交流 › RouterOS › IPSEC脚本适合ADSL

fandl 发表于 2012-3-20 16:32:26

IPSEC脚本适合ADSL

本帖最后由 fandl 于 2012-3-23 13:50 编辑

#适合一个固定IP（IPSEC设置端），一个动态IP。
:global ipsecadsl
#定义本地变量ipsecadsl
:set ipsecadsl sa-dst-address ]
#在ipsec的policy里取得对方IP地址。给变量ipsecadsl
:if ([:resolve *.changeip.net] != $ipsecadsl ) do={
#解析对方ADSL的IP地址，如果不对
/ip ipsec policy set sa-dst-address=[:resolve *.changeip.net]
#修改/ip ipsec policy 里注释为ipadsl的对方外网IP
/ip ipsec peer set address=[:resolve *.changeip.net]}
#修改/ip ipsec peer 里注释为peer1的对方外网IP

在ROS5.12测试了，可以修改。

新手学习脚本。有错误的请指出。

也可以
:global ipsecadsl
#定义本地变量ipsecadsl
:set ipsecadsl
#在ipsec的policy里取得对方IP地址。给变量ipsecadsl
:if ([:resolve *.changeip.net] != $ipsecadsl ) do={
#解析对方ADSL的IP地址，如果不对
/ip ipsec policy set 0 sa-dst-address=[:resolve *.changeip.net]
#修改/ip ipsec policy 里第一条的对方外网IP
/ip ipsec peer set 0 address=[:resolve *.changeip.net]}
#修改/ip ipsec peer 里第一条的对方外网IP

注释：0为第一条

fandl 发表于 2012-3-20 18:31:53

本帖最后由 fandl 于 2012-3-21 21:47 编辑

双方ADSL情况下的IPSEC设置。
在 ROS-A机ROS设置：
/ip fir nat add chain=srcnat src-address=192.168.8.0/24 dst-address=192.168.9.0/24 action=accept
/ip fir nat add chain=srcnat out-interface=wan action=masquerade
#说明：根据自己的实际修改。192.168.9.0/24 ROS-B机的局域网IP地址段，192.168.8.0/24 ROS-A机的局域网IP地址段
#第二条有的话，可以不做。wan ROS-A机的外网端口。也可以修改为pppoe-out端口。
/ip ipsec polic add src-add=192.168.8.0/24 dst-add=192.168.9.0/24 protocol=all tunnel=y sa-src-add=1.1.1.1 sa-dst-add=2.2.2.2
#1.1.1.1为 ROS-A机外网IP。2.2.2.2为 ROS-B机外网IP
/ip ipsec peer add addres=2.2.2.2 secret=password nat-traversal=y generate-policy=y dpd-interval=0
#password为密码，dpd-interval为0（关闭）DPD用来检测对等体是否存活。ADSL用户建议关闭DPD。
添加自动修改IP脚本：
:local iasda
#定义本地变量iasda
:local iassa
#定义本地变量iassa
:set iasda
#在ipsec的policy里取得ROS-B机外网IP地址,给变量iasda(get 0：获取第一条）
:set iassa
#在ipsec的policy里取得ROS-A机外网IP地址,给变量iassa
:if ([:resolve B.changeip.net] != $iasda ) do={
#解析ROS-B ADSL的IP地址，如果不对
/ip ipsec policy set 0 sa-dst-address=[:resolve B.changeip.net]
#修改/ip ipsec policy 里第一条对方外网IP
/ip ipsec peer set 0 addres=[:resolve B.changeip.net]}
#修改/ip ipsec peer 里第一条对方外网IP
:if ([:resolve A.changeip.net] != $iassa ) do={
#解析自己ADSL的IP地址，如果不对
/ip ipsec policy set 0 sa-src-address=[:resolve A.changeip.net]}
#修改/ip ipsec policy 里第一条自己外网IP

注释：B.changeip.net，ROS-B机 ADSL的DDNS。
      A.changeip.net，ROS-A机 ADSL的DDNS。

添加DDNS脚本：
:local newaddres
#定义本地变量newaddres
:local dnsip
#定义本地变量dnsip
:set newaddres addres]
#设置变量newaddres为pppoe-out1的动态IP地址（带/24）。
:set dnsip [:pick $newaddres 0 [:find $newaddres "/"]]
#设置变量dnsip为去掉/24后的IP。
:if ([:resolve A.changeip.net] != $dnsip ) do={
#如果解析DDNS域名和变量dnsip不同，则执行
/tool dns-update name="A.changeip.net" addres=$dnsip key-name="*" key="*"
#更新DDNS IP。
}


在 ROS-B机ROS设置：
/ip fir nat add chain=srcnat src-address=192.168.9.0/24 dst-address=192.168.8.0/24 action=accept
/ip fir nat add chain=srcnat out-interface=wan action=masquerade
#说明：根据自己的实际修改。192.168.9.0/24 ROS-B机的局域网IP地址段，192.168.8.0/24 ROS-A机的局域网IP地址段
#第二条有的话，可以不做。wan ROS-B机的外网端口。也可以修改为pppoe-out端口。
/ip ipsec polic add src-add=192.168.9.0/24 dst-add=192.168.8.0/24 protocol=all tunnel=y sa-src-add=2.2.2.2 sa-dst-add=1.1.1.1
#1.1.1.1为 ROS-A机外网IP。2.2.2.2为 ROS-B机外网IP
/ip ipsec peer add addres=1.1.1.1 secret=password nat-traversal=y generate-policy=y dpd-interval=0
#password为密码，dpd-interval为0（关闭）DPD用来检测对等体是否存活。ADSL用户建议关闭DPD。
添加脚本：
:local iasda
#定义本地变量iasda
:local iassa
#定义本地变量iassa
:set iasda
#在ipsec的policy里取得ROS-A机外网IP地址,给变量iasda(get 0：获取第一条）
:set iassa
#在ipsec的policy里取得ROS-B机外网IP地址,给变量iassa
:if ([:resolve A.changeip.net] != $iasda ) do={
#解析ROS-A ADSL的IP地址，如果不对
/ip ipsec policy set 0 sa-dst-address=[:resolve A.changeip.net]
#修改/ip ipsec policy 里第一条对方外网IP
/ip ipsec peer set 0 addres=[:resolve A.changeip.net]}
#修改/ip ipsec peer 里第一条对方外网IP
:if ([:resolve B.changeip.net] != $iassa ) do={
#解析自己ADSL的IP地址，如果不对
/ip ipsec policy set 0 sa-src-address=[:resolve B.changeip.net]}
#修改/ip ipsec policy 里第一条自己外网IP

注释：B.changeip.net，ROS-B机 ADSL的DDNS。
      A.changeip.net，ROS-A机 ADSL的DDNS。

添加DDNS脚本：
:local newaddres
#定义本地变量newaddres
:local dnsip
#定义本地变量dnsip
:set newaddres addres]
#设置变量newaddres为pppoe-out1的动态IP地址（带/24）。
:set dnsip [:pick $newaddres 0 [:find $newaddres "/"]]
#设置变量dnsip为去掉/24后的IP。
:if ([:resolve B.changeip.net] != $dnsip ) do={
#如果解析DDNS域名和变量dnsip不同，则执行
/tool dns-update name="B.changeip.net" addres=$dnsip key-name="*" key="*"
#更新DDNS IP。
}

注释:pppoe-out1，根据自己实际修改！
在ROS5.12测试成功。5.14测试未成功（:resolve不能用了？？）
新手，请多关照！

fandl 发表于 2012-3-20 18:45:53

这也可以
/ip ipsec peer set address=192.169.3.103 numbers=0

hainanmm 发表于 2012-3-21 02:37:20

ipsec 是不是两边都要有IP...有一边的IP没有得到就不行呀..

fandl 发表于 2012-3-21 22:03:48

双ADSL的IPSEC，现在ok了。你们测试一下吧，看看能不能用在3.3！

fandl 发表于 2012-3-23 13:49:01

3.3的话，把本地变量改为全局变量即可！

fandl 发表于 2012-3-23 19:18:26

晕倒！

5.14也可以的。

自己的ROS机子有问题。

在虚拟机测试通过，自动修改IP

查看完整版本: IPSEC脚本适合ADSL