2024-3-17 myluzh
RouterOS
0x01 前言
使用的设备是 Mikrotik RB750gr3 + RouterOS Version 7.14.1 (stable)。
v7版本网上教程比较少,踩过很多坑有很多细节需要注意,所以打算记录下。
v7对于v6版本而言,OVPN Client新增了 Auth:sha256/sha512,Cipher:ase 256 gcm,并且可以支持UDP。
大概实现逻辑拓扑如下:
0x02 ROS配置OVPN Client
1、首先展示下对端OVPN Server配置
[root@hk_server ~]# cat /etc/openvpn/server.conf
# 指定监听的地址和端口
local 0.0.0.0
port 1195
# 选择使用的协议,可以是udp或tcp
proto tcp
# 指定使用的网络设备名称,
# dev tap是以太网桥接模式,dev tun是隧道ip模式
dev tap
# 指定使用的证书和密钥文件
ca /etc/openvpn/ca.crt
cert /etc/openvpn/server.crt
key /etc...
阅读全文>>
标签: routeros ros rb750gr3 ovpn mikrotik
评论(0)
(149)
2024-3-15 myluzh
RouterOS
0x01 前言
使用的设备是Mikrotik RB750gr3 RouterOSv6.49.8
文章内容只对v6版本有效,v7有些地方有些不同,有空再写一篇v7的。
0x02 ROS获取CN地址列表
1、打开ros终端,获取CN地址列表,直接[下载CN文件]拖拽进去也可以。
/tool fetch url=http://www.iwik.org/ipcountry/mikrotik/CN
2、导入地址到firewall的address lists
/import file-name=CN
3、查看一下Fiewwall address lists,确认都导入成功。
注意还需要手动把私有地址段也加入到CN地址列表 10.0.0.0/8 172.16.0.0/12 192.168.0.0/16,要不然会有问题。
0x02 流量标记&国内外分流
1、Fiewwall -> Address List 新建一个Proxy列表,把需要"留学"的内网IP加入里面。
2、Fiewwall -> Mangle 建立prerouting标记规则proxy,排除访问目标cn地址网段。
意思就是把源地址为P...
阅读全文>>
标签: ros cn 分流 mikrotik
评论(0)
(82)
2023-6-17 myluzh
RouterOS
0x01 架构图
本地侧使用的设备是Mikrotik RB750gr3 RouterOSv6.49.8,云侧使用的是腾讯云。需要打通的是本地侧的172.16.0.0/16与云端10.206.0.0/16。
看了一整晚的教程,踩了很多坑,所以决定自己梳理下。
0x02 云侧网关&通道配置
1.新建VPN网关
名字随便起,所属网络选择你要打通内网的VPC。等待创建完成后你就会拿到一个公网IP,这个IP就是云侧VPN网关IP。
2.建立VPN通道
通信模式可选目的路由和SPD策略类型,我这边选择是SPD策略(本地网段填写10.206.0.0/16 对端网段填写172.16.0.0/16)
配置IKE和IPSec时请确保云侧配置和本地配置一致、相匹配,以防因两端协议配置不一致而通道不通。如下图:
3.将去往本地内网路由指向VPN网关
这样云侧就全部配置完成了~
0x03 ROS配置
1.新建Profiles
进入IP-IPsec-Profiles,新建一个,Name随便写,这里的IKE认证算法,加密算法,DH Group要跟云侧配置的一样。DH Group1 就是modp768。
2.配置Peers
Na...
阅读全文>>
标签: routeros ros vpc ipsec
评论(0)
(403)
2023-5-6 myluzh
RouterOS
0x01 添加DDNS地址到AddressLists
IP-Firewall,然后在上菜单栏选择Address lists,接着点击加号进入设置页面,Name填WAN_IP,Address填写DDNS地址。
他会通过域名自己解析出对应的IP,等下地址映射需要用到。
0x02 添加回流
1.新建一条规则,Chain为"srcnat",SrcAddress为内网客户端地址。
Action选择"masquerade"保存。
0x03 添加端口映射
新建一条规则,Chain为“dstnat”,DstPort为外网访问的端口。
Action选择“dst-nat”,ToAddresses&Port为需要映射出去的内网服务器的IP跟端口
0x99 其他
参考链接:https://post.smzdm.com/p/ar0v0x2q/
阅读全文>>
标签: routeros nat 回流 地址映射
评论(0)
(300)
2023-3-23 myluzh
RouterOS
0x01 需求
目前出口有两条:1.pppoe-out-yd(移动pppoe出口)2.pppoe-out-dx(电信pppoe出口)
需要源地址172.16.20.0/24 无线网络网段 走移动出口,不走电信默认出口。其他走电信出口。
0x02 实现
方案一、通过mangle表实现
(1)添加标记
IP->Firewall->Mangle->+->Mangle Rule->
General 选项卡:Chain选择“prerouting”,Src.Address选择“172.16.20.0/24”
Action选项卡:Action选择“mark routing”,New Routing Mark输入一个标记“wifi”
(2)添加路由
IP->Routes->+
Det.Address填写“0.0.0.0/0”,Routing Mark选择刚刚的标记“wifi”,Gateway选择"pppoe-out-yd"
方案二、通过route rule实现
1.在IP->Roue->Rules下新建,匹配Src.A...
阅读全文>>
标签: routeros 策略路由
评论(0)
(242)
2023-1-29 myluzh
RouterOS
使用Terminal:
add action=dst-nat chain=dstnat dst-port=8081 in-interface=pppoe-out-dx protocol=tcp to-addresses=192.168.10.221 to-ports=80
使用winbox设置:
1、IP --- Firewall,NAT选项卡, 点击 "+"
2、进入NAT Rule界面:
Chain:dstnat;
Protocol:tcp;
Dst.Port:8081(外网端口号);
In.Interface:pppoe-out1(外网接口名称,如果不选就是所有外网接口)
3、在Action选项中
Action选择为:dst-nat;
To.Address:10.0.0.10(此处为内网设备的IP地址)
To Prots:80(此处为内网设备提供服务的端口)。
阅读全文>>
标签: routeros nat 端口映射 Firewall
评论(0)
(368)