RouteROS软路由 VPN方案，双VPN分流方案

qzb820707

1.内网服务器使用2个IP，利用IP分开
2.内网服务器使用2个端口，利用端口分开

先天无极

感觉好复杂啊。。。。。。。。

lyrfan

Hiki  11:10:03
在主VPN服务器标记 VPN指派的IP地址 比如VPN1的指派的192.168.222.3 和 VPN2指派的 192.168.223.3
然后做2个源地址手工NAT 分别引用这两个标记

老莫  11:15:33
然后做2个源地址手工NAT 分别引用这两个标记
老莫  11:16:14
这个意思是说在主VPN上做目标地址为192.168.222.3和192.168.223.3的NAT
老莫  11:17:08
如果是要做NAT的话那就得有一个问题的存在：内网只有一个IP192.168.1.10,同时做到192.168.222.3和192.168.223.3的NAT吗？
Hiki  11:20:42
一、116.93.35.30 要建立两个VPN Client然后分别拨到
VPN1 116.93.35.37并获得192.168.222.3这个IP;
VPN2 116.92.35.38并获得192.168.223.3这个IP;

二、在116.93.35.30里分别标记目的地址192.168.222.3和192.168.223.3

三、然后做2个源地址手工NAT
例如：1. Ip-Firewall-Nat
Chain:srcnat
Src.Address:192.168.10.1
Routing Mark:192.168.222.3
Action:src-nat
To Address 22.22.22.22

1. Ip-Firewall-Nat
Chain:srcnat
Src.Address:192.168.10.1
Routing Mark:192.168.223.3
Action:src-nat
To Address 33.33.33.33



Hiki  11:22:21
有点问题，我再想想。大体是这头绪，源地址和目的地址有点乱
老莫  11:26:36
我昨天有想过这方式，不过跟你有点差别，我一会试一下你提出这方案
老莫  11:26:41
我觉得有可行
Hiki  11:29:05
关键是数据怎么样标记 怎么样在NAT上引用这个标记
Hiki  11:30:09
还有在主路由上关闭掉masquerade测试
Hiki  11:31:03
masquerade做了以后数据走向是查找ip routes表
Hiki  11:31:25
虽然你把 手工nat放在nat表前面，但还是有影响。
Hiki  11:31:33
路由表里有 默认网关即可。
Hiki  11:32:23
现在的做法就让数据关心nat表和标记 不关心路由表
老莫  11:32:27
这个可不可以这样：在主VPN上比如：将从in-interface＝pptp-1进来的数据的源地址先分离出来增加到一个地址列表，然后再做第二个标记，所有要从主PVN再出去到这个地址列表的数据进行标记，再去路由里面指定这个标记全部走VPN1出去
老莫  11:33:07
Hiki  11:32:23
现在的做法就让数据关心nat表和标记 不关心路由表

这个方法也有一定的可行性
老莫  11:33:19
不过得再想想一下
Hiki  11:35:34
你刚才说的标记pptp-1的源地址表 但是这个源IP地址只有VPN1路由知道  主路由并不知道客户1的IP。因为在VPN1路由上已经经过一次NAT转换，主路由接受到得源IP地址是VPN1路由转换过后的192.168.222.3
Hiki  11:37:17
除非想办法让主路由 学习到 VPN1抓出来源IP（公网IP）.或者取消VPN1路由上的NAT转换（但不可能，因为你已经做了80端口的NAT转换）
Hiki  11:38:15
简单点就是  主路由获取不到 公网源IP
老莫  11:41:00
嗯
老莫  11:41:42
主路由上面的确是只能得到那个192.168.222.3
Hiki  11:42:19
我刚才的那个方法也有问题，标记了192.168.222.3 没任何意义
Hiki  11:43:32
因为192.168.10.1返回的数据源地址和目的地址不可能有192.168.222.3
Hiki  11:44:31
标记数据包也不可以 用户1的数据就算打了标签，到192.168.10.1，这个标记同样没了。
老莫  11:44:47
嗯
老莫  11:44:53
这个的确是
Hiki  11:45:04
但我觉得可以实现。
Hiki  11:45:17
现在思路宽了大家继续向。
Hiki  11:46:38
可以考虑减少一个NAT过程。
老莫  11:47:02
就是在主VPN上不做NAT

Hiki  11:47:07
是的
老莫  11:47:12
考虑不在主VPN上不做NAT

Hiki  11:47:31
经过2个NAT转换 再做这种分流是很难得
老莫  11:48:06
但只是做路由策略的话如何做，一个源IP的数据要同时走两条VPN线路跑
并且还得知道那个数据是走那条线的

Hiki  11:48:13
VPN1上的路由直接可以和web服务器通信，
Hiki  11:49:29
但是少了一次NAT就可以获取到两个VPN路由各自的源地址（客户1和客户2的IP），然后就可以标记出来了
Hiki  11:51:01
主VPN上的那一级NAT不可以取消，取消了就失去这个网络结构意义了
老莫  11:51:28
不取消的话没有办法做
Hiki  11:51:31
取消了 主路由就是个摆设了
老莫  11:52:39
除非做那个双网关，直接标记从192.168.1.10出来的数据，然后再在路由内添加两个VPN网关，全部强制这个标记就走这两个网关
Hiki  11:53:41
怎么区分？
老莫  11:54:02
这个就是问题的所在

老莫  11:54:03
分不出来

sadian

老莫  13:42:48
前面的那个VPN的让主VPN学习外部VPN的访问地址弄出来了
老莫  13:42:53
可以学习得到
Hiki  13:43:14
怎么弄？
老莫  13:43:30
就是让里面的主VPN去学习访问到外部VPN客户的公网地址
老莫  13:43:35
要反向来弄
老莫  13:43:47
意思就是让外部的VPN拨号到主VPN
Hiki  13:43:50
怎么个学习方法
Hiki  13:43:55
哦
老莫  13:44:03
不能从主VPN拨号到外部的VPN

Hiki  13:44:10
恩 我想想
老莫  13:44:17
从主VPN拨号到外部的VPN，那是肯定学不到的
Hiki  13:45:53
感觉还是学不到哦
老莫  13:46:00
学得到
老莫  13:46:38
不过最重要的一点就是在做NAT的时候一定一定要指定out.interface


Hiki  13:47:16
这个是小问题，问题是怎么区分？
Hiki  13:47:33
VPN反拨回来 就一定可以学到公网IP？
老莫  13:47:41
区分就直接从学习到的地址列表来区分了
老莫  13:47:51
可以学习得到的

老莫  13:47:57
有空你也做一下试验？
Hiki  13:48:05
解释下 我没太理解。
老莫  13:48:35
比如：从VPN1拨VPN到主VPN服务器，这样就建立了一条VPN线路，
老莫  13:49:20
然后在主VPN里面进行标记：把所有in.interface＝VPN1的源地址全部学习到一个地址列表
老莫  13:49:48
那这个地址列表就可以学到了去访问VPN1的客户的公网地址
Hiki  13:50:19
理解了
老莫  13:50:21
在VPN1和主VPN上面，做NAT时，得指定out.interface为物理的网卡
老莫  13:50:37
一定得指定，否则这个方案不成功
老莫  13:50:40
我试过了
Hiki  13:51:00
指定物理网卡 不可以指定pptp线程对吧
Hiki  13:51:04
这个理解
老莫  13:51:03
是的
老莫  13:52:05
并且还有一点：在VPN1上面做目标地址NAT时，就直接指定：22.22.22.22:80直接就映射到主VPN的内网：192.168.1.10：80上面
老莫  13:52:34
这个映射不需要再通过VPN拨号得到的那些地址进行接力映射了
Hiki  13:52:42
恩。
Hiki  13:53:08
看来以后处理这样问题，思路要打的更开
老莫  13:53:38
但还有一个要求：
Hiki  13:54:21
标记列表过期时间?
老莫  13:54:39
在VPN1上面的路由里面得做一个指定：所有访问主VPN内网192.168.1.10的需要走VPN1拨号获取得到的地址为网关
老莫  13:54:43
得标记
老莫  13:55:51
如果不标记，外面访问的客户只能以最后访问的线路来走，不能再选择前面的VPN线路了
老莫  13:56:33
意思就是：如果他先通过VPN1访问，然后再通过VPN2访问，如果没有标记过期时间，那客户后面就只能通过VPN2来访问，不能再选择VPN1了

Anomalism

有怎么复杂马

宇文氏

2009-6-25 12:37 上传
下载附件 (20.67 KB)




网络环境：
主VPN路由拨号到VPN1和VPN2这两个路由，构建两条VPN线路：VPN线路1和VPN线路2,
需求：
如果用户1访问广州的VPN1路由22.22.22.22的80端口时，将指向到192.168.1.10的80上面，用户2访问上海的VPN2路由33.33.33.33的80端口时，也指向到192.168.1.10的80上面，这个需要通过做端口映射是可以实现了，但现在的问题是我需要实现：从192.168.1.10反馈回去给用户的数据要各自从自己的VPN线路走，即：从192.168.1.10反馈给用户1的数据必须再从VPN线路1出去，用户2的必须要再从VPN线路2出去，这情况下，如何做路由策略？？？