將中國的Ether5/Wlan2 搬到香港 BCP over SSTP - MikroTik / RouterOS - 路由器討論 (Router) - 電訊茶室

Rank: 1

1^# 跳轉到 »

發表於 2018-3-5 12:38 | 顯示全部帖子

本帖最後由 gfx86674 於 2018-3-5 12:51 編輯

sstp-tunnel建立bcp如yiucsw兄說是可行的,小弟也證實了:
Server:

Client:

一般VPN連線:
Server會顯示DR(Dynamic|Running) ; Client則顯示R(Running)

BCP狀態時,因為VPN橋接了其它接口:
Server會顯示DRS(Dynamic|Running|Slave) ; Client則顯示RS(Running|Slave)

Rank: 1

2^#

發表於 2018-3-6 00:49 | 顯示全部帖子

本帖最後由 gfx86674 於 2018-3-6 01:13 編輯

中國境內：雙線路/Failover, 原本以為要加Static Route, 加PBRroute,,,..
想了一下好像是不用的。
我的做 ...
yiucsw 發表於 2018-3-5 23:11

用sstp做bcp ,反正sstp-client一定會取得sstp的虛擬地址,不如在HK /ppp secret將虛擬地址固定
(local-address=172.16.0.0 /remote-address=172.16.0.1)

HK (192.168.5.0/24)：
/ppp secret

dst-address/gateway/distance之間用"空格"區隔

CN (192.168.1.0/24)：
/ip route

這樣192.168.cn.0/24就與192.168.hk.0/24連接了

附件: 您需要登錄才可以下載或查看附件。沒有帳號？註冊

Rank: 1

3^#

發表於 2018-3-6 08:11 | 顯示全部帖子

回復 gfx86674
想問問如何知道Traffic 是通過BCP 還是 IP layer 3 routing?
可能IP 是Route 進不到BCP br ...
yiucsw 發表於 2018-3-6 04:16

traffic是layer3 routing，用的是sstp-tunnel的地址;只有裝置使用ethernet時才會是layer2。

用您熟悉的在interface設192.168.cn.x或192.168.hk.x也行，但一樣是layer3 routing。

Rank: 1

4^#

發表於 2018-7-1 12:06 | 顯示全部帖子

SSTP-BCP:

client:可以對192.168.32.1(RouterA)與192.168.32.114(PC)試ping
server:可以對192.168.32.126(RouterB)試ping

BCP建立後 ,Server與Client端在/ip arp都會有相同mac-address紀錄

附件: 您需要登錄才可以下載或查看附件。沒有帳號？註冊

Rank: 1

5^#

發表於 2018-7-1 17:17 | 顯示全部帖子

本帖最後由 gfx86674 於 2018-7-1 17:49 編輯

回復 25# yiucsw
RouterA(vpn-server)只有一個bridge-lan(name=bridge) ,網域是192.168.32.0/25

<sstp-bcp>只有當vpn用戶端連線成功時,才會自動加入bridge

RouterB(vpn-client)有兩個bridge ,
分別內部的bridge-lan(網域192.168.88.0/25),與bridge-bcp(橋接sstp-bcp與eth5)

sstp-bcp只當vpn連線成功時,才會自動加入bridge-bcp

RouterA(sstp-server)設置:
/interface sstp-s server

/ppp profile新增:

/ppp secret新增:

RouterB(sstp-client)設置:
/ppp profile新增:

/interface sstp-c 新增:

/ip address 將bridge-bcp加入RouterA的網域:

將bridge-bcp定義ip為192.168.32.126/25
＃即使bridge-bcp沒定義192.168.32.126/25也不影響BCP連線
#但設置可方便RouterB管理者用ping驗證,是否與RouterA連接上.

以上完成BCP的步驟, 只要RouterB的eth5接上裝置,
就會橋接至RouterA ,與RouterA的裝置處在相同的網段,相同的網路環境.
－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
以上....若RouterB在中國 ,RouterB的eth2-eth4的裝置可否借BCP翻牆?

可以的,但您要讓RouterA(香港)先知道有192.168.88.0/25這個網段
在RouterA(香港) /ip route新增:

這樣RouterA就知道了192.168.88.0/25是與192.168.32.126有關聯的

再來是RouterB(中國)的翻牆設置,首先您要將CN的ip的清單匯入RouterB...
步驟可參考http://www.telecom-cafe.com/forum/viewthread.php?tid=7047&extra=page%3D2

在RouterB(中國)的/ip firewall mangle新增:

這樣翻牆設置就完成了,不需像一般policy route再設置Route與NAT

Rank: 1

6^#

發表於 2018-8-6 20:00 | 顯示全部帖子

本帖最後由 gfx86674 於 2018-8-6 23:58 編輯

回復 27# yiucsw
sstp連線一定會有local/remote-address ,兩邊都是...

橋接interface是sstp附加的,
也就是不管有沒有開bcp橋接interface,一點也不會改變原來sstp舊有的路由能力.

我可以使用sstp的(192.168.0.246/192.168.0.240)橋接192.168.88.0/25與192.168.32.0/25 ,

不過我想說既然用bcp將本地橋接到遠端了,
那我可將本地bridge-bcp定義個地址192.168.32.126 ,這樣本地的router就和遠端是同網段了.
192.168.32.0/25與192.168.88.0/25即父與子路由關係,不必經192.168.0.246/192.168.0.240仲介.

不是說192.168.0.246/192.168.0.240仲介不好,我只是提個樣版給您參考,這也是個方法!!

另外192.168.32.0/25 為何用是25 ,非24?
這是遮罩表式法:
/24 (subnet:255.255.255.0)=> 192.168.32.0-192.168.32.255
/25 (subnet:255.255.255.128)=> 192.168.32.0-192.168.32.127

所以
192.168.32.0/25(192.168.32.0-192.168.32.127)+ 192.168.32.128/25 (192.168.32.128-192.168.32.255)
=192.168.32.0/24 (192.168.32.0-192.168.32.255)

也因家裡的電腦沒這麼多,為了方便管理所以故意將遮罩切小.
/25 (subnet:255.255.255.128)=> 192.168.32.0-192.168.32.127
/26 (subnet:255.255.255.192)=> 192.168.32.0-192.168.32.63
/27 (subnet:255.255.255.224)=> 192.168.32.0-192.168.32.31
/28 (subnet:255.255.255.240)=> 192.168.32.0-192.168.32.15
/29 (subnet:255.255.255.248)=> 192.168.32.0-192.168.32.7
/30 (subnet:255.255.255.252)=> 192.168.32.0-192.168.32.3
/31 (subnet:255.255.255.254)=> 192.168.32.0-192.168.32.1
/32 (subnet:255.255.255.255)=> 192.168.32.0

您或許會問為何不用pool來控制dhcp-server配發ip的範圍?

您應該知道vpn的網段要與lan網段要分開,路由表才不會衝突.
vpn用戶端才能連結server端的伺服器(否則就要開proxy-arp偽裝成router地址)

但我希望lan-pool與vpn-pool都在192.168.32.0/24 ,我該怎麼做?
答案是lan用192.168.32.0/25 ,vpn用192.168.32.128/25 ,

即將192.168.32.0/24切割成兩個網段不就解決了嘛.希望這有幫到您

Rank: 1

7^#

發表於 2018-8-11 23:16 | 顯示全部帖子

回復 30# yiucsw
兩邊profile的bridge欄位對調即可.

變成RouterA新增bridge-bcp橋接器 ,RouterA的ethernet橋接到bridge-bcp上.
profile的bridge欄位設置bridge-bcp;

RouterB則是不需新增bridge-bcp橋接器 ,profile的bridge的欄位則設置bridge(Lan)

Rank: 1

8^#

發表於 2018-8-20 10:56 | 顯示全部帖子

回復 gfx86674

謝謝！還是DHCP 有點問題。
我現在沒有Block DHCP broadcast,WIFI 是連BCP bridge, 所有 ...
yiucsw 發表於 2018-8-19 18:03

可以把兩端的架構用圖示說明嗎,不然不曉得您在說什麼

Rank: 1

9^#

發表於 2018-9-4 23:35 | 顯示全部帖子

重做RouterB - 其他Ether port 的部分... "RouterB(中國)的翻牆設置,首先您要將CN的ip的清單匯入RouterB... ...
yiucsw 發表於 2018-9-3 04:51

dns-server不要用互連網的 ,
site-to-site後要設置HK Router架的dns-server(192.168.x.x)

Rank: 1

10^#

發表於 2018-9-20 15:09 | 顯示全部帖子

本帖最後由 gfx86674 於 2018-9-20 15:35 編輯

回復 36# yiucsw
local => Router itself
(Router-Address-list ,包含在/ip address內記錄的所有固定與浮動地址)

in-interface=ether1搭dst-address=local ,即從ether1進入,目地連接到Router的所有連線;若勾選invert(反向器) ,則代表從ether1進入,目的地非Router的所有連線.

local不搭interface時,廣範代表Router地址清單 ;
搭interface時則是指定router某個接口或出口的地址,這對於浮動地址的設置時,是很便利的.