RouterOS通过IPsec隧道实现互访

关注

原创最新推荐文章于 2026-07-20 17:27:10 发布 1w 阅读 AI 写同款· GEO 优化 ›

L2TP-IPSec配置-RouterOS中级教程04 我们先用L2TP/IPsec配置试试手，这个简单点，网络全部拓扑见中级教程03。一、HQ路由器配置：首先我们要先配置IP，用于分公司连接上来后有IP可以通讯。 IP配置有两种，一种是DHCP，一种是指派IP。在企业分支互联中，ROS和ROS对接，倾向指派IP，这样管理更加方便，而指派IP的话，则是在账号里面配置的，所以我们先去配账号。三层交换写了默认路由 1.配... 阅读详情

IPSec 的两种工作模式：隧道（ip tunnel）模式和传输（ip transport）模式。简单的来说，隧道模式用于网关和网关之间的点对点连接；传输模式用于网关和电脑之间的点对点连接。具体的请自行百度。

本教程主要是RouterOS（以下简称ROS）通过IPsec隧道模式（IP tunnel）实现点对点互连。

一、网络拓扑

以下是一个使用 ROS实现IPsec点对点互连的案例。

网络拓扑：PC1（10.0.0.100） --- （10.0.0.1）R1（121.236.80.94） --- 互联网 --- （117.62.85.3）R2（192.168.88.1）---（192.168.88.254）PC2

二、R1路由器设置

1、IP tunnel设置：Winbox --> Interface，IP Tunnel选项卡，点击+

Remote Address填入R2外网ip地址，如117.62.85.3，点击OK

2、Winbox --> IP --> Firewall，NAT选项卡，点击+

Chain选择srcnat

Src. Address填入R1内网网段，如案列中R1的内网网段10.0.0.0/23

Dst. Address填入R2内网网段，如案列中R2的内网网段192.168.88.0/24

切换到Action选项卡，action选择accept，点击OK

注意：该条规则要在masquerade规则的上面

3、Winbox --> IP --> Firewall，NAT选项卡，修改上网的masquerade规则
Chain还是srcnat
Src. Address填入R1的内网网段，如案列中R1的内网网段10.0.0.0/23
切换到Action选项卡，action还是选择masquerade，点击OK

4、添加路由表，Winbox --> IP --> Routes，点击+

Dst. Address填入R2的内网ip网段，如192.168.88.0/24

Gateway选择刚才创建额ipip-tunnel1，点击OK

三、R2路由器设置

1、IP tunnel设置：Winbox --> Interface，IP Tunnel选项卡，点击+

Remote Address填入R1外网ip地址，如121.236.80.94，点击OK

2、Winbox --> IP --> Firewall，NAT选项卡，点击+

Chain选择srcnat

Src. Address填入R2内网网段，如案列中R2的内网网段192.168.88.0/24

Dst. Address填入R1内网网段，如案列中R1的内网网段10.0.0.0/23

切换到Action选项卡，action选择accept，点击OK

注意：该条规则要在masquerade规则的上面

3、Winbox --> IP --> Firewall，NAT选项卡，修改上网的masquerade规则
Chain还是srcnat
Src. Address填入R1的内网网段，如案列中R1的内网网段192.188.88.0/24
切换到Action选项卡，action还是选择masquerade，点击OK

4、添加路由表，Winbox --> IP --> Routes，点击+

Dst. Address填入R1的内网ip网段，如10.0.0.0/23

Gateway选择刚才创建额ipip-tunnel1，点击OK

四、动态IP实现自动修改

1、2个ROS做DDNS动态ip自动更新，具体实现方法请看《RouterOS利用DNSPOD的API接口实现DDNS动态解析》

2、2个ROS分别在Winbox --> IP --> Firewall，Address-list选项卡，点击+

Name，随便输入，如ipaddr

Address，填入对方的DDNS动态域名

3、定时脚本设置，Winbox --> system --> Scheduler，点击+

Name随便填

Interval脚本定时执行间隔，不建议设置太小

On Event:填入脚本

:global ipaddr
:local r2ip [/ip firewall address-list get [/ip firewall address-list find comment="ros.myxzy.com"] address]
:if ($r2ip != $ipaddr) do={
/interface ipip set ipip-tunnel1 remote-address=$r2ip
:set ipaddr $r2ip
:log info "IPIP UPDATE!"
}