[РЕШЕНО] VPN (PPTP) поверх PPPoE на Mikrotik?

К сожалению, нет, не работает вообще в таком случае

Скрин: imgur.com/a/CjfTI

Ёж Туманный: маскарадинг на обоих портах настроен?

Ёж Туманный: плюс добавить маршрут до pptp сервера с минимальной дистанцией через pppoe интерфейс.

Евгений Быченко: Вполне возможно что я где-то ошибаюсь в последовательности, плюс для каждого ответа (здесь, на тостере) приходится перенастраивать железку, что крайне неудобно для экспериментов.
Представим что в данный момент имеется лишь PPPoE соединение с провайдером, у которого стоят "Use peer DNS" и "Add default route". Маскарадинг - только на PPPoE. Роуты - все динамические, ничего не прописано ручками. PPPoE интерфейс под именем "pppoe-out1", PPTP - "pptp-private-vpn" (после подключения выдает IP из диапазона 10.0.0.2-10.0.0.50, сам откликается на 10.0.0.1).

Вот с этой отправной точки - что делаем? С микротиками и маршрутизацией, к сожалению, знаком очень поверхностно.

Ёж Туманный: Начнём с изначальной рабочей конфигурации с PPPoE (и больше ничего). 1 Добавляем маршрут с дистанцией 1 до сервера PPTP (сервер это что-то в духе vpn.hideme.com - только в формате IP адреса) где шлюз = интерфейс PPPoE (это нужно, что бы само подключение PPTP поднялось без проблем и не падало после этого). 2. Добавляем сам клиент PPTP и ставим в его свойствах создание дефолтного маршрута, но метрику этого маршрута ставим -10 от текущей на PPPoE (к пример если на PPPoE поставили 20, тут ставим 10) - это направит весь трафик в новый туннель, а при его падении вернёт назад в PPPoE. 3. Добавляем маскарадинг для всего трафика, где исходящий интерфейс ppptp клиент - это позволит работать клиентам в локальной сети, и будет их маскировать.

Евгений Быченко: Хорошо, допустим, что внешний IP VPN сервера у нас 1.2.3.4 (кстати, почему нельзя использовать доменное имя вместо адреса?). Таким образом, в терминале мы что делаем?
Ты прости, но словесное описание воспринимается значительно хуже, чем последовательность терминальных команд

Ёж Туманный: открывай винбокс и шаг за шагом добавляй всё что я написал. Правила маршрутиза ции оперируют IP адресами, а не доменными именами. В настройках ВПН клиента (и, с недавних пор, в правилах файрвола) можно использовать ДНС имена, но не в маршрутизации.

Не вижу сложности в. Создать правило в маршрутах, поправить ещё две настройки в PPoE и PPTP клиентах и создать ещё одно правило в НАТ.

Евгений Быченко: Спасибо за твой ответ! Давай посмотрим на то, как я это понял:

:global vpnInterfaceName "pptp-private-vpn";
:global vpnIPaddr "123.123.123.123";
:global vpnUsername "USERNAME";
:global vpnPassword "PASSWORD";
:global providerInterfaceName "pppoe-out1";

/interface pppoe-client set $providerInterfaceName default-route-distance=20 add-default-route=no comment="Provider"

/interface pptp-client add name="$vpnInterfaceName" connect-to="$vpnIPaddr" user="$vpnUsername" password="$vpnPassword" dial-on-demand=no add-default-route=yes default-route-distance=10 disabled=no comment="Private VPN"

/ip firewall nat add chain="srcnat" out-interface="$vpnInterfaceName" action=masquerade comment="Private VPN NAT"

/ip route add distance=1 gateway=$providerInterfaceName dst-address="$vpnIPaddr" comment="Private VPN route"

После выполненного сайты не открываются, но пинги с локальной машины как по IP адресам, так и по доменным именам (ya.ru, google.com; dns кзш чистил) ходят успешно. Что я делаю не так?

***изменить***
/interface pppoe-client set $providerInterfaceName default-route-distance=20 add-default-route=yes comment="Provider"
***добавить***
/ip firewall nat add chain="srcnat" out-interface="PPOE_INTERFACENAME" action=masquerade comment="PPoE masquerade"
и проверь

def-route для pppoe поправил, а маскарадинг для pppoe и так был. Что в итоге? При отключенном клиенте pptp трафик ходит через pppoe - что не может не радовать. Но стоит подключить pptp - как трафик перестает ходить, хотя в winbox-е видно, что пакеты куда-то улетают: imgur.com/a/WgLFI

Евгений Быченко: Update:
Скрин текущих настроек: imgur.com/a/ACDoW

Пинги на большинство сайтов ходят вполне себе успешно: imgur.com/a/RgUHy

Но, зараза, в браузере 9 из 10 сайтов не открываются. Кэш чистил (и на микротике, и на desctop-win, и в браузере). Пробовал разные VPN учетки

Ёж Туманный: такс, ну теперь нужно проверить всё ли корректно работает на стороне hideme. Если это VPN соединение приземлить на конкретный ПК - работает?

Евгений Быченко: Да, друже, в том то и дело. Поднимая туннель с desctop-win всё работает как надо - шустренько и без ошибок. Но стоит это же соединение поднять с микротика - всё становится "очень плохо"

Ёж Туманный: весь конфиг в экспорт и на pastebin (без белых IP само собой), гдет у тебя в файрволе беда

Евгений Быченко: Так, стоп, всё работает! Но только не с VPN-сервером на моем VDS. С hideme.ru - всё как надо!

Ёж Туманный: ну и отлично =)

Ёж Туманный: про твой VPS лучше отдельный таск создай, я не самый опытные спец по iptables.

Евгений Быченко: Повторюсь на всякий случай - про подключении к VDS с desctop-а - всё работает. При подключении с микротика - пинги ходят, но 9 из 10 сайтов не открываются

Евгений Быченко: Так - не подскажешь с ходу?

Ёж Туманный: вот с ходу не понятно, если в свойствах PPTP меняешь только пользователя пароль и IP подключения, остальное не трогаешь - то дело явно в VDS и там уже нужно больше копать. По текущему конфигу проблем не вижу.

Ёж Туманный: nodefaultroute вот этот флаг странный.

Евгений Быченко: Флаг "nodefaultroute" снес - результата ноль

Евгений Быченко: Создал отдельный топик. Ещё раз огромное тебе спасибо!