификаторы вроде filial1, filial2, filial3 и т. д. будут не самыми удобными. Параметр "Tunnel ID:" обязательно должен совпадать на обоих маршрутизаторах.

Настройка EoIP-интерфейса на 1-м маршрутизаторе MikroTik
Настройка EoIP-интерфейса на 1-м маршрутизаторе MikroTik


Создать интерфейс типа bridge. На этом шаге надо создать виртуальный "мост", который соединит физические интерфейсы LAN и виртуальный интерфейс, который был создан на предыдущем шаге.

Настройка IP-адреса для EoIP-интерфейса на 1-м маршрутизаторе MikroTik
Настройка IP-адреса для EoIP-интерфейса на 1-м маршрутизаторе MikroTik


Добавить интерфейсы в bridge.

Добавить интерфейс типа "bridge" 1-м маршрутизаторе MikroTik
Добавить интерфейс типа "bridge" 1-м маршрутизаторе MikroTik


Добавить интерфейсы в "bridge" на 1-м маршрутизаторе MikroTik, 1


Добавить интерфейсы в "bridge" на 1-м маршрутизаторе MikroTik, 2


Если интерфейсы с предыдущих двух скриншотов добавлены корректно, то мы должны получить такую картинку:

Добавить интерфейсы в "bridge" на 1-м маршрутизаторе MikroTik, 2
Добавить интерфейсы в "bridge" на 1-м маршрутизаторе MikroTik, 2


Через консоль

/interface eoip
add name="filial1" keepalive=10s,10 remote-address=10.1.200.1 tunnel-id=0


/interface bridge
add name=bridge1
port add bridge=bridge1 interface=filial1
port add bridge=bridge1 interface=ether1-LAN1

Настройка второго маршрутизатора

Через графический интерфейс

Настройки второго маршрутизатора аналогичным настройкам первого маршрутизатора за тем исключением, что в качестве "Remote Address:" должен быть указан адрес головного офиса. И разумеется название интерфейса лучше изменить на "HQ".

Через консоль

/interface eoip
add name="HQ" keepalive=10s,10 remote-address=10.1.100.1 tunnel-id=0


/interface bridge
add name=bridge1
port add bridge=bridge1 interface=HQ
port add bridge=bridge1 interface=ether1-LAN1

Настройка маршрутизации

Настройка маршрутизации не требуется, т. к. в сети используется L2-канал (коммутация), а не L2-канал (маршрутизация).

Следует учесть

  1. На обоих маршрутизаторах должен совпадать параметр tunnel-id.

Проверка

Проверка состоит из двух частей:

  1. Надо убедиться, что между двумя маршрутизаторами MikroTik установлено VPN-соединение. Это описано ниже.
  2. Если VPN-соединение установлено успешно, то далее надо проверить есть ли связь между хостами в двух сетях. Для этого достаточно запустить ping с любого компьютера в сети на любой компьютер другой сети.

Через графический интерфейс

Если подключение установлено, то статус подключения должен отображаться с буквой "R". Что значит running, т. е. запущено.

Проверка подключения "Ethernet over IP" через графический интерфейс на маршрутизаторе MikroTik


Через консоль

Выполнить команду /interface eoip print - на обоих маршрутизаторах
Если соединение установлено успешно, то статус подключения, так же, как и через графический интерфейс, должен отображаться с буквой "R".

Проверка подключения "Ethernet over IP" через консоль на маршрутизаторе MikroTik


Типичные проблемы

  • Если VPN-соединение между двумя маршрутизаторами MikroTik не устанавливается, то надо проверить:
  1. Не мешает ли файервол. Для уверенности лучше временно отключить все правила файерволов на обоих маршрутизаторах.
  2. Совпадают ли имя пользователя и пароль на обоих маршрутизаторах.
  3. На VPN-клиенте указан правильный адрес VPN-сервера к которому должно происходить подключение.
  • Если не проходит ping между двумя компьютерами в разных сетях, то надо проверить:
  1. Правильно ли сделаны настройки маршрутизации на обоих маршрутизаторах не зависимо от того из какой сети в какую будет идти пинг.
  2. На брэндмауэре компьютера, который будет пинговаться, сделаны необходимые разрешения для протокола ICMP. Для уверенности можно отключить встроенный брэндмауэр и выгрузить антивирус.

Полезные материалы по MikroTik

Углубленный курс "Администрирование сетевых устройств MikroTik"
Онлайн-курс по MikroTik с дипломом государственного образца РФ. Много лабораторных работ с проверкой официальным тренером MikroTik. С нуля и до уровня MTCNA. 
На Telegram-канале Mikrotik сэнсей можно получить доступ к закрытой информации от официального тренера MikroTik. Подписывайтесь

Полезные статьи