前言:
很久不更新博客了,一直懒得写,最近无聊写写看,本文完全原创;无水印,无授权,欢迎转载,只是麻烦转载时注明下出处!据我所知,网络上应该没有如此详细的ROS做IPSEC教程;
这几天一直在学习Juniper设备的IPsec×××,突发奇想,作为异常牛逼的职业路由器,伟大的RouterOS应该也可以实现;开始动手……
实验环境
虚拟机:VMwareWorkstation 2012
物理机:Win7sp1 64bit
RouterOS:5.2
实验环境,凑合弄个就OK了
为了测试方便,本机开启回环网卡,做A地区内网,桥接虚机vmnet0;
虚机开启vmnet1做B地区内网,同时开启vmnet2做公网(懒得做公网路由,凑合看吧)…
因为ROSB没有直接与物理机连接的网卡,所以使用命令行配置(顺便装下),ROSA使用Winbox配置;
首先分别配置IP:
物理机Local:192.168.1.2/24
ROSA:192.168.1.1/24(LAN) 1.1.1.1/24(WAN)
因为没有默认IP,所以首次需要命令行配置,也可使用setup向导配置IP
ROSB:192.168.2.1/24(LAN) 1.1.1.2/24(WAN)
配置完IP,打开Winbox开始配置
一、创建通道
首先需要开启一条通道,IP或者GRE均可,如果需要和思科等设备连接,建议开启GRE通道;此处开启IP通道
ROSA:单击Interface—>IP Tunnel—>ADD,Local写本地公网IP,Remote写对方公网IP,这里是ROSB的“公网”IP,Apply后状态显示R即可
ROSB:
二、建立路由表
这里需要注意的是,下一跳网关写刚刚建立的IP通道即可
ROSA:单击IP—>Route—>ADD,目标地址写对方内网地址,下一跳为刚刚建立的ipip1,心情不好的可以分别给网卡、通道命个很恶心的名字,建立成功后路由表会显示AS状态
ROSB:
如果配置正确,此时在ROSA上应该可以ping通ROSB的内网地址,也就是192.168.2.1,反之一样,如果不同,请检查网络设置,IP设置等
注:ROS会自动添加192.168.88.1作为管理IP,小心冲突……
三、创建认证信息:
这里认证信息两边相同即可,无需刻意按照本文操作;这个认证信息就当服务端就OK;NAT穿透以及共享密钥必填,这里用123,命令行方式也有相同字段,如果不确定对方来认证的IP,直接写0.0.0.0即可,需要注意的是这里不需要写掩码;
ROSA:单击ip—>ipsec—>peer—>add创建认证
ROSB:
四、创建认证方案:
这个就相当于客户端的认证方式,对端将会以此种方式向本机发起认证请求;默认已经有了,将其中的认证方式勾选为刚刚设置的即可;命令行方式直接修改即可;
ROSA:
单击ip—>ipsec—>propsals,双击默认规则直接修改即可
ROSB:
使用set命令修改
五、创建触发策略:
这条策略意味着只有符合此策略才会触发加密;
ROSA:单击ip—>ipsec—>policies—>add,源ip写本地内网段,目的ip写对方内网段动作等等全部默认,勾选通道模式,SA源地址写本地公网IP,SA目标地址写对方公网IP;
ROSB:
六、创建NAT规则
这里需要做的是源NAT,实现不同子网访问,为了方便,直接做了(透明)模式,这个模式中,所有通过ROS的数据包,均会做srcnat!
ROSA:单击ip—>firewall—>nat—>add,类型选择srcnat,动作直接选masquerade伪装(透明)模式
ROSB:
大功告成
此时通过真机即可ping通“B地区内网”也就是192.168.2.2,TTL为126,做了2次NAT,同时在ros的Installed SAs项中,会看到建立的认证信息,同时在remote peers中可以看到建立的连接信息;第一个ping包需要建立连接,所以会丢包一次;
其实ROS为什么牛逼呢,以往做×××是不是对方子网的机器必须要把×××服务器设
置成网关,或者有路由表指向×××服务器,本地才可以与对方通讯???
嘿嘿,有了ROS,杜甫也不牛逼了!!齐B小短裙也落伍了!!
取消“B地区内网机器的网关”,注意不添加路由表哦!
ping下试试,看到了木有,通了,给力了,牛逼了,有木有0.0/////
注,这里必须是2台ROS才可以哦,有木有,基情四射!!