[VPN] 利用PPTP或L2TP建立Layer2隧道

gfx86674

ROS支援BCP(Bridge Control Protocol),
即在PPTP/L2TP/PPPoE介面上的橋接(OVPN和SSTP不支援).

BCP能取代EoIP隧道,提供另一種layer2界面,穿越nat透傳二層資料.

BCP需要在兩邊同時啟用才能工作(伺服器和用戶端):

1. Office1 配置:
   
2. /interface bridge add name=bridge-lan protocol-mode=rstp
   
3. /interface bridge port add bridge=bridge-lan interface=ether2
   
4. #bridge-lan是本範例Office1 Lan使用的bridge名稱
   
5. #ether2是本範例Office1 LAN的其中一個接口(其它的port也可以)
   
6. 
   
7. #Office1 LAN的地址為192.168.88.1/24
   
8. /ip address add address=192.168.88.1/24 interface=bridge-lan
   
9. 
   
10. #因只做layer2傳輸,不需local/remote-address,
    
11. #所以新建profile(bcp-bridging)做特殊操作,以便和一般pptp傳輸做區隔
    
12. /ppp profile add name=bcp-bridging bridge=bridge-lan use-encryption=yes
    
13. /ppp secret add profile=bcp-bridging name=abc password=123
    
14. 
    
15. #建議將pptp-server的mrru提升至1600,否則bcp可能丟失封包
    
16. /interface pptp-server server set enabled=yes mrru=1600

複製代碼

1. Office2 配置:
   
2. /interface bridge add name=bridge-bcp protocol-mode=rstp
   
3. /interface bridge port add bridge=bridge-bcp interface=ether5
   
4. #bridge-bcp是新增的bridge,目的是透過bcp將ether5橋接到server端
   
5. #ether5不屬於Lan,會因bcp橋接到server端
   
6. 
   
7. #指定bridge-bcp的地址為192.168.88.2/24
   
8. /ip address add address=192.168.88.2/24 interface=bridge-bcp
   
9. 
   
10. /ppp profile add name=bcp-bridging bridge=bridge-bcp use-encryption=yes
    
11. #profile與pptp-server雷同,方可回應橋接
    
12. 
    
13. /interface pptp-client add profile=bcp-bridging mrru=1600 connect-to=123.123.123.123 user=abc password=123　disabled=no
    
14. #對Office1(123.123.123.123)進行pptp撥號,mrru也設置相對應的1600

複製代碼

雖然EoIP在設置上明顯比BCP簡易的多,但EoIP需雙向互撥號對接,
對於ISP提供的地址是虛擬ip的用戶是有那麼一點不便...

而PPTP或L2TP只要單方的WAN可供接入就可建立Layer2隧道,
所以因時地選擇橋接工具是很重要的

另外OVPN也有其ethernet mode ,也可用於建立Layer2隧道.

gfx86674

SSTP-BCP:

client:可以對192.168.32.1(RouterA)與192.168.32.114(PC)試ping
server:可以對192.168.32.126(RouterB)試ping

BCP建立後 ,Server與Client端在/ip arp都會有相同mac-address紀錄

kmc87

回復 33# carlchan


    我是跟這帖 樓主的 #1，#8，#10 設定 和 講解。 很詳細的。

    不過如是中港 pptp 這兩星期已不能連上。 sstp 暫還可以用。

carlchan

回復  角色


兩面都在香港，用 1G，HKBN ISP。經BCP 後上網速度都有 80~110 Mb/s。 ...
kmc87 發表於 2018-4-25 13:33

    share your setting ?

kmc87

回復 31# 角色


兩面都在香港，用 1G，HKBN ISP。經BCP 後上網速度都有 80~110 Mb/s。

角色

回復 30# kmc87

效果怎样？每边下载速度是多少？

kmc87

回復 29# yiucsw


根據上面 #10 的設定方法，我重新輸入後，已能解決問題。兩邊的 Router 已能正常互通和經對方 ip 上網。謝謝。

BCP 是互聯兩地 router 的好東西。謝謝你們的介紹和指導。

yiucsw

duplicated

kmc87

因想學習 BCP pptp, 我在香港用兩部 RB750Gr3 在不同地點，根據#1 gfx86674 的 script 方法，設定BCP pptp ，看起來 BCP 能順利連上。

Location A, Server, Router A, 基本網段 192.168.80.1/24，   BCP interface ether5, 192.168.50.1

Location B, Client, Router B, 基本網段 192.168.82.1/24，   BCP interface ether5, 192.168.50.3

問題是，如 gfx86674 在 #10 所說， Router B，Client，ether 5 不需任何設定已能經 Router A， 翻墻上網。
但 Router A, ether5 能上網，但不是經 Router B  翻墻上網。


雖然在上面有多方面討論，但因我水平不足，沒能理解 sstp, eiop 等與 pptp BCP 的對應，多次嘗試用我理解的對應設定路由，始終未能成功。

故希望大家能給我一點指導，我要怎樣設定才可以在 Server，Router A 經 Client Router B,翻墻上網 還是我這樣的網段設定不對 或要再加Eoip。其實，BCP 是不是site-to-site ?   謝謝。

yiucsw

Duplicated

gfx86674

回復 25# yiucsw
您成功建立bcp了,給您100個讚

目前您唯一的工作是盡量省缺您嘗試過的環境(能省缺代表某些步驟是多餘的),
看還能不能讓server arp抓到mac-address與192.168.5.2

直到您覺得到差不多時,
再到server的路由表將dst-address=192.168.cn.0/24 gateway=192.168.5.2加入

然後兩端互ping對方網段的電腦ip ,看site-to-site已否成立.

yiucsw

回復 24# gfx86674

感謝
CN - Ether5


HK - IP ARP - 兩個 MAC 是一樣的

gfx86674

bcp成功的話 ,在client-router的ether5設定192.168.hk/24
可在server的/ip arp查到client-router remotebridge的mac-address

yiucsw

如何知道是不是 BCP 成功？我已改了之前的發表。
我加了CN1 的 WLAN2 到 Bridge 已能拿到 HK DHCP 的 IP地址，也能用whatismyip 看到HKISP 地址。
在香港也能Winbox 到CN 1 Mikrotik.  
ping CN 有點奇怪，redirect host.. Traceroute 不成。是不是要加多一個Bridge 在HK1那邊 192.168.cn.2。那VLAN都不用。
在CN1 那邊 ping/tracerout HK1 都沒有問題。連BCR-VPN的 bridge 都沒有用。

gfx86674

看到 VLAN over eoip 的文章。

看到另一文章EOIP latency 大概是 20倍慢...

現在想做是 VLAN over BCR.  ...
yiucsw 發表於 2018-2-25 14:09

先用sstp做出bcp隧道好嗎? 直接跳到vlan切bcp隧道會不會越級打怪,早了些...