主页 / server / 问题 / 779287
Accepted
adamsfamily
Asked: 2016-05-27 12:34:36 +0800 CST

使用两个 MikroTik 路由器的站点到站点隧道，其中一个端点位于 NAT（LTE 调制解调器）后面

  • 772

我想互连两个办公室，其中一个具有公共静态IP 地址（主办公室），第二个位于 NAT 后面（没有公共 IP），因为只有一个 LTE 调制解调器。

我能够创建从 LTE 调制解调器到主办公室的单向 VPN 连接，但是否可以在两个办公室之间进行双向 TCP 通信？以便总部的人可以例如 RDP 到分支机构？

（我正在使用两个 MikroTik 路由器板和一个 PPTP 连接。如果需要，我应该能够更改为 L2TP。）。

更新：

我正在应要求提供详细信息：

总局：局域网：192.168.16.0/24
公网IP：MAIN_OFFICE_IP

分公司 LAN：192.168.1.0/24
公共 IP：[DHCP from ISP]

分公司配置：

两个网络接口
一个 PPTP 客户端
绝对基本 防火墙和 NAT 

/interface ethernet
set [ find default-name=ether1 ] name=ether1-gateway
set [ find default-name=ether2 ] arp=proxy-arp name=ether2-master-local

/interface pptp-client
add add-default-route=yes allow=pap,chap,mschap1,mschap2 connect-to=MAIN_OFFICE_IP default-route-distance=1 dial-on-demand=no disabled=no keepalive-timeout=60 max-mru=1450 max-mtu=1450 mrru=1600 name=\
MAIN_OFFICE_VPN password=******** profile=default-encryption user=MAIN_OFFICE_USER

/ip firewall filter
add chain=input comment="default configuration" protocol=icmp
add chain=input comment="default configuration" connection-state=established
add chain=input comment="default configuration" connection-state=related
add action=drop chain=input comment="default configuration" in-interface=ether1-gateway
add chain=forward comment="default configuration" connection-state=established
add chain=forward comment="default configuration" connection-state=related
add action=drop chain=forward comment="default configuration" connection-state=invalid

/ip firewall nat
add action=masquerade chain=srcnat comment="default configuration" out-interface=ether1-gateway to-addresses=0.0.0.0
add action=masquerade chain=srcnat out-interface=MAIN_OFFICE_VPN
add action=dst-nat chain=dstnat dst-address=BRANCH_IP dst-port=100 protocol=tcp

/ip route
add distance=1 dst-address=192.168.16.0/24 gateway=OFFICE_VPN routing-mark=“MAIN_OFFICE_VPN”
openvpn site-to-site-vpn pptp mikrotik

1 个回答

  1. Best Answer
    • 总局局域网：192.168.16.0/24
    • 分公司局域网：192.168.1.0/24
    • 互连局域网：192.168.2.0/30（例如）

    在主办公室路由器上，添加本地地址 192.168.2.1 和远程地址 192.168.2.2 的 PPP 密钥。

    在分支路由器上，将您的 PPTP 客户端创建到主办公室（就像您所做的那样），它应该获得正确的 IP (192.168.2.2)。

    然后你只需要添加2条路线：

    在主路由器上：通过 192.168.2.2 路由 192.168.1.0/24

    在分支路由器上：通过 192.168.2.1 路由 192.168.16.0/24

    不需要 NAT 或特定的防火墙/修改规则。

    所以这给出了 Mikrotik 语言：

    Main router:
/ppp secret
add name=branch password=foobar profile=default-encryption remote-address=192.168.2.2 local-address=192.168.2.1 service=pptp 
/ip route 
add dst-address=192.168.1.0/24 gateway=192.168.2.2

Branch Router
/interface pptp-client
add connect-to=OFFICE_IP disabled=no name=pptp-office password=\
    foobar profile=default-encryption user=branch
/ip route 
add dst-address=192.168.16.0/24 gateway=192.168.2.1
    • 1

相关问题