MikroTik RouterOS (часть 5) - [116] :: В помощь системному администратору

rosalin
Вот работоспособный конфиг настроек микротика снятый с рабочего тика, кроме установки сертификатов.
в конфиге совмещена установка подключений пользователей по сертификатам и по логину и паролю с встроенным радиусом, две группы с разным диапазоном адресов.
в настройках само подписанный сертификат под именем MikroTik для пользователей по сертификатам и сертификат office.domain.ru выписанный от LetSenCrypt и цепочка от него для пользователей по логину и паролю, ну и тестовых шесть пользователей.
и правила для подключения к радиусу.

Код:

/ip pool
add name=pool_ipv4_ikev2_client1 ranges=192.168.1.1-192.168.1.253
add name=pool_ipv4_ikev2_client2 ranges=192.168.2.1-192.168.2.253

/ip firewall filter
add chain=input src-address=127.0.0.1 dst-address=127.0.0.1 action=accept comment="Radius input connect" place-before=8;

/ip ipsec mode-config add address-pool=pool_ipv4_ikev2_client1 address-prefix-length=32 name=cfg_ikev2_client1 split-include=192.168.1.0/24
/ip ipsec mode-config add address-pool=pool_ipv4_ikev2_client2 address-prefix-length=32 name=cfg_ikev2_client2 split-include=192.168.2.0/24
/ip ipsec policy group add name=group_ikev2_client
/ip ipsec profile add enc-algorithm=aes-256,aes-192,aes-128 hash-algorithm=sha256 name=profile_ikev2_client prf-algorithm=sha256
/ip ipsec peer add exchange-mode=ike2 name=peer_ikev2_client passive=yes profile=profile_ikev2_client
/ip ipsec proposal add auth-algorithms=sha256,sha1 name=proposal_ikev2_client pfs-group=none
/ip ipsec identity add auth-method=eap-radius certificate=office.domain.ru,LetSenCryptR11,LetSenCryptX1 generate-policy=port-strict mode-config=cfg_ikev2_client2 peer=peer_ikev2_client policy-template-group=group_ikev2_client
/ip ipsec identity add auth-method=digital-signature certificate=MikroTik generate-policy=port-strict mode-config=cfg_ikev2_client1 peer=peer_ikev2_client policy-template-group=group_ikev2_client
/ip ipsec policy add dst-address=192.168.1.0/24 group=group_ikev2_client proposal=proposal_ikev2_client src-address=0.0.0.0/0 template=yes
/ip ipsec policy add dst-address=192.168.2.0/24 group=group_ikev2_client proposal=proposal_ikev2_client src-address=0.0.0.0/0 template=yes
/ip ipsec settings set interim-update=2m

/user-manager profile
add name=prof_radius_client name-for-users=prof_radius_client validity=unlimited

/user-manager user group
add inner-auths=ttls-mschap2 name=group_radius_client outer-auths=mschap2,eap-tls,eap-ttls,eap-mschap2

/user-manager user
add attributes=Framed-IP-Address:192.168.2.1 group=group_radius_client name=TectoviyClient1 shared-users=1 password="86a6zH1"
add attributes=Framed-IP-Address:192.168.2.2 group=group_radius_client name=TectoviyClient2 shared-users=1 password="86a6zH2"
add attributes=Framed-IP-Address:192.168.2.3 group=group_radius_client name=TectoviyClient3 shared-users=1 password="86a6zH3"
add attributes=Framed-IP-Address:192.168.2.4 group=group_radius_client name=TectoviyClient4 shared-users=1 password="86a6zH4"
add attributes=Framed-IP-Address:192.168.2.5 group=group_radius_client name=TectoviyClient5 shared-users=1 password="86a6zH5"
add attributes=Framed-IP-Address:192.168.2.6 group=group_radius_client name=TectoviyClient6 shared-users=1 password="86a6zH6"

/user-manager
set enabled=yes

/user-manager router
add address=127.0.0.1 name=router1

/radius
add address=127.0.0.1 service=ipsec

/radius incoming
set accept=yes

естественно пакет user-manager должен быть установлен на микротике
имена пользователей и пароль пример для наглядности.

Модерирует : lynx, Crash_Master, dg, emx, ShriEkeR
Версия для печати • Подписаться • Добавить в закладки
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117