Настройка IPSec VPN (Site to Site) на Mikrotik

Объединение офисов в единую сеть при помощи IPSec VPN на оборудовании MikroTik.

Два удаленных офисных маршрутизатора MikroTik соединены с Интернетом, и пользователи в офисах выходят в интернет через NAT. У каждого офиса есть своя собственная локальная подсеть, 192.168.1.0/24 для первого офиса (Office1) и 192.168.2.0/24 для второго офиса (Office2). Задача: соединить два офиса через безопасный туннель через сеть Internet при использовании оборудования MikroTik. В данном случае используется IPSec VPN (Site to Site)

1. Настройка подключения к интернет
На обоих маршрутизаторах ether1 интерфейс используется как WAN порт, и ether2 используется, что бы подключиться к локальной сети. Также правила NAT установлен параметр masquerade для трансляции адресов локальной сети в глобальный адрес ISP провайдера.

Маршрутизатор MikroTik Office1:
/ip address
add address=1.1.1.2/30 interface=ether1
add address=192.168.1.1/24 interface=ether2
/ip route
add gateway=1.1.1.1
/ip firewall nat
add chain=srcnat out-interface=ether1 action=masquerade

Маршрутизатор MikroTik Office2:
/ip address
add address=2.2.2.2/30 interface=ether1
add address=192.168.2.1/24 interface=ether2
/ip route
add gateway=2.2.2.1
/ip firewall nat
add chain=srcnat out-interface=ether1 action=masquerade

2. Настройки IPSec peer
Добавляем настройки соседа, с которым будет строится VPN. Настраиваем адрес соседа и порт,а также pre-shared-key ключ. Другие параметры без изменений.

Маршрутизатор MikroTik Office1:
/ip ipsec peer
add address=2.2.2.2/32:500 auth-method=pre-shared-key secret="test"

Маршрутизатор MikroTik Office2:
/ip ipsec peer
add address=1.1.1.2/32:500 auth-method=pre-shared-key secret="test"

3. Настройки политик
Проверим, что бы были одинаковые настройки шифрования и аутентификации на обоих маршрутизаторах MikroTik.
[admin@MikroTik] /ip ipsec proposal> print

Настраиваем политики VPN IPSec на MikroTik.

Зашифруем трафик из сети 192.168.1.0/24 к 192.168.2.0/24 и наоборот.

Маршрутизатор Office1:
/ip ipsec policy
add src-address=192.168.1.0/24:any dst-address=192.168.2.0/24:any sa-src-address=1.1.1.2 sa-dst-address=2.2.2.2 tunnel=yes action=encrypt proposal=default

Маршрутизатор Office2:
/ip ipsec policy
add src-address=192.168.2.0/24:any dst-address=192.168.1.0/24:any sa-src-address=2.2.2.2 sa-dst-address=1.1.1.2 tunnel=yes action=encrypt proposal=default

Обратите внимание, что сконфигурирован туннельный режим вместо транспортного, поскольку так мы шифруем данные в туннеле.

4. Настройка NAT.
Если на данном шаге установить туннель IPSec, он не будет работать, пакеты будут отброшены. Это вызвано тем, что у обоих маршрутизаторов есть правила NAT, которые изменяют исходный адрес после того, как пакет зашифрован. Удаленный маршрутизатор MikroTik получает зашифрованный пакет, но не способен дешифровать его, потому что исходный адрес не соответствует политике.

Что бы устранить данную проблему, создадим правило обхода NAT.

Маршрутизатор Office1:
/ip firewall nat
add chain=srcnat action=accept place-before=0 src-address=192.168.1.0/24 dst-address=192.168.2.0/24

Маршрутизатор Office2:
/ip firewall nat
add chain=srcnat action=accept place-before=0 src-address=192.168.2.0/24 dst-address=192.168.1.0/24

Данное правило необходимо поместить первым при настройке NAT на MikroTik.