VPN tunnel

[Kopieerapparaat]

Hoi allemaal,
Ik wil graag een vpn tunnel opzetten tussen 2 mikrotik hap lite apparaten, maar ik kan er niet achter komen hoe dit aan te pakken in mijn situatie. Situatie is als volgt: In het verenigingsgebouw hangt een logo 0ba8 van Siemens die extern geregeld moet kunnen worden. De internetverbinding ter plekke is een geleend lijntje van de buren die eveneens besturingen regelen via vpn, en de rest van het netwerk dichtgetimmerd hebben. Het lijntje is afkomstig van een router bij de buren. Nu wil ik dus de ene mikrotik aan de aangeboden lijn hangen, en dan naar de Siemens die ik benaderen moet via poort 102.

De andere kant van de tunnel is de 2e mikrotik die aan een Technicolor modemrouter van Ziggo hangt. Ik zou dus de Siemens vanaf het internet willen kunnen bereiken via mijn eigen externe ip adres, en dan via de tunnel over het netwerk van de buren ter plekke.

Extern ip ---> ziggo router ---> mikrotik ==tunnel==router buren==> mikrotik ---> Siemens.

De tunnel zou dan opgebouwd moeten worden tussen de beide mikrotik apparaten.
Kan het zo wel werken?

[laurens0619]

Ja, je moet waarsch nog wel een ip aan de tunnel koppelen op de mikrotik en die bridgen met lan. Daar kun je dan de externe poort naar opzetten

[Kopieerapparaat]

Dus ik kan op de beide mikrotik doosjes de tunnel configureren met ipsec of pptp, waarbij de ene een server functie krijgt (achter de ziggo router) en de andere een cliënt (Siemens kant). Ik moet dan beide doosjes in bridge mode zetten en ze een static ip adres geven in de routers waar ze achter hangen. Zijn er nog poorten nodig voor de tunnel zelf?

[laurens0619]

Alleen voor de vpn, bv openvpn via 443 (doe ik altijd om firewall geneuzel te voorkomeb)

[Kopieerapparaat]

Ik heb weinig ervaring met vpn, maar ik begrijp dat ik de tunnel op zich een ip adres kan toekennen in de mikrotik. Dat is aan beide kanten dus hetzelfde. Wellicht is daar wel wat over te vinden in Google. De routers aan beide kanten geven met openstelling van de bijbehorende poort dus geen problemen.

[DJSmiley]

laurens0619 schreef op woensdag 1 februari 2017 @ 22:18:
Alleen voor de vpn, bv openvpn via 443 (doe ik altijd om firewall geneuzel te voorkomeb)

Op een mikrotik zou ik gaan voor SSTP, dat gaat ook over poort 443

PPtP is een antiek iets wat ik om veiligheidsredenen niet zou gebruiken. IPSec kan, maar met SSTP zit je wat veiliger. Bijkomend voordeel is dat je alleen poort 443 hoeft te forwarden en geen gezeur hebt met bv GRE of een dwarsliggende experiabox.
Persoonljik zou ik ook TCP 8291 openzetten met een accesslist, zodat je ook nog remote zelf kan connecten als je niet thuis bent maar als je de box 'in het veld' wegzet als SSTP client moet ie an-sich autonoom kunnen werken en kun je, als de tunnel up is, m over die route ook benaderen.

Enige is dat je met 2 dynamic IP's t wat lastiger maakt. Weet eigenlijk niet zeker of je daar ook dyndns oid kan gebruiken.

Aan de kant van de 'client' hoef je iig geen poorten te forwarden, zolang poort 443 uitgaand maar openstaat. (En dat lijkt me heel onwaarschijnljik dat dat NIET zo zou zijn)

Certificaten is niet perse noodzakelijk voor een site-to-site tussen 2 mikrotiks, maar ik zou het zeker wel doen. In jouw geval voldoet een selfsigned ding prima.

http://wiki.mikrotik.com/...ce/SSTP#Site-to-Site_SSTP

[ Voor 30% gewijzigd door DJSmiley op 01-02-2017 23:07 ]

[Kopieerapparaat]

DJSmiley schreef op woensdag 1 februari 2017 @ 23:00:
[...]
Persoonljik zou ik ook TCP 8291 openzetten met een accesslist, zodat je ook nog remote zelf kan connecten als je niet thuis bent maar als je de box 'in het veld' wegzet als SSTP client moet ie an-sich autonoom kunnen werken en kun je, als de tunnel up is, m over die route ook benaderen.

Hier ben ik het even kwijt. Remote connecten als ik niet thuis ben...

Benadering zal eigenlijk nooit van huis uit gebeuren. Vrijwel altijd van buitenaf door verschillende personen.