求问个网络问题，关于两个子网间使用 IKEv2 做 Peering

[thetast]

Azure 上有 Virtual Gateway，使用 IKEv2 可以做 site-to-site vpn。本地有一台 Mikrotik 的 x86 虚机，无公网 IP （这个机器在家里路由器后面），但是可以去 Azure 上面搞一台虚机有公网 IP 的。请问这种情况下可以做 peering 么？谢谢！

[mandymak]

@thetast 试试在 azure 搞台 ubuntu 16 装 ROS CHR，这样才可以。

[zhjits]

羡慕有钱买 Azure 网关。
可以，IKEv2 本来就有 NAT-T 模式，如果两边都支持的话连上就好了。

[thetast]

@mandymak 感谢，装完 ROS CHR 之后，应该是怎么个配置法？是以什么样的链接做配置？
@zhjits 实验干活需要 -_-，上网不靠网关 :D。主要问题是我在家里的网络上配置了 VPN，所以变成没办法重叠一个 NAT-T 再在上面。同时配置的时候需要一个固定 IP - 否则每次家里的 IP 一变就断网了。想说用一台 Azure 虚机，然后本地连上去 NAT 出去搞定这个。

[mandymak]

@thetast 装完后上 mikrotik 网站注册一个账号，然后在 ros 上用该账号激活 P1 授权，免费试用 60 天。最后配个 L2TP 服务器好了，最简单，只用 UDP 1701 端口，不用担心 IPSec 议等不通过。

[thetast]

@mandymak 这个倒是已经有了，但是连上之后您建议是用 CHR 那台机器 ipsec 外面？

[goodryb]

是不是解决公网 IP 的问题更实际一些，虽然公网 IP 会变，但配置起来简单一些

[thetast]

@goodryb 其实是因为我自己的公网 IP 已经有一个 VPN 接入我自己的网络了。这个实验的网络想分开做。

[mandymak]

@thetast 其实我的情况跟你相同，我主路由器建了 IPsec，另外有一台 routeros 作为 l2tp 客户端用主路由器的线路，互相并不影响。

[zhjits]

@thetast 如果你需要一边动态 IP 的 IPSec，可以参考我的配置 https://blog.swineson.me/routeros-gre-over-ipsec-vpn-with-dynamic-ip/

[thetast]

@zhjits 感谢～

[mandymak]

@zhjits 感谢大神！一直在用你的 CHR 安装脚本。

[julyclyde]

@mandymak lz 问的可不是 L2TP over IPSec

[mandymak]

@julyclyde 的确楼主问的不是 L2TP over IPSec，我建议的也不是 L2TP over IPSec，是纯 L2TP。因为楼主的情况跟我的情况相似，都是主路由器有条 Site to site IPSec，现在想在副路由器上再架一条 site to site IPSec，但副路由器上没有公网 IP，这样配置起来会有些困难，所以我才建议用纯 L2TP。

[julyclyde]

@mandymak 纯 L2TP 貌似挺非主流的？有些操作系统配不出来这个吧？

[mandymak]

@julyclyde 楼主主要是做 site to site，而且两端都是 RouterOS，而且 RouterOS 还支持 PPTP、Open 和 SSTP 等。

[diguoemo]

传统 vpn 协议流量稍微一大，功夫网教你做人。不停闪断连接

[mandymak]

@diguoemo 楼主没说是国内连国外 azcure 啊！可能是国内连国内 azure 呢！要是真是国内连国外 azure，最好是国内 azure 连国外 azure。

[thetast]

@mandymak 国外 Azure. 连回来的基本上还好

[mandymak]

@thetast 国内 azure 连国外 azure 有特殊加成。

[terrancesiu]

@mandymak 没那么复杂在 ubuntu 里套 chr，我直接上次的 img 转换后的 vhd 做的虚拟机跑了一年没问题。