Configurazione VPN RouterOS - Cronologia

Iz4efn il 20:46, 31 ago 2025

2025-08-31T20:46:01Z

← Versione meno recente		Versione delle 22:46, 31 ago 2025
Riga 72:		Riga 72:

	Anche in questo caso sarà necessario adattare opportune regole di restrizione e/o packet-filtering in modo da garantire la sicurezza di accesso necessaria all'applicativo esposto.		Anche in questo caso sarà necessario adattare opportune regole di restrizione e/o packet-filtering in modo da garantire la sicurezza di accesso necessaria all'applicativo esposto.

			== Segment Size Clamping ==

			[https://help.mikrotik.com/docs/spaces/ROS/pages/48660587/Mangle Come descritto sulla documentazione Mikrotik], le VPN hanno a disposizione un TCP packet size inferiore al normale a causa dell'overhead di incapsulamento. Un pacchetto con un MSS (Segment Size) piu' alto del MSS del tunnel su cui viene incapsulato sara' frammentato. Se pero' il pacchetto non si puo' frammentare (Don't Fragment flag) potrebbe essere scartato.

			E' dunque importante prevedere una regola di Mangle che limiti il TCP MSS a 1300 bytes:

			<code>/ip firewall mangle add out-interface=wg_ampr_ari protocol=tcp tcp-flags=syn action=change-mss new-mss=1300 chain=forward tcp-mss=1301-65535</code>

IU0LFQ: /* Traduzione del file INI in formato RouterOS */

2024-03-18T13:00:34Z

Traduzione del file INI in formato RouterOS

← Versione meno recente		Versione delle 15:00, 18 mar 2024
Riga 28:		Riga 28:
	<code>/interface/wireguard/add name="wg_ampr_ari" listen-port=51820 private-key="PRIVATEKEY1234567890PRIVATEKEY="<br>		<code>/interface/wireguard/add name="wg_ampr_ari" listen-port=51820 private-key="PRIVATEKEY1234567890PRIVATEKEY="<br>
	/ip/address/add address="44.32.32.255/21" interface="wg_ampr_ari"<br>		/ip/address/add address="44.32.32.255/21" interface="wg_ampr_ari"<br>
	/interface/wireguard/peers/add interface="wg_ampr_ari" endpoint-address="5.144.187.34" endpoint-port="1323X" public-key="PUBLICKEY1234567890PUBLICKEY=" preshared-key="PRESHAREDKEY1234567890=~~" client-address="44.32.32.255/21~~" allowed-address="44.0.0.0/9, 44.128.0.0/10"</code>		/interface/wireguard/peers/add interface="wg_ampr_ari" endpoint-address="5.144.187.34" endpoint-port="1323X" public-key="PUBLICKEY1234567890PUBLICKEY=" preshared-key="PRESHAREDKEY1234567890=" allowed-address="44.0.0.0/9, 44.128.0.0/10"</code>

	Arrivati a questo punto sarà necessario solamente aprire una finestra terminale di configurazione del router (come ad esempio entrando in SSH, Telnet o aprendo una finestra 'Terminal' accedendo con WinBox) ed incollare il contenuto proposto.		Arrivati a questo punto sarà necessario solamente aprire una finestra terminale di configurazione del router (come ad esempio entrando in SSH, Telnet o aprendo una finestra 'Terminal' accedendo con WinBox) ed incollare il contenuto proposto.

IU0LFQ il 16:29, 15 mar 2024

2024-03-15T16:29:19Z

← Versione meno recente		Versione delle 18:29, 15 mar 2024
Riga 26:		Riga 26:

	Otterremmo la seguente configurazione compatibile con RouterOS dopo averlo inserito e fatto processare dal tool indicato:<br>		Otterremmo la seguente configurazione compatibile con RouterOS dopo averlo inserito e fatto processare dal tool indicato:<br>
	<code>		<code>/interface/wireguard/add name="wg_ampr_ari" listen-port=51820 private-key="PRIVATEKEY1234567890PRIVATEKEY="<br>
	/interface/wireguard/add name="wg_ampr_ari" listen-port=51820 private-key="PRIVATEKEY1234567890PRIVATEKEY="<br>
	/ip/address/add address="44.32.32.255/21" interface="wg_ampr_ari"<br>		/ip/address/add address="44.32.32.255/21" interface="wg_ampr_ari"<br>
	/interface/wireguard/peers/add interface="wg_ampr_ari" endpoint-address="5.144.187.34" endpoint-port="1323X" public-key="PUBLICKEY1234567890PUBLICKEY=" preshared-key="PRESHAREDKEY1234567890=" allowed-address="44.0.0.0/9, 44.128.0.0/10"</code>		/interface/wireguard/peers/add interface="wg_ampr_ari" endpoint-address="5.144.187.34" endpoint-port="1323X" public-key="PUBLICKEY1234567890PUBLICKEY=" preshared-key="PRESHAREDKEY1234567890=" client-address="44.32.32.255/21" allowed-address="44.0.0.0/9, 44.128.0.0/10"</code>

	Arrivati a questo punto sarà necessario solamente aprire una finestra terminale di configurazione del router (come ad esempio entrando in SSH, Telnet o aprendo una finestra 'Terminal' accedendo con WinBox) ed incollare il contenuto proposto.		Arrivati a questo punto sarà necessario solamente aprire una finestra terminale di configurazione del router (come ad esempio entrando in SSH, Telnet o aprendo una finestra 'Terminal' accedendo con WinBox) ed incollare il contenuto proposto.
Riga 42:		Riga 41:

	1. Si definisce una address-list per le destinazioni dell'intero dominio AMPR:<br>		1. Si definisce una address-list per le destinazioni dell'intero dominio AMPR:<br>
	<code>		<code>/ip/firewall/address-list/add address=44.0.0.0/9 comment="AMPR Network #1" list=AMPR<br>
	/ip/firewall/address-list/add address=44.0.0.0/9 comment="AMPR Network #1" list=AMPR<br>
	/ip/firewall/address-list/add address=44.128.0.0/10 comment="AMPR Network #2" list=AMPR<br></code>		/ip/firewall/address-list/add address=44.128.0.0/10 comment="AMPR Network #2" list=AMPR<br></code>

Riga 61:		Riga 59:

	4. Si definisce la regola di NAT (IP Masquerade) per la traslazione IP privato / pubblico dedicata alla sola destinazione AMPR:<br>		4. Si definisce la regola di NAT (IP Masquerade) per la traslazione IP privato / pubblico dedicata alla sola destinazione AMPR:<br>
	<code>		<code>/ip/firewall/nat/add action=masquerade chain=srcnat comment="AMPR VPN NAT" dst-address-list=AMPR out-interface=wg_ampr_ari<br>
	/ip/firewall/nat/add action=masquerade chain=srcnat comment="AMPR VPN NAT" dst-address-list=AMPR out-interface=wg_ampr_ari<br>
	</code>		</code>
	<i>Note importanti: La regola di NAT così definita è generica, si consiglia di ottimizzarla specificando come src-address il prefisso locale permesso per l'accesso alla rete AMPR (esempio 192.168.0.0/24). Controllare l' ordine delle regole inserite, potrebbe essere necessario spostare la regola (più selettiva) appena creata in posizione di priorità rispetto ad altre già attive nel proprio router.</i>		<i>Note importanti: La regola di NAT così definita è generica, si consiglia di ottimizzarla specificando come src-address il prefisso locale permesso per l'accesso alla rete AMPR (esempio 192.168.0.0/24). Controllare l' ordine delle regole inserite, potrebbe essere necessario spostare la regola (più selettiva) appena creata in posizione di priorità rispetto ad altre già attive nel proprio router.</i>
Riga 71:		Riga 68:
	In aggiunta, sarà anche possibile ora pubblicare un servizio (ad esempio un WebServer) accessibile dalla rete AMPR, semplicemente configurando un NA(P)T (nell'esempio seguente si utilizza l'IP AMPR configurato nell'esempio sopra, ovvero il 44.32.32.255 e l' IP privato del server 192.168.0.10 che risponde in porta 80/TCP:		In aggiunta, sarà anche possibile ora pubblicare un servizio (ad esempio un WebServer) accessibile dalla rete AMPR, semplicemente configurando un NA(P)T (nell'esempio seguente si utilizza l'IP AMPR configurato nell'esempio sopra, ovvero il 44.32.32.255 e l' IP privato del server 192.168.0.10 che risponde in porta 80/TCP:

	<code>		<code>/ip/firewall/nat add action=dst-nat chain=dstnat comment="AMPR WebServer NAT" dst-address=44.32.32.255 dst-port=80 in-interface=wg_ampr_ari protocol=tcp to-addresses=192.168.0.10 to-ports=80
	/ip/firewall/nat add action=dst-nat chain=dstnat comment="AMPR WebServer NAT" dst-address=44.32.32.255 dst-port=80 in-interface=wg_ampr_ari protocol=tcp to-addresses=192.168.0.10 to-ports=80
	</code>		</code>

	Anche in questo caso sarà necessario adattare opportune regole di restrizione e/o packet-filtering in modo da garantire la sicurezza di accesso necessaria all'applicativo esposto.		Anche in questo caso sarà necessario adattare opportune regole di restrizione e/o packet-filtering in modo da garantire la sicurezza di accesso necessaria all'applicativo esposto.

Iw2nke il 09:58, 13 mar 2024

2024-03-13T09:58:18Z

← Versione meno recente		Versione delle 11:58, 13 mar 2024
Riga 47:		Riga 47:

	2. Si definisce una Routing-Table dedicata e le corrispondenti regole di instradamento:<br>		2. Si definisce una Routing-Table dedicata e le corrispondenti regole di instradamento:<br>
	<code>		<code>/routing/table/add disabled=no fib name=ARI-AMPR<br>
	/routing/table/add disabled=no fib name=ARI-AMPR<br>
	/ip/route/add check-gateway=ping comment="AMPR" disabled=no distance=1 dst-address=44.0.0.0/9 gateway=44.32.32.1%wg_ampr_ari routing-table=ARI-AMPR scope=30 suppress-hw-offload=no<br>		/ip/route/add check-gateway=ping comment="AMPR" disabled=no distance=1 dst-address=44.0.0.0/9 gateway=44.32.32.1%wg_ampr_ari routing-table=ARI-AMPR scope=30 suppress-hw-offload=no<br>
	/ip/route/add check-gateway=ping comment="AMPR" disabled=no distance=1 dst-address=44.128.0.0/10 gateway=44.32.32.1%wg_ampr_ari routing-table=ARI-AMPR scope=30 suppress-hw-offload=no<br></code>		/ip/route/add check-gateway=ping comment="AMPR" disabled=no distance=1 dst-address=44.128.0.0/10 gateway=44.32.32.1%wg_ampr_ari routing-table=ARI-AMPR scope=30 suppress-hw-offload=no<br></code>

	3. Si definiscono le regole di mangle / packet-marking considerando la routing-table separata appena creata:<br>		3. Si definiscono le regole di mangle / packet-marking considerando la routing-table separata appena creata:<br>
	<code>		<code>/ip/firewall/mangle/add action=mark-routing chain=prerouting src-address-list=!AMPR dst-address-list=AMPR new-routing-mark=ARI-AMPR passthrough=no<br>
	/ip/firewall/mangle/add action=mark-routing chain=prerouting src-address-list=!AMPR dst-address-list=AMPR new-routing-mark=ARI-AMPR passthrough=no<br>
	/ip/firewall/mangle/add action=mark-connection chain=input in-interface=wg_ampr_ari new-connection-mark=AMPR-CONNECTION passthrough=yes<br>		/ip/firewall/mangle/add action=mark-connection chain=input in-interface=wg_ampr_ari new-connection-mark=AMPR-CONNECTION passthrough=yes<br>
	/ip/firewall/mangle/add action=mark-connection chain=forward in-interface=wg_ampr_ari new-connection-mark=AMPR-CONNECTION passthrough=yes<br>		/ip/firewall/mangle/add action=mark-connection chain=forward in-interface=wg_ampr_ari new-connection-mark=AMPR-CONNECTION passthrough=yes<br>

IU0LFQ il 16:23, 6 mar 2024

2024-03-06T16:23:01Z

← Versione meno recente		Versione delle 18:23, 6 mar 2024
Riga 1:		Riga 1:
			= La VPN di Accesso AMPR ARI=
	La VPN per l'accesso alla rete AMPR in subnet 44 (nella porzione di rete 44.32.32.0/21 a noi delegata) utilizza il protocollo WireGuard. In fase di attivazione viene consegnato all'utenza un file di configurazione in formato INI WireGuard: esso contiene tutte le informazioni necessarie alla configurazione della VPN per il client nativo che implementa le funzionalità ( https://www.wireguard.com ).		La VPN per l'accesso alla rete AMPR in subnet 44 (nella porzione di rete 44.32.32.0/21 a noi delegata) utilizza il protocollo WireGuard. In fase di attivazione viene consegnato all'utenza un file di configurazione in formato INI WireGuard: esso contiene tutte le informazioni necessarie alla configurazione della VPN per il client nativo che implementa le funzionalità ( https://www.wireguard.com ).

			== Requisiti e Tools ==
	L'installazione in RouterOS può presentare dei passaggi dipendenti dalla configurazione attuale del router, e richiede comunque una discreta padronanza dell' infrastruttura che si andrà ad integrare.		L'installazione in RouterOS può presentare dei passaggi dipendenti dalla configurazione attuale del router, e richiede comunque una discreta padronanza dell' infrastruttura che si andrà ad integrare.

	~~<hr>~~

	ARI ha predisposto uno strumento di traduzione delle proprietà descritte nel file INI, in comandi di configurazione compatibili con RouterOS (a partire dalla versione 7, se non si disponesse di un sistema con a bordo RouterOS di versione compatibile, il produttore mette a disposizione molte risorse per la transizione: https://help.mikrotik.com/docs/display/ROS/Moving+from+ROSv6+to+v7+with+examples ).		ARI ha predisposto uno strumento di traduzione delle proprietà descritte nel file INI, in comandi di configurazione compatibili con RouterOS (a partire dalla versione 7, se non si disponesse di un sistema con a bordo RouterOS di versione compatibile, il produttore mette a disposizione molte risorse per la transizione: https://help.mikrotik.com/docs/display/ROS/Moving+from+ROSv6+to+v7+with+examples ).
	<br>		<br>
	Il tool di conversione è consultabile all'indirizzo: https://ipam.ampr.ari.it/wgtomt.html		Il tool di conversione è consultabile all'indirizzo: https://ipam.ampr.ari.it/wgtomt.html

			== Traduzione del file INI in formato RouterOS ==

	Consigliamo, per la configurazione della VPN, di inserire il contenuto del file INI nel form del tool messo a disposizione, ad esempio se avessimo ricevuto il seguente file (nell'esempio sono contenuti dati non reali, a solo scopo esemplificativo):		Consigliamo, per la configurazione della VPN, di inserire il contenuto del file INI nel form del tool messo a disposizione, ad esempio se avessimo ricevuto il seguente file (nell'esempio sono contenuti dati non reali, a solo scopo esemplificativo):
Riga 32:		Riga 34:

	Questa configurazione farà si che il nostro EndPoint VPN possa parlare con la rete AMPR attraverso il terminatore VPN fornito da ARI - Ovviamente la configurazione proposta sarà funzionante al netto di configurazioni specifiche di Packet Filtering e NA(P)T specifiche in funzione delle esigenze del singolo utente.		Questa configurazione farà si che il nostro EndPoint VPN possa parlare con la rete AMPR attraverso il terminatore VPN fornito da ARI - Ovviamente la configurazione proposta sarà funzionante al netto di configurazioni specifiche di Packet Filtering e NA(P)T specifiche in funzione delle esigenze del singolo utente.

			== Routing e NAT di base ==

	Comunemente, un router configurato con una interfaccia ad uso locale (con associato un indirizzamento IPv4 locale, per la propria LAN) avrà bisogno di una regola di NAT per poter mascherare gli indirizzi privati dietro l'endpoint pubblico afferente alla rete AMPR appena configurato, nel nostro caso vorremo che il solo accesso per la destinazione alla rete AMPR passi per la VPN, pertanto dovremo assicurarci che il traffico venga correttamente marcato a tale scopo e soprattutto che il traffico entrante nella interfaccia VPN (che ricordiamo essere a tutti gli effetti una interfaccia pubblica, da proteggere con opporture regole di firewall) torni indietro con il corretto mittente e attraverso la corretta interfaccia.		Comunemente, un router configurato con una interfaccia ad uso locale (con associato un indirizzamento IPv4 locale, per la propria LAN) avrà bisogno di una regola di NAT per poter mascherare gli indirizzi privati dietro l'endpoint pubblico afferente alla rete AMPR appena configurato, nel nostro caso vorremo che il solo accesso per la destinazione alla rete AMPR passi per la VPN, pertanto dovremo assicurarci che il traffico venga correttamente marcato a tale scopo e soprattutto che il traffico entrante nella interfaccia VPN (che ricordiamo essere a tutti gli effetti una interfaccia pubblica, da proteggere con opporture regole di firewall) torni indietro con il corretto mittente e attraverso la corretta interfaccia.
Riga 64:		Riga 68:
	<i>Note importanti: La regola di NAT così definita è generica, si consiglia di ottimizzarla specificando come src-address il prefisso locale permesso per l'accesso alla rete AMPR (esempio 192.168.0.0/24). Controllare l' ordine delle regole inserite, potrebbe essere necessario spostare la regola (più selettiva) appena creata in posizione di priorità rispetto ad altre già attive nel proprio router.</i>		<i>Note importanti: La regola di NAT così definita è generica, si consiglia di ottimizzarla specificando come src-address il prefisso locale permesso per l'accesso alla rete AMPR (esempio 192.168.0.0/24). Controllare l' ordine delle regole inserite, potrebbe essere necessario spostare la regola (più selettiva) appena creata in posizione di priorità rispetto ad altre già attive nel proprio router.</i>
	<br><br>		<br><br>
	~~<hr>~~
	Se tutto ha funzionato correttamente (e se il contesto personale del router/firewall è stato modificato a dovere, adattando quanto necessario) la rete locale dovrebbe essere mascherata dietro l'indirizzo IP AMPR (appartenente alla 44.32.32.0/21) comunicato in fase di attiazione. Un semplice traceroute verso 44.32.32.1 dovrebbe confermare la configurazione mostrando l'IP raggiungibile ad un solo HOP di distanza.		Se tutto ha funzionato correttamente (e se il contesto personale del router/firewall è stato modificato a dovere, adattando quanto necessario) la rete locale dovrebbe essere mascherata dietro l'indirizzo IP AMPR (appartenente alla 44.32.32.0/21) comunicato in fase di attiazione. Un semplice traceroute verso 44.32.32.1 dovrebbe confermare la configurazione mostrando l'IP raggiungibile ad un solo HOP di distanza.
	~~<hr>~~
	~~<br>~~		== Pubblicazione di un servizio su rete AMPR ==
	In aggiunta, sarà anche possibile ora pubblicare un servizio (ad esempio un WebServer) accessibile dalla rete AMPR, semplicemente configurando un NA(P)T (nell'esempio seguente si utilizza l'IP AMPR configurato nell'esempio sopra, ovvero il 44.32.32.255 e l' IP privato del server 192.168.0.10 che risponde in porta 80/TCP:		In aggiunta, sarà anche possibile ora pubblicare un servizio (ad esempio un WebServer) accessibile dalla rete AMPR, semplicemente configurando un NA(P)T (nell'esempio seguente si utilizza l'IP AMPR configurato nell'esempio sopra, ovvero il 44.32.32.255 e l' IP privato del server 192.168.0.10 che risponde in porta 80/TCP:

IU0LFQ il 16:15, 6 mar 2024

2024-03-06T16:15:57Z

← Versione meno recente		Versione delle 18:15, 6 mar 2024
Riga 1:		Riga 1:
	La VPN per l'accesso alla rete AMPR in ~~classe A~~ 44 (nella porzione di rete 44.32.32.0/21 a noi delegata) utilizza il protocollo WireGuard. In fase di attivazione viene consegnato all'utenza un file di configurazione in formato INI WireGuard: esso contiene tutte le informazioni necessarie alla configurazione della VPN per il client nativo che implementa le funzionalità ( https://www.wireguard.com ).		La VPN per l'accesso alla rete AMPR in subnet 44 (nella porzione di rete 44.32.32.0/21 a noi delegata) utilizza il protocollo WireGuard. In fase di attivazione viene consegnato all'utenza un file di configurazione in formato INI WireGuard: esso contiene tutte le informazioni necessarie alla configurazione della VPN per il client nativo che implementa le funzionalità ( https://www.wireguard.com ).

	L'installazione in RouterOS può presentare dei passaggi dipendenti dalla configurazione attuale del router, e richiede comunque una discreta padronanza dell' infrastruttura che si andrà ad integrare.		L'installazione in RouterOS può presentare dei passaggi dipendenti dalla configurazione attuale del router, e richiede comunque una discreta padronanza dell' infrastruttura che si andrà ad integrare.
Riga 5:		Riga 5:
	<hr>		<hr>

	ARI ha predisposto uno strumento di traduzione delle proprietà descritte nel file INI, in comandi di configurazione compatibili con RouterOS (a partire dalla versione 7). Il tool è consultabile all'indirizzo: https://ipam.ampr.ari.it/wgtomt.html		ARI ha predisposto uno strumento di traduzione delle proprietà descritte nel file INI, in comandi di configurazione compatibili con RouterOS (a partire dalla versione 7, se non si disponesse di un sistema con a bordo RouterOS di versione compatibile, il produttore mette a disposizione molte risorse per la transizione: https://help.mikrotik.com/docs/display/ROS/Moving+from+ROSv6+to+v7+with+examples ).
			<br>
			Il tool di conversione è consultabile all'indirizzo: https://ipam.ampr.ari.it/wgtomt.html

	Consigliamo, per la configurazione della VPN, di inserire il contenuto del file INI nel form del tool messo a disposizione, ad esempio se avessimo ricevuto il seguente file (nell'esempio sono contenuti dati non reali, a solo scopo esemplificativo):		Consigliamo, per la configurazione della VPN, di inserire il contenuto del file INI nel form del tool messo a disposizione, ad esempio se avessimo ricevuto il seguente file (nell'esempio sono contenuti dati non reali, a solo scopo esemplificativo):

Iw2nke il 19:07, 22 feb 2024

2024-02-22T19:07:40Z

← Versione meno recente		Versione delle 21:07, 22 feb 2024
Riga 31:		Riga 31:
	Questa configurazione farà si che il nostro EndPoint VPN possa parlare con la rete AMPR attraverso il terminatore VPN fornito da ARI - Ovviamente la configurazione proposta sarà funzionante al netto di configurazioni specifiche di Packet Filtering e NA(P)T specifiche in funzione delle esigenze del singolo utente.		Questa configurazione farà si che il nostro EndPoint VPN possa parlare con la rete AMPR attraverso il terminatore VPN fornito da ARI - Ovviamente la configurazione proposta sarà funzionante al netto di configurazioni specifiche di Packet Filtering e NA(P)T specifiche in funzione delle esigenze del singolo utente.

	Comunemente, un router configurato con una interfaccia ad uso locale (con associato un indirizzamento IPv4 locale, per la propria LAN) avrà bisogno di una regola di NAT per poter mascherare gli indirizzi privati dietro l' endpoint pubblico afferente alla rete AMPR appena configurato, nel nostro caso vorremo che il solo accesso per la destinazione alla rete AMPR passi per la VPN, pertanto dovremo assicurarci che il traffico venga correttamente marcato a tale scopo e soprattutto che il traffico entrante nella interfaccia VPN (che ricordiamo essere a tutti gli effetti una interfaccia pubblica, da proteggere con opporture regole di firewall) torni indietro con il corretto mittente e attraverso la corretta interfaccia.		Comunemente, un router configurato con una interfaccia ad uso locale (con associato un indirizzamento IPv4 locale, per la propria LAN) avrà bisogno di una regola di NAT per poter mascherare gli indirizzi privati dietro l'endpoint pubblico afferente alla rete AMPR appena configurato, nel nostro caso vorremo che il solo accesso per la destinazione alla rete AMPR passi per la VPN, pertanto dovremo assicurarci che il traffico venga correttamente marcato a tale scopo e soprattutto che il traffico entrante nella interfaccia VPN (che ricordiamo essere a tutti gli effetti una interfaccia pubblica, da proteggere con opporture regole di firewall) torni indietro con il corretto mittente e attraverso la corretta interfaccia.

	Un esempio (non esaustivo, che ogni utente deve necessariamente completare ed adattare alla propria infrastruttura e topologia di rete) per la configurazione di uno scenario simile sarà il seguente;		Un esempio (non esaustivo, che ogni utente deve necessariamente completare ed adattare alla propria infrastruttura e topologia di rete) per la configurazione di uno scenario simile sarà il seguente;

	1. Si definisce una address-list per le destinazioni dell' intero dominio AMPR:<br>		1. Si definisce una address-list per le destinazioni dell'intero dominio AMPR:<br>
	<code>		<code>
	/ip/firewall/address-list/add address=44.0.0.0/9 comment="AMPR Network #1" list=AMPR<br>		/ip/firewall/address-list/add address=44.0.0.0/9 comment="AMPR Network #1" list=AMPR<br>
Riga 60:		Riga 60:
	/ip/firewall/nat/add action=masquerade chain=srcnat comment="AMPR VPN NAT" dst-address-list=AMPR out-interface=wg_ampr_ari<br>		/ip/firewall/nat/add action=masquerade chain=srcnat comment="AMPR VPN NAT" dst-address-list=AMPR out-interface=wg_ampr_ari<br>
	</code>		</code>
	<i>Note importanti: La regola di NAT così definita è generica, si consiglia di ottimizzarla specificando come src-address il prefisso locale permesso per l' accesso alla rete AMPR (esempio 192.168.0.0/24). Controllare l' ordine delle regole inserite, potrebbe essere necessario spostare la regola (più selettiva) appena creata in posizione di priorità rispetto ad altre già attive nel proprio router.</i>		<i>Note importanti: La regola di NAT così definita è generica, si consiglia di ottimizzarla specificando come src-address il prefisso locale permesso per l'accesso alla rete AMPR (esempio 192.168.0.0/24). Controllare l' ordine delle regole inserite, potrebbe essere necessario spostare la regola (più selettiva) appena creata in posizione di priorità rispetto ad altre già attive nel proprio router.</i>
	<br><br>		<br><br>
	<hr>		<hr>
	Se tutto ha funzionato correttamente (e se il contesto personale del router/firewall è stato modificato a dovere, adattando quanto necessario) la rete locale dovrebbe essere mascherata dietro l'indirizzo IP AMPR (appartenente alla 44.32.32.0/21) comunicato in fase di attiazione. Un semplice traceroute verso 44.32.32.1 dovrebbe confermare la configurazione mostrando l' IP raggiungibile ad un solo HOP di distanza.		Se tutto ha funzionato correttamente (e se il contesto personale del router/firewall è stato modificato a dovere, adattando quanto necessario) la rete locale dovrebbe essere mascherata dietro l'indirizzo IP AMPR (appartenente alla 44.32.32.0/21) comunicato in fase di attiazione. Un semplice traceroute verso 44.32.32.1 dovrebbe confermare la configurazione mostrando l'IP raggiungibile ad un solo HOP di distanza.
	<hr>		<hr>
	<br>		<br>
	In aggiunta, sarà anche possibile ora pubblicare un servizio (ad esempio un WebServer) accessibile dalla rete AMPR, semplicemente configurando un NA(P)T (nell' esempio seguente si utilizza l' IP AMPR configurato nell'esempio sopra, ovvero il 44.32.32.255 e l' IP privato del server 192.168.0.10 che risponde in porta 80/TCP:		In aggiunta, sarà anche possibile ora pubblicare un servizio (ad esempio un WebServer) accessibile dalla rete AMPR, semplicemente configurando un NA(P)T (nell'esempio seguente si utilizza l'IP AMPR configurato nell'esempio sopra, ovvero il 44.32.32.255 e l' IP privato del server 192.168.0.10 che risponde in porta 80/TCP:

	<code>		<code>
Riga 72:		Riga 72:
	</code>		</code>

	Anche in questo caso sarà necessario adattare opportune regole di restrizione e/o packet-filtering in modo da garantire la sicurezza di accesso necessaria all' applicativo esposto.		Anche in questo caso sarà necessario adattare opportune regole di restrizione e/o packet-filtering in modo da garantire la sicurezza di accesso necessaria all'applicativo esposto.

Iw2nke il 16:49, 22 feb 2024

2024-02-22T16:49:59Z

← Versione meno recente		Versione delle 18:49, 22 feb 2024
Riga 1:		Riga 1:
	La VPN per l'accesso alla rete AMPR in classe 44 (nella porzione di rete 44.32.32.0/21 a noi delegata) utilizza il protocollo WireGuard. In fase di attivazione viene consegnato all'utenza un file di configurazione in formato INI WireGuard~~, che~~ contiene tutte le informazioni necessarie alla configurazione della VPN per il client nativo che implementa le funzionalità ( https://www.wireguard.com ).		La VPN per l'accesso alla rete AMPR in classe A 44 (nella porzione di rete 44.32.32.0/21 a noi delegata) utilizza il protocollo WireGuard. In fase di attivazione viene consegnato all'utenza un file di configurazione in formato INI WireGuard: esso contiene tutte le informazioni necessarie alla configurazione della VPN per il client nativo che implementa le funzionalità ( https://www.wireguard.com ).

	L'installazione in RouterOS può presentare dei passaggi dipendenti dalla configurazione attuale del router, e richiede comunque una discreta padronanza dell' infrastruttura che si andrà ad integrare.		L'installazione in RouterOS può presentare dei passaggi dipendenti dalla configurazione attuale del router, e richiede comunque una discreta padronanza dell' infrastruttura che si andrà ad integrare.

IU0LFQ il 11:23, 22 feb 2024

2024-02-22T11:23:21Z

← Versione meno recente		Versione delle 13:23, 22 feb 2024
Riga 54:		Riga 54:
	/ip/firewall/mangle/add action=mark-routing chain=output connection-mark=AMPR-CONNECTION new-routing-mark=ARI-AMPR passthrough=no<br>		/ip/firewall/mangle/add action=mark-routing chain=output connection-mark=AMPR-CONNECTION new-routing-mark=ARI-AMPR passthrough=no<br>
	</code>		</code>
	~~Nota~~: La prima regola di mangle così definita è generica, si consiglia di ottimizzarla specificando come src-address il prefisso locale permesso per l' accesso alla rete AMPR (esempio 192.168.0.0/24) eliminando di conseguenza src-address-list=!AMPR.		<i>Note importanti: La prima regola di mangle così definita nell' esempio è generica, si consiglia di ottimizzarla specificando come src-address il prefisso locale permesso per l' accesso alla rete AMPR (esempio 192.168.0.0/24) eliminando di conseguenza src-address-list=!AMPR.</i>

	4. Si definisce la regola di NAT (IP Masquerade) per la traslazione IP privato / pubblico dedicata alla sola destinazione AMPR:<br>		4. Si definisce la regola di NAT (IP Masquerade) per la traslazione IP privato / pubblico dedicata alla sola destinazione AMPR:<br>
Riga 60:		Riga 60:
	/ip/firewall/nat/add action=masquerade chain=srcnat comment="AMPR VPN NAT" dst-address-list=AMPR out-interface=wg_ampr_ari<br>		/ip/firewall/nat/add action=masquerade chain=srcnat comment="AMPR VPN NAT" dst-address-list=AMPR out-interface=wg_ampr_ari<br>
	</code>		</code>
	Note:~~<br>~~		<i>Note importanti: La regola di NAT così definita è generica, si consiglia di ottimizzarla specificando come src-address il prefisso locale permesso per l' accesso alla rete AMPR (esempio 192.168.0.0/24). Controllare l' ordine delle regole inserite, potrebbe essere necessario spostare la regola (più selettiva) appena creata in posizione di priorità rispetto ad altre già attive nel proprio router.</i>
	La regola di NAT così definita è generica, si consiglia di ottimizzarla specificando come src-address il prefisso locale permesso per l' accesso alla rete AMPR (esempio 192.168.0.0/24).~~<br>~~		<br><br>
	Controllare l' ordine delle regole inserite, potrebbe essere necessario spostare la regola (più selettiva) appena creata in posizione di priorità rispetto ad altre già attive nel proprio router.

	<hr>		<hr>

	Se tutto ha funzionato correttamente (e se il contesto personale del router/firewall è stato modificato a dovere, adattando quanto necessario) la rete locale dovrebbe essere mascherata dietro l'indirizzo IP AMPR (appartenente alla 44.32.32.0/21) comunicato in fase di attiazione. Un semplice traceroute verso 44.32.32.1 dovrebbe confermare la configurazione mostrando l' IP raggiungibile ad un solo HOP di distanza.		Se tutto ha funzionato correttamente (e se il contesto personale del router/firewall è stato modificato a dovere, adattando quanto necessario) la rete locale dovrebbe essere mascherata dietro l'indirizzo IP AMPR (appartenente alla 44.32.32.0/21) comunicato in fase di attiazione. Un semplice traceroute verso 44.32.32.1 dovrebbe confermare la configurazione mostrando l' IP raggiungibile ad un solo HOP di distanza.

	<hr>		<hr>
			<br>
	In aggiunta, sarà anche possibile ora pubblicare un servizio (ad esempio un WebServer) accessibile dalla rete AMPR, semplicemente configurando un NA(P)T (nell' esempio seguente si utilizza l' IP AMPR configurato nell'esempio sopra, ovvero il 44.32.32.255 e l' IP privato del server 192.168.0.10 che risponde in porta 80/TCP:		In aggiunta, sarà anche possibile ora pubblicare un servizio (ad esempio un WebServer) accessibile dalla rete AMPR, semplicemente configurando un NA(P)T (nell' esempio seguente si utilizza l' IP AMPR configurato nell'esempio sopra, ovvero il 44.32.32.255 e l' IP privato del server 192.168.0.10 che risponde in porta 80/TCP:

IU0LFQ il 11:19, 22 feb 2024

2024-02-22T11:19:28Z

← Versione meno recente		Versione delle 13:19, 22 feb 2024
Riga 60:		Riga 60:
	/ip/firewall/nat/add action=masquerade chain=srcnat comment="AMPR VPN NAT" dst-address-list=AMPR out-interface=wg_ampr_ari<br>		/ip/firewall/nat/add action=masquerade chain=srcnat comment="AMPR VPN NAT" dst-address-list=AMPR out-interface=wg_ampr_ari<br>
	</code>		</code>
	Note:		Note:<br>
	La regola di NAT così definita è generica, si consiglia di ottimizzarla specificando come src-address il prefisso locale permesso per l' accesso alla rete AMPR (esempio 192.168.0.0/24).<br>		La regola di NAT così definita è generica, si consiglia di ottimizzarla specificando come src-address il prefisso locale permesso per l' accesso alla rete AMPR (esempio 192.168.0.0/24).<br>
	Controllare l' ordine delle regole inserite, potrebbe essere necessario spostare la regola (più selettiva) appena creata in posizione di priorità rispetto ad altre già attive nel proprio router.		Controllare l' ordine delle regole inserite, potrebbe essere necessario spostare la regola (più selettiva) appena creata in posizione di priorità rispetto ad altre già attive nel proprio router.

			<hr>

	Se tutto ha funzionato correttamente (e se il contesto personale del router/firewall è stato modificato a dovere, adattando quanto necessario) la rete locale dovrebbe essere mascherata dietro l'indirizzo IP AMPR (appartenente alla 44.32.32.0/21) comunicato in fase di attiazione. Un semplice traceroute verso 44.32.32.1 dovrebbe confermare la configurazione mostrando l' IP raggiungibile ad un solo HOP di distanza.		Se tutto ha funzionato correttamente (e se il contesto personale del router/firewall è stato modificato a dovere, adattando quanto necessario) la rete locale dovrebbe essere mascherata dietro l'indirizzo IP AMPR (appartenente alla 44.32.32.0/21) comunicato in fase di attiazione. Un semplice traceroute verso 44.32.32.1 dovrebbe confermare la configurazione mostrando l' IP raggiungibile ad un solo HOP di distanza.