2024-3-17 myluzh
RouterOS
0x01 前言
使用的设备是 Mikrotik RB750gr3 + RouterOS Version 7.14.1 (stable)。
v7版本网上教程比较少，踩过很多坑有很多细节需要注意，所以打算记录下。
v7对于v6版本而言，OVPN Client新增了 Auth：sha256/sha512，Cipher：ase 256 gcm，并且可以支持UDP。
大概实现逻辑拓扑如下：
0x02 ROS配置OVPN Client
1、首先展示下对端OVPN Server配置
[root@hk_server ~]# cat /etc/openvpn/server.conf
# 指定监听的地址和端口
local 0.0.0.0
port 1195
# 选择使用的协议，可以是udp或tcp
proto tcp
# 指定使用的网络设备名称，
# dev tap是以太网桥接模式，dev tun是隧道ip模式
dev tap
# 指定使用的证书和密钥文件
ca /etc/openvpn/ca.crt
cert /etc/openvpn/server.crt
key /etc...
阅读全文>>
标签: routeros ros rb750gr3 ovpn mikrotik
评论(0)
(133)
2023-6-17 myluzh
RouterOS
0x01 架构图
本地侧使用的设备是Mikrotik RB750gr3 RouterOSv6.49.8，云侧使用的是腾讯云。需要打通的是本地侧的172.16.0.0/16与云端10.206.0.0/16。
看了一整晚的教程，踩了很多坑，所以决定自己梳理下。
0x02 云侧网关&通道配置
1.新建VPN网关
名字随便起，所属网络选择你要打通内网的VPC。等待创建完成后你就会拿到一个公网IP，这个IP就是云侧VPN网关IP。
2.建立VPN通道
通信模式可选目的路由和SPD策略类型，我这边选择是SPD策略（本地网段填写10.206.0.0/16 对端网段填写172.16.0.0/16）
配置IKE和IPSec时请确保云侧配置和本地配置一致、相匹配，以防因两端协议配置不一致而通道不通。如下图：
3.将去往本地内网路由指向VPN网关
这样云侧就全部配置完成了~
0x03 ROS配置
1.新建Profiles
进入IP-IPsec-Profiles，新建一个，Name随便写，这里的IKE认证算法，加密算法，DH Group要跟云侧配置的一样。DH Group1 就是modp768。
2.配置Peers
Na...
阅读全文>>
标签: routeros ros vpc ipsec
评论(0)
(392)
2023-5-6 myluzh
RouterOS
0x01 添加DDNS地址到AddressLists
IP-Firewall，然后在上菜单栏选择Address lists，接着点击加号进入设置页面，Name填WAN_IP，Address填写DDNS地址。
他会通过域名自己解析出对应的IP，等下地址映射需要用到。
0x02 添加回流
1.新建一条规则，Chain为"srcnat"，SrcAddress为内网客户端地址。
Action选择"masquerade"保存。
0x03 添加端口映射
新建一条规则，Chain为“dstnat”，DstPort为外网访问的端口。
Action选择“dst-nat”，ToAddresses&Port为需要映射出去的内网服务器的IP跟端口
0x99 其他
参考链接：https://post.smzdm.com/p/ar0v0x2q/
阅读全文>>
标签: routeros nat 回流 地址映射
评论(0)
(283)
2023-3-23 myluzh
RouterOS
0x01 需求
目前出口有两条：1.pppoe-out-yd（移动pppoe出口）2.pppoe-out-dx（电信pppoe出口）
需要源地址172.16.20.0/24 无线网络网段 走移动出口，不走电信默认出口。其他走电信出口。
0x02 实现
方案一、通过mangle表实现
（1）添加标记
IP->Firewall->Mangle->+->Mangle Rule->
General 选项卡：Chain选择“prerouting”，Src.Address选择“172.16.20.0/24”
Action选项卡：Action选择“mark routing”，New Routing Mark输入一个标记“wifi”
（2）添加路由
IP->Routes->+
Det.Address填写“0.0.0.0/0”，Routing Mark选择刚刚的标记“wifi”，Gateway选择"pppoe-out-yd"
方案二、通过route rule实现
1.在IP->Roue->Rules下新建，匹配Src.A...
阅读全文>>
标签: routeros 策略路由
评论(0)
(236)
2023-1-31 myluzh
OpenVPN
设备:rb750gr3
ROS版本:v6.49.7
一、创建证书
1.创建CA证书
进入System->Certificates->Certificates页面，创建证书。
在General页面填写Name与CommonName为"ovpnCA"。切换到Key Usage选项卡，勾选"key cert. sign","crl sign"。
完成后点击 Apply 后点击 Sign 进行签名。其中，Certificate 选择刚刚创建的 CA 证书，CA CRL Host 填写路由器的地址，最后点击 Start，开始签名。签名完成后，重新回到 General 页面，检查是否勾选了 Trusted 标记。
2.创建服务器证书
与创建 CA 证书方式一样，填写 General页面下的Name与CommonName为"ovpnServer"。切换到 Key Usage 页面，勾选"digital signature"，"key encipherment"，"tls server"。
点击 Apply 后点击 Sign 进行签名。在Sign页面CA选项中需要选择刚刚创建的CA证书进行签...
阅读全文>>
标签: routeros openvpn
评论(0)
(524)
2023-1-29 myluzh
RouterOS
使用Terminal：
add action=dst-nat chain=dstnat dst-port=8081 in-interface=pppoe-out-dx protocol=tcp to-addresses=192.168.10.221 to-ports=80
使用winbox设置：
1、IP --- Firewall，NAT选项卡, 点击 "+"
2、进入NAT Rule界面：
Chain：dstnat；
Protocol：tcp；
Dst.Port：8081（外网端口号）；
In.Interface：pppoe-out1（外网接口名称，如果不选就是所有外网接口）
3、在Action选项中
Action选择为：dst-nat；
To.Address：10.0.0.10(此处为内网设备的IP地址)
To Prots：80（此处为内网设备提供服务的端口）。
阅读全文>>
标签: routeros nat 端口映射 Firewall
评论(0)
(357)