前言:

很久不更新博客了,一直懒得写,最近无聊写写看,本文完全原创;无水印,无授权,欢迎转载,只是麻烦转载时注明下出处!据我所知,网络上应该没有如此详细的ROS做IPSEC教程;

 

这几天一直在学习Juniper设备的IPsec***,突发奇想,作为异常牛逼的职业路由器,伟大的RouterOS应该也可以实现;开始动手……

 

实验环境

虚拟机:VMwareWorkstation 2012

物理机:Win7sp1 64bit

RouterOS:5.2

 

实验环境,凑合弄个就OK了

为了测试方便,本机开启回环网卡,做A地区内网,桥接虚机vmnet0;

虚机开启vmnet1做B地区内网,同时开启vmnet2做公网(懒得做公网路由,凑合看吧)…

因为ROSB没有直接与物理机连接的网卡,所以使用命令行配置(顺便装下),ROSA使用Winbox配置;

 

首先分别配置IP:

物理机Local:192.168.1.2/24

ROSA:192.168.1.1/24(LAN) 1.1.1.1/24(WAN)

因为没有默认IP,所以首次需要命令行配置,也可使用setup向导配置IP

ROSB:192.168.2.1/24(LAN) 1.1.1.2/24(WAN)

配置完IP,打开Winbox开始配置

一、创建通道

首先需要开启一条通道,IP或者GRE均可,如果需要和思科等设备连接,建议开启GRE通道;此处开启IP通道

ROSA:单击Interface—>IP Tunnel—>ADD,Local写本地公网IP,Remote写对方公网IP,这里是ROSB的“公网”IP,Apply后状态显示R即可

ROSB:

二、建立路由表

这里需要注意的是,下一跳网关写刚刚建立的IP通道即可

ROSA:单击IP—>Route—>ADD,目标地址写对方内网地址,下一跳为刚刚建立的ipip1,心情不好的可以分别给网卡、通道命个很恶心的名字,建立成功后路由表会显示AS状态

ROSB:

如果配置正确,此时在ROSA上应该可以ping通ROSB的内网地址,也就是192.168.2.1,反之一样,如果不同,请检查网络设置,IP设置等

注:ROS会自动添加192.168.88.1作为管理IP,小心冲突……

 

三、创建认证信息:

这里认证信息两边相同即可,无需刻意按照本文操作;这个认证信息就当服务端就OK;NAT穿透以及共享密钥必填,这里用123,命令行方式也有相同字段,如果不确定对方来认证的IP,直接写0.0.0.0即可,需要注意的是这里不需要写掩码;

ROSA:单击ip—>ipsec—>peer—>add创建认证

ROSB:

 

四、创建认证方案:

这个就相当于客户端的认证方式,对端将会以此种方式向本机发起认证请求;默认已经有了,将其中的认证方式勾选为刚刚设置的即可;命令行方式直接修改即可;

ROSA:

单击ip—>ipsec—>propsals,双击默认规则直接修改即可

ROSB:

使用set命令修改

 

五、创建触发策略:

这条策略意味着只有符合此策略才会触发加密;

ROSA:单击ip—>ipsec—>policies—>add,源ip写本地内网段,目的ip写对方内网段动作等等全部默认,勾选通道模式,SA源地址写本地公网IP,SA目标地址写对方公网IP;

 

ROSB:

 

六、创建NAT规则

这里需要做的是源NAT,实现不同子网访问,为了方便,直接做了(透明)模式,这个模式中,所有通过ROS的数据包,均会做srcnat!

ROSA:单击ip—>firewall—>nat—>add,类型选择srcnat,动作直接选masquerade伪装(透明)模式

ROSB:

 

大功告成

此时通过真机即可ping通“B地区内网”也就是192.168.2.2,TTL为126,做了2次NAT,同时在ros的Installed SAs项中,会看到建立的认证信息,同时在remote peers中可以看到建立的连接信息;第一个ping包需要建立连接,所以会丢包一次;

 

其实ROS为什么牛逼呢,以往做***是不是对方子网的机器必须要把***服务器设

置成网关,或者有路由表指向***服务器,本地才可以与对方通讯???

嘿嘿,有了ROS,杜甫也不牛逼了!!齐B小短裙也落伍了!!

取消“B地区内网机器的网关”,注意不添加路由表哦!

ping下试试,看到了木有,通了,给力了,牛逼了,有木有0.0/////

注,这里必须是2台ROS才可以哦,有木有,基情四射!!