Problema progettazione architettura mikrotik openVPN - CHR - SSTP tunnel

[3nema]

Salve a tutti, sono nuovo con i mikrotik ho bisogno di un piccolo aiuto/chiarimento per quanto riguarda un architettura di rete per il controllo in remoto di dispositivi in domotica di vari clienti l'architettura inizia da una connessione OPENVPN tra il mio pc dell'ufficio e un server mikrotik CHR in cui il server si collega a sua volta in sstp a un altro mikrotik a casa del cliente il mio obiettivo è riuscire una volta attivata la connesione OpenVPN a pingare dal prompt la sottorete del mikrotik a casa del cliente il problema è che l'ip dell'ufficio è 192.168.2.xx e il mik_client è 192.168.2.xx utilizzando il netmap ho passatemi il termine cambiato l'indirizzo del mik_client in 10.10.100.xx cosi da non avere problemi della stessa subnet  dal server chr dentro winbox con il protocollo SSTP arrivo senza problemi a pingare il mik_client il problema è quando da remoto attivo la connessione openvpn dal pc non arrivo oltre il CHR e non mi pinga il mik_client qualcuno sa come risolvere?grazie mille allego un immagine per fare più chiarezza possibile

[Andrea Annoni]

Senza vedere la configurazione è un po' dura. E bisogna capire se vuoi lavorare con NAT o senza.

Se lavori con NAT dovrai avere un masquerade sul CHR della subnet remota; se invece vuoi lavorare senza devi creare delle rotte di ritorno sul router cliente.

 

Non si capisce nemmeno se il Mikrotik del cliente è il GW della rete o meno.Se non lo fosse è necessario mascherare anche su li i pacchetti.

[3nema]

lavoro con NAT il CHR ha masquerade , mik cliente non è GW

come posso mostrarti tutte le conf?

Modificato: 24 agosto 2022 da 3nema

[Andrea Annoni]

Se il Mikrotik cliente non è il GW di sicuro serve un NAT della sua lan nativa (non la netmap).

 

Sul CHR immagino dovrai nattare la subnet di netmap. cosi come presumo la subnet di OpenVPN.  .........per me troppi NAT ma se l'hai pensata cosi non discuto.

 

 

4 ore fa, 3nema ha scritto:

come posso mostrarti tutte le conf?

Le esporti e le posti con  pastebin

 

[3nema]

allego le conf di pastebin questo è server CHR : https://pastebin.com/zwdYZPWj mentre questo è mik_client : https://pastebin.com/r7g9eXY0 

per la scelta dici che sia meglio con rotte di ritorno che NAT? scusa ma sono alle prime armi 

[Andrea Annoni]

Sono da cel quindi l'ho guardata rapidamente.

Sul CHR devi nattare la subnet che hai messo in netmap (10.10.150.0/24); non la la LAN remota.

 

 

Sul client manca il NAT della LAN dato che non è il GW: 192.168.2.0/24

 

 

[3nema]

non mi è chiaro il client ho messo un NAT con dst.addres 10.10.100.0/24 non basta questo?

 

Modificato: 26 agosto 2022 da 3nema

[3nema]

11 ore fa, Andrea Annoni ha scritto:

Sul CHR devi nattare la subnet che hai messo in netmap (10.10.150.0/24); non la la LAN remota.

per il nat del chr cosi è giusto?

 

Modificato: 26 agosto 2022 da 3nema

[Andrea Annoni]

Ma cosa c’entra la subnet di netmask? 
il router del client mica lo conosce; se trova pacchetti provenienti con quel NAT mica li conosce.

Il Mikrotik invece conosce entrambe le subnet. 

[Andrea Annoni]

3 minuti fa, 3nema ha scritto:

per il nat del chr cosi è giusto?

 

 

3 minuti fa, 3nema ha scritto:

per il nat del chr cosi è giusto?

 

No che non va bene. 
mi sa che hai un po’ di confusione anche a livello networking non solo RouterOS.

ora sto guidando, sul client devi fare nat della 192.168.2.0

[3nema]

15 minuti fa, Andrea Annoni ha scritto:

 

No che non va bene. 
mi sa che hai un po’ di confusione anche a livello networking non solo RouterOS.

ora sto guidando, sul client devi fare nat della 192.168.2.0

si questo l'ho fatto.... mi dispiace ma come detto all'inizio sono alle prime armi e sto cercando di imparare a usare il NAT

Modificato: 26 agosto 2022 da 3nema

[Andrea Annoni]

Si la netmap è corretta

 

[3nema]

2 ore fa, Andrea Annoni ha scritto:

Si la netmap è corretta

 

ok e per il chr? 

Sul CHR devi nattare la subnet che hai messo in netmap (10.10.150.0/24); non la la LAN remota.

scusa ma non ho capito bene cosa metere nel nat 

[Andrea Annoni]

destination nat 10.10.150.0/24 action masquerade