К основному контенту

Настройка IPsec-туннеля между Cisco ASR и Mikrotik

В этой статье рассмотрим, как настроить сайт-ту-сайт IPsec-туннель между маршрутизатором Cisco ASR и Mikrotik RouterOS. Конфигурация основана на реальном кейсе, но все IP-адреса и ключи анонимизированы.

Схема сети

  • Cisco ASR (ЦОД Москва) – Внешний IP: 203.0.113.14, LAN: 10.10.0.0/24
  • Mikrotik (офис Санкт-Петербург) – Внешний IP: 198.51.100.202, LAN: 10.20.0.0/24
  • Pre-shared key (PSK): DemoSecretKey123!

Конфигурация Cisco ASR

crypto ikev2 keyring DEMO_KEYRING
 peer DEMO_PEER
  address 198.51.100.202
  pre-shared-key DemoSecretKey123!
 !
crypto ikev2 profile DEMO_PROFILE
 match identity remote address 198.51.100.202 255.255.255.255
 identity local address 203.0.113.14
 authentication remote pre-share
 authentication local pre-share
 keyring local DEMO_KEYRING

crypto ipsec transform-set DEMO_SET esp-aes 256 esp-sha256-hmac

crypto map DEMO_MAP 10 ipsec-isakmp
 description DEMO_IPSEC
 set peer 198.51.100.202
 set transform-set DEMO_SET
 set pfs group20
 set ikev2-profile DEMO_PROFILE
 match address DEMO_ACL
 reverse-route static

ip access-list extended DEMO_ACL
 permit ip 10.10.0.0 0.0.0.255 10.20.0.0 0.0.0.255

Конфигурация Mikrotik (CLI)

1. Proposal (алгоритмы шифрования)

/ip ipsec proposal
add name=demo-proposal auth-algorithms=sha256 enc-algorithms=aes-256-cbc pfs-group=modp2048

2. Peer (IKEv2)

/ip ipsec peer
add address=203.0.113.14/32 exchange-mode=ike2 secret="DemoSecretKey123!" \
    profile=default comment="Cisco ASR"

3. Policy (сети)

/ip ipsec policy
add src-address=10.20.0.0/24 dst-address=10.10.0.0/24 \
    sa-src-address=198.51.100.202 sa-dst-address=203.0.113.14 \
    tunnel=yes proposal=demo-proposal

Настройка Mikrotik через WebFig / Winbox

Шаг 1. Proposal

  • IP → IPsec → Proposals → Add
  • Name: demo-proposal
  • Auth Algorithms: sha256
  • Enc. Algorithms: aes-256
  • PFS Group: modp2048

Шаг 2. Peer

  • IP → IPsec → Peers → Add
  • Address: 203.0.113.14
  • Auth Method: pre shared key
  • Secret: DemoSecretKey123!
  • Exchange Mode: ike2

Шаг 3. Policy

  • IP → IPsec → Policies → Add
  • Src. Address: 10.20.0.0/24
  • Dst. Address: 10.10.0.0/24
  • SA Src. Address: 198.51.100.202
  • SA Dst. Address: 203.0.113.14
  • Tunnel: yes
  • Proposal: demo-proposal

Проверка работы

  • На Cisco: show crypto ikev2 sa, show crypto ipsec sa
  • На Mikrotik (CLI): /ip ipsec installed-sa print
  • В Winbox/WebFig: IP → IPsec → Active Peers

Типичные ошибки и диагностика

1. Несовпадение алгоритмов

Ошибка: "no proposal chosen". Убедитесь, что шифрование и хэш совпадают на обеих сторонах.

2. Неверный PSK

Ошибка: "peer authentication failed". Проверьте ключ.

3. Неверные ACL/Policy

Туннель поднимается, но трафик не ходит. Сети должны совпадать на Cisco и Mikrotik.

4. NAT мешает

/ip firewall nat
add chain=srcnat src-address=10.20.0.0/24 dst-address=10.10.0.0/24 action=accept

5. MTU и MSS

/ip firewall mangle
add chain=forward action=change-mss new-mss=1360 \
    passthrough=yes protocol=tcp tcp-flags=syn \
    src-address=10.20.0.0/24 dst-address=10.10.0.0/24

6. Диагностика Cisco

show crypto ikev2 sa
show crypto ipsec sa
debug crypto ikev2 protocol
debug crypto ipsec

7. Диагностика Mikrotik

/ip ipsec installed-sa print
/ip ipsec active-peers print
/log print where message~"ipsec"

Заключение

Мы настроили IKEv2/IPsec-туннель между Cisco ASR и Mikrotik. Теперь сети 10.10.0.0/24 и 10.20.0.0/24 связаны через защищённый канал. Если алгоритмы, PSK и политики совпадают — туннель работает стабильно.

Комментарии

Отправить комментарий

Популярные сообщения из этого блога

Настройка и подключение IPSec в Windows

Настройка IPSec на Windows включает в себя создание правил безопасности и фильтров для защиты сетевого трафика. Ниже — пошаговое руководство. Включение службы IPSec Перед настройкой убедитесь, что служба IPSec Policy Agent запущена: Нажмите Win + R , введите services.msc и нажмите Enter . Найдите IPsec Policy Agent . Если она не работает, нажмите ПКМ → Свойства . Установите Тип запуска: Автоматически , затем нажмите Запустить . Настройка политики IPSec через «Локальную политику безопасности» Нажмите Win + R , введите secpol.msc , нажмите Enter . Перейдите в Политики IP-безопасности в локальном компьютере . В правом окне нажмите Создать политику IP-безопасности → Далее . Укажите имя политики (например, "IPSec VPN"), снимите флажок Активировать правило по умолчанию , нажмите Далее . Нажмите Добавить , чтобы создать правило. Транспортный или туннельный режим : Если IPSec для защищенной локальной сети – выберите Транспортный режим . Если IPSec для VPN – выберите Туннельн...
Отправить комментарий
Далее...

Как найти и изменить репозитарии для CentOS 8

В CentOS 8 официальные репозитории (BaseOS, AppStream и Extras) управляются с помощью dnf и файлов конфигурации в /etc/yum.repos.d/ . Вот как их найти и изменить: 1. Просмотр текущих репозиториев dnf repolist Если нужно увидеть подробную информацию: dnf repolist all 2. Изменение репозиториев Файлы конфигурации репозиториев находятся в /etc/yum.repos.d/ . Например, основной репозиторий может быть в файле CentOS-AppStream.repo . Открыть его можно так: nano /etc/yum.repos.d/CentOS-AppStream.repo Внутри можно изменить: enabled=1 → включает репозиторий enabled=0 → отключает репозиторий baseurl= или mirrorlist= → задать новый источник пакетов 3. Замена недоступных репозиториев CentOS 8 достиг конца поддержки , и официальные зеркала больше не работают. Вместо них можно подключить Vault или AlmaLinux/Rocky Linux : Использование архивного репозитория CentOS Vault Создайте резервную копию старых .repo файлов: mkdir /root/repo-backup && mv /etc/yum.repos.d/*.repo /root/repo-backu...
Отправить комментарий
Далее...

Debian 11: настройка сети и имени хоста /etc/network/interfaces, NetworkManager и systemd-networkd

Как настроить сеть в Debian 11? 🔹 1. Настройка через /etc/network/interfaces (Традиционный способ) Этот метод удобен для серверов и минималистичных систем без NetworkManager . Открываем конфигурационный файл: sudo nano /etc/network/interfaces 🔹 DHCP (Автоматическое получение IP) auto eth0 iface eth0 inet dhcp 🔹 Статический IP auto eth0 iface eth0 inet static address 192.168.1.100 netmask 255.255.255.0 gateway 192.168.1.1 dns-nameservers 8.8.8.8 8.8.4.4 🔹 Wi-Fi (WPA2) auto wlan0 iface wlan0 inet dhcp wpa-ssid "Название_сети" wpa-psk "Пароль" 📌 Применение изменений: sudo systemctl restart networking 🔹 2. Настройка через NetworkManager (Удобно для десктопов) Проверяем статус: systemctl status NetworkManager Если не установлен, ставим: sudo apt install network-manager sudo systemctl enable --now NetworkManager 🔹 Графический интерфейс (TUI) nmtui Выберите Edit a connection , настройте параметры и сохраните. 🔹 Консольный способ ( nmcli ...
Отправить комментарий
Далее...