VPN Mikrotik <-> Fritz!Box 7390

Mikrotik posiada wielkie możliwości łączenia sieci przez VPN, niestety w domu posiadam Fritz!Boxa 7390. Ma on wbudowany serwer/klient VPN IPsec, ale konfiguracja jest beznadziejna (chyba wiem, dlaczego Niemcy przegrali wojnę 😉 )

Po wielu kombinacjach udało mi się zestawić połączenie IPsec między domowym ruterem a mikrotikiem.

Najpierw należy wygenerować konfigurację VPN dla Frytza:

vpncfg {
connections {
enabled = yes;
editable = yes;
conn_type = conntype_lan;
name = „IPSec2Mkt”;            // Nazwa połączenia
boxuser_id = 0;
always_renew = yes;
reject_not_encrypted = no;
dont_filter_netbios = yes;
localip = 0.0.0.0;
local_virtualip = 0.0.0.0;
remoteip = xxx.xxx.xxx.xxx;      // IP Mikrotika
remote_virtualip = 0.0.0.0;
keepalive_ip = 0.0.0.0;
localid {
fqdn = „$$$$D2GZVKMCVTYZFEPAH1FJ4JGTX6URTE1SVAHTUJ3GBHRJUZ251NFNDE3MCQYZ21RWWNJ1NWPIBYP6G32J”;
}
remoteid {
ipaddr = xxx.xxx.xxx.xxx;   // IP Mikrotika
}
mode = phase1_mode_idp;
phase1ss = „alt/aes/sha”;
keytype = connkeytype_pre_shared;
key = „PRESHAREDKEY”;         // Presharedkey
cert_do_server_auth = no;
use_nat_t = yes;
use_xauth = no;
use_cfgmode = no;
phase2localid {
ipnet {
ipaddr = 192.168.178.0;      // sieć lokalna
mask = 255.255.255.0;
}
}
phase2remoteid {
ipnet {
ipaddr = 192.168.88.0;      // sieć zdalna
mask = 255.255.255.0;
}
}
phase2ss = „esp-3des-sha/ah-no/comp-no/pfs”;
accesslist = „permit ip any 192.168.88.0 255.255.255.0”;
}
ike_forward_rules = „udp 0.0.0.0:500 0.0.0.0:500”,
„udp 0.0.0.0:4500 0.0.0.0:4500”;
}

// EOF

Po zapisaniu jej do pliku, trzeba wgrać ją do rutera: Internet, Permit Access, VPN, Add a VPN connection, Import a VPN configuration from an existing VPN settings file.

Teraz druga strona, czyli Mikrotik:

/ip ipsec proposal

add name=fritz auth-algorithms=sha1 enc-algorithms=3des pfs-group=modp1024

/ip ipsec peer

add address=_IP_Fritza_ port=500 auth-method=pre-shared-key secret=PRESHAREDKEY \ exchange-mode=aggressive send-initial-contact=no nat-traversal=no \
proposal-check=obey hash-algorithm=sha1 enc-algorithm=aes-256 dh-group=modp1024 \ generate-policy=port-override

/ip ipsec policy

add src-address=192.168.178.0/24 dst-address=192.168.88.0/24 protocol=all \
template=yes action=encrypt level=require ipsec-protocols=esp proposal=fritz

 

W zasadzie to wszystko, w końcu mam dostęp do Mikrotika z całej sieci domowej.