冒个泡，顺便请教一下动态ip做ipip的办法

seignior

两个内网想互通(公网都是动态ip)，首先想到最简单的ipip(当然其他办法也可以)，本来想着用域名也凑合，结果发现local address非ip不可，还有其他啥办法可以实现目的?

9939781

gre tunnel不用写local ip

edgesky

租个vps就成了。两边都拨vpn过去。做策略路由。

补充内容 (2016-3-17 08:21):
firewall上面做nat转发或者直通

cspm333

假如您兩台router的域名平時有做更新動作:
router1: aaa.changeip.org
router2: bbb.changeip.org

router1 script:
:if ([/interface ipip get ipip-tunnel1 local-address]!=[:resolve aaa.changeip.org] || \
     [/interface ipip get ipip-tunnel1 remote-address]!=[:resolve bbb.changeip.org]) \
  do={/interface ipip set ipip-tunnel1 local-address=[:resolve aaa.changeip.org] remote-address=[:resolve bbb.changeip.org]}

router2 script: 同上,將域名置換即可.

hainanmm

一端用pptp或者L2TP 做服务器。一端拨入。性能会比 gre tunnel  相差很多吗？

cspm333

hainanmm 發表於 2016-5-2 18:42
一端用pptp或者L2TP 做服務器。一端撥入。性能會比 gre tunnel  相差很多嗎？

pptp連線時會建gre隧道,事實是用gre傳遞封包的

除pptp-server可供加密外;
l2tp/ipip/gre 本身並無加密選項,但可附掛ipsec加密使用.

不加密時性能其實是差不多的;加密的話就得依演算法而定...
加密程度越複雜,傳遞性能越差(因 加密/解密過程需消費兩端運算所致)

seignior

感谢继续捧场，有时间再测试cspm333的script，目视应该可以。
6楼已经回复了5楼，我就不续貂了，差别还是可观的。

额外，我现在在用gre tunnel，实际使用中有时候会出现一个问题，假如直接连接另一个内网的服务(两边rosgre tunnel连接，访问另一个内网的web或ftp或mysql等等)，有时候会无法建立连接(但有时候又会正常)，但我在电脑上直接ppptp过去就绝对正常，因为不常用，还没静心下来排查，大家帮忙指条捷径？

cspm333

因您給的資訊不夠多,只能約略臆測.
1.若您有使用多線,問題多出在/ip firewall mangle的mark-routing,沒將遠端網段排除.
2.若是單線,則可能出在/ip firewall nat的src-nat上
3.路由表也很有可能 ,如:VPN連繫的優先權<網際網路 (連繫優先權由distance決定,數目越小越優先)
若網際網路優先權>VPN ,連繫遠端的封包會誤送公眾網路,而非VPN對端.

cspm333

seignior 發表於 2016-5-3 22:33
感謝繼續捧場，有時間再測試cspm333的script，目視應該可以。
6樓已經回覆了5樓，我就不續貂了，差別還是 ...

其實小弟有個想法,您為何不利用ipsec建site to site呢?
RouterA :192.168.1.0/24  (1.1.1.1 / aaa.changeip.org)
RouterB :192.168.2.0/24  (2.2.2.2 / bbb.changeip.org)

RouterA:
/ip ipsec proposal
set [ find default=yes ] enc-algorithms=3des,aes-128-cbc

/ip ipsec peer
add address=2.2.2.2/32 comment=site-to-site enc-algorithm=aes-128 \
  local-address=1.1.1.1 nat-traversal=no secret=sts
#sts是私人ipsce密碼,可置換

/ip ipsec policy
add comment=site-to-site dst-address=192.168.2.0/24 sa-dst-address=2.2.2.2 \
  sa-src-address=1.1.1.1 src-address=192.168.1.0/24 tunnel=yes

/ip firewall nat
add chain=srcnat action=accept  place-before=0 src-address=192.168.1.0/24 dst-address=192.168.2.0/24

script:
:local localip [/ip address get [find interface=pppoe-out1] address] ; :set localip [:pick $localip 0 [:find $localip "/"]]
:local remoteip [:resolve bbb.changeip.org]
:local peerA [/ip ipsec peer find comment=site-to-site] ; :local policyA [/ip ipsec policy find comment=site-to-site]

:if ([/ip ipsec peer get  $peerA address]!="$remoteip/32" || [/ip ipsec peer get $peerA local-address]!=$localip ||
      [/ip ipsec policy get $policyA sa-dst-address]!=$remoteip || [/ip ipsec policy get $policyA sa-src-address]!=$localip) \
  do={/ip ipsec peer set $peerA address="$remoteip/32" local-address=$localip
          /ip ipsec policy set $policyA sa-dst-address=$remoteip sa-src-address=$localip}

RouterB:
/ip ipsec proposal
set [ find default=yes ] enc-algorithms=3des,aes-128-cbc

/ip ipsec peer
add address=1.1.1.1/32 comment=site-to-site enc-algorithm=aes-128 \
  local-address=2.2.2.2 nat-traversal=no secret=sts
#私人ipsce密碼,要與RouterA同

/ip ipsec policy
add comment=site-to-site dst-address=192.168.1.0/24 sa-dst-address=1.1.1.1 \
  sa-src-address=2.2.2.2 src-address=192.168.2.0/24 tunnel=yes

/ip firewall nat
add chain=srcnat action=accept  place-before=0 src-address=192.168.2.0/24 dst-address=192.168.1.0/24

script:
:local localip [/ip address get [find interface=pppoe-out1] address] ; :set localip [:pick $localip 0 [:find $localip "/"]]
:local remoteip [:resolve aaa.changeip.org]
:local peerA [/ip ipsec peer find comment=site-to-site] ; :local policyA [/ip ipsec policy find comment=site-to-site]

:if ([/ip ipsec peer get  $peerA address]!="$remoteip/32" || [/ip ipsec peer get $peerA local-address]!=$localip ||
      [/ip ipsec policy get $policyA sa-dst-address]!=$remoteip || [/ip ipsec policy get $policyA sa-src-address]!=$localip) \
  do={/ip ipsec peer set $peerA address="$remoteip/32" local-address=$localip
          /ip ipsec policy set $policyA sa-dst-address=$remoteip sa-src-address=$localip}

57068368

楼上的简直就是神人啊，真厉害，正需要。

ERT6

又学到了，用四楼的方法是正常，谢谢大神

yzgaochuang

cspm333 发表于 2016-5-4 01:00
其實小弟有個想法,您為何不利用ipsec建site to site呢?
RouterA :192.168.1.0/24  (1.1.1.1 / aaa.chang ...

那这个 script 多长时间运行一次呢 还是做触发

yzgaochuang

cspm333 发表于 2016-5-4 01:00
其實小弟有個想法,您為何不利用ipsec建site to site呢?
RouterA :192.168.1.0/24  (1.1.1.1 / aaa.chang ...

按你这方法 我测试了下没用啊  你QQ多少 或者加我下 886716

fengzhixing

ROS现在不是都自带DDNS功能吗？直接用DDNS解释到的域名就可以了。

YPP

cspm333 发表于 2016-5-2 17:24
假如您兩台router的域名平時有做更新動作:
router1: aaa.changeip.org
router2: bbb.changeip.org

大牛
顶礼膜拜
一直在找解决方案
终于找到了