Ipsec site to site

[varton27]

Ciao a tutti,

sono nuovo del forum, spero che sia la sezione giusta per il mio problema.
Ho due routerboard Mikrotik rb493ab vers. 6.23 è dovrei creare un ipsec site to site tra due sedi.
In entrambi le sedi ho un modem telecom (con porte aperte UDP 500,4500 e tcp 50,51) e le routerboard sono configurate tramite ip statico sui modem.
Ho provato varie configurazioni ipsec ma tutte senza successo (forse perchè tutte orientate su connessioni pppoe) Come guida quella che si avvicina più al mio caso si trova su questo link http://www.ubuntuserver.it/mikrotik-ipsec-behind-nat/ ma anche essa senza successo. Esiste una guida adatta al mio caso?
Grazie
Antonio

[Nirinny93]

Gli ip pubblici sono nattati o sono configurati direttamente sulle rb?


Inviato dal mio iPhone utilizzando Tapatalk

[varton27]

I miei ip pubblici sono nattati...le rb sono configurate cn ip statico sui modem wan1=192.168.10.1 e wan2=192.168.30.1

[Nirinny93]

Fammi un report della configurazione dell ipsec e delle policy


Inviato dal mio iPhone utilizzando Tapatalk

[Nirinny93]

*export non report


Inviato dal mio iPhone utilizzando Tapatalk

[varton27]

Rb1 (dove Ip pubblico modem 79.xx.xx.xx e ip statico rb 192.168.10.99)

/ip ipsec peer
add address=151.xx.xx.xx/32 comment="IpSec -> Potenza" dpd-interval=\
disable-dpd enc-algorithm=aes-128 nat-traversal=no secret=xxxxxx
/ip ipsec policy
set 0 disabled=yes
add comment="IPsec -> P2" dst-address=192.168.2.0/24 sa-dst-address=\
151.xx.xx.xx sa-src-address=192.168.10.99 src-address=192.168.1.0/24 \
tunnel=yes
/ip firewall filter
add chain=input comment=IKE dst-port=500 in-interface=WAN1 protocol=udp
add chain=input comment=ESP in-interface=WAN1 protocol=ipsec-esp
add chain=input comment=AH in-interface=WAN1 protocol=ipsec-ah
/ip firewall nat
add chain=srcnat comment="Nat Vpn " dst-address=192.168.2.0/24 src-address=\
192.168.1.0/24

Rb2 (dove indirizzo pubblico 151.xx.xx.xx e ip statico rb 192.168.30.99)

/ip firewall filter
add chain=input comment=IKE dst-port=500 in-interface=WAN1 protocol=udp
add chain=input comment=ESP in-interface=WAN1 protocol=ipsec-esp
add chain=input comment=AH in-interface=WAN1 protocol=ipsec-ah
/ip firewall nat
add chain=srcnat comment="Nat Vpn" dst-address=192.168.1.0/24 src-address=\
192.168.2.0/24
add action=masquerade chain=srcnat
/ip ipsec peer
add address=79.xx.xx.xx/32 dpd-interval=disable-dpd enc-algorithm=aes-128 \
nat-traversal=no secret=xxxxxxxx
/ip ipsec policy
set 0 disabled=yes
add dst-address=192.168.1.0/24 sa-dst-address=79.xx.xx.xx sa-src-address=\
192.168.30.99 src-address=192.168.2.0/24 tunnel=yes

[varton27]

Finalmente ho capito il problema....risolto. Cmq grazie x l interessamento.

[pioccd]

In che modo hai risolto? potrebbe essere utile a qualcun altro

[varton27]

Ho eliminato queste regole in entrambe le routerboard
add chain=input comment=IKE dst-port=500 in-interface=WAN1 protocol=udp
add chain=input comment=ESP in-interface=WAN1 protocol=ipsec-esp
add chain=input comment=AH in-interface=WAN1 protocol=ipsec-ah
la restante parte della configurazione è ok.

Poi ho aggiunto le rb nella DMZ

Funziona.