1.Находим сервер KVM с прямыми IP адресами на интерфейсе (много у кого в алиасе или еще через какие-то правила)
Покупаем. Настраиваем на базе Centos 6.
Далее предустановка системы. По установке ничего сложного, когда делаешь это 10 раз.
Заходим под рутом через vnc или внутренний терминал.
2.скачиваем и развертываем.
wget https://download.mikrotik.com/routeros/ ... .4.img.zip
echo u > /proc/sysrq-trigger && gunzip -c chr-6.43.4.img.zip | dd of=/dev/vda
reboot
3.Если все хорошо, то появится приветствие для авторизации.
Если появится ошибка, то что - то пошло не так. Так как перебирал разные сервисы, с разной ценой, то не у всех все так хорошо.
4. Авторизируемся под admin без пароля.
Первым делом ставим пароль для авторизации. Когда вы пропишете IP адрес на сетевой интерфейс, то к вам сразу начнут пытаться подключиться по telnet и ssh.
/user set admin password=PassWord$
По умолчанию ssh и ftp под этим пользователем. Так что, обязательно, в первую очередь меняем пароль.
Прописываем Ip адрес на интерфейс ether1
/ip address add address=185.224.247.21/22 interface=ether1
Прописываем шлюз.
/ip route add gateway=185.224.246.1
Проверяем ping 8.8.8.8
Должно все идти.
/ip dns set servers-8.8.8.8
Подключаем DNS
Маленькая защита от подбора пароля по telnet ssh ftp
Правила не мои, но работают.
/ip firewall filter
add action=drop chain=input comment="SSH drop" dst-port=22 protocol=tcp src-address-list=ssh_blacklist
add action=add-src-to-address-list address-list=ssh_blacklist address-list-timeout=1w3d chain=input \
connection-state=new dst-port=22 protocol=tcp src-address-list=ssh_stage3
add action=add-src-to-address-list address-list=ssh_stage3 address-list-timeout=1m chain=input connection-state=\
new dst-port=22 protocol=tcp src-address-list=ssh_stage2
add action=add-src-to-address-list address-list=ssh_stage2 address-list-timeout=1m chain=input connection-state=\
new dst-port=22 protocol=tcp src-address-list=ssh_stage1
add action=add-src-to-address-list address-list=ssh_stage1 address-list-timeout=1m chain=input connection-state=\
new dst-port=22 protocol=tcp
add action=drop chain=input comment=telnet_drop dst-port=23 protocol=tcp src-address-list=telnet_blacklist
add action=add-src-to-address-list address-list=telnet_blacklist address-list-timeout=1w3d chain=input \
connection-state=new dst-port=23 protocol=tcp src-address-list=telnet_stage3
add action=add-src-to-address-list address-list=telnet_stage3 address-list-timeout=1m chain=input \
connection-state=new dst-port=23 protocol=tcp src-address-list=telnet_stage2
add action=add-src-to-address-list address-list=telnet_stage2 address-list-timeout=1m chain=input \
connection-state=new dst-port=23 protocol=tcp src-address-list=telnet_stage1
add action=add-src-to-address-list address-list=telnet_stage1 address-list-timeout=1m chain=input \
connection-state=new dst-port=23 protocol=tcp
add action=drop chain=input comment="ftp drop ftp brute forcers" dst-port=21 protocol=tcp src-address-list=\
ftp_blacklist
add action=accept chain=output content="530 Login incorrect" dst-limit=1/1m,4,dst-address/1m protocol=tcp
add action=add-dst-to-address-list address-list=ftp_blacklist address-list-timeout=3h chain=output content=\
"530 Login incorrect" protocol=tcp
Далее, на всякий случай, сохраняем конфигурацию для восстановления, если что - то пойдет не так
/system backup save name=05112018_135
Далее VPN l2tp ipsec
Тут уже буду делать через winbox.
1.Создаем ip pool.
ip pool add name=vpn_pool ranges=172.16.3.100-172.16.3.200
2.Создаем ppp профиль
ppp profile add name=vpn_profile local-address=172.16.3.1 remote-address=vpn_pool
3. Настраиваем Secret
ppp secret add name=vpn_mag4 password=PassWord123 service=l2tp profile=vpn_profile local-address=172.16.3.1 remote-address=172.16.3.10
4. Активируем l2tp server
/interface l2tp-server server set authentication=mschap2 enabled=yes ipsec-secret=PassWord123 use-ipsec=yes
сохраняем конфигурацию
/system backup save name=05112018_1411
Теперь идем на mag4
/interface l2tp-client add connect-to=185.224.247.21 disabled=no ipsev-secret=PassWord123 name=vpn_mag4 password=PassWord123 use-ipsec=yes user=vpn_mag4
Чтоб сети видели между собой
На Сервере
/ip route add distance=1 dst-address=192.168.10.0/24 gateway=172.16.3.10
Тепень микротик 21 видит сеть 192.168.10.0
Компьютеры из сети 192.168.10.0 видят компьютеры 172.16.3.0
system backup save name=05112018_1502
теперь то, что не получается:
1. От mag4 завернуть весь трафик через VPN.?
2. От mag1,2,3 завернуть весь трафик, кроме 10 подсети.?
3. Перенаправить порт для сервисов.?
4. Что лучше и безопаснее? Пробросить порт RDP, или сделать отдельную учетную запись VPN для компьютеров сотрудников (работа из дома).
Если делать проброс RDP, то это:
/ip firewall nat add action=dst-nat chain=dstnat comment=test dst-address=185.224.247.21 dst-port=61001 protocol=tcp to-addresses=172.16.2.19 to-ports=3389
Для почтового сервера 80,443,:
/ip firewall nat
add action=dst-nat chain=dstnat comment=test dst-address=185.224.247.21 dst-port=80 in-interface=inetTest protocol=tcp to-addresses=172.16.2.10 to-ports=80
add action=dst-nat chain=dstnat comment=test dst-address=185.224.247.21 dst-port=443 in-interface=inetTest protocol=tcp to-addresses=172.16.2.10 to-ports=443
про 25 и остальные еще не надумал как.
Конфигурация выделенного сервера: