Перейти к содержанию
Как правильно добавить self-test и прочую отладку в тему
Официальное хранилище ПО в виде файлов

сконфигурировать IPsec/L2TP клиент

slad
 Поделиться

Рекомендуемые сообщения

r13 Старожил

r13

Опубликовано
Опубликовано
  В 14.03.2017 в 01:22, tripleNAT сказал:

2.09 так и не вышла. релиз задерживается? По прежнему не могу установить подключение keenetic 4g III rev.A к l2tp over IPsec серверу mikrotik.

Показать  

До релиза 2.09 еще как до луны. Имется ввиду draft версия. 

  • Ответов 207
  • Создана
  • Последний ответ

Топ авторов темы

Популярные дни

Топ авторов темы

Популярные дни

Популярные посты

Le ecureuil
Le ecureuil

В официальном канале 2.07 на Keenetic Extra нет IPsec, если он вам нужен ставьте delta.

IgaX
IgaX

оке, алаверды, из https://zyxel.ru/kb/4857/ в https://zyxel.ru/kb/3295/ -> "Важно! Использование сервиса динамического DNS возможно только с "белым" публичным IP-адресом на внешнем (WAN) интерфейсе

KorDen
KorDen

Вот оно че! Вот теперь ощущается - по HTTP ~80 Мбит/с, Giga 2 CPU ~80-90%, морда не зависает... Копирование по самбе между компьютерами по туннелю вообще под 13 МБ/с (сеть гигабитная), но тогда морда

Изображения в теме

ck80 Пользователь

ck80

Опубликовано
Опубликовано (изменено)
  В 10.03.2017 в 05:56, jusitnow сказал:

Почему вы используете на керио ВПН туннель? 

Нужно же просто запустить VPN IPSec сервер

 

ipsec kerio.PNG

Показать  

Убрал VPN-туннель. Пробую подключиться так. Теперь ошибка в выборе шифра:

  Показать контент

 

Похоже у нас с jusitnow одинаковые проблемы. У меня также Kerio 9.2.1. В нем настроек шифрования не предусмотрено.

 

UPD Получилось подключиться. Но через другой модуль. В файрволе появился модуль VPN-Ipsec, где можно настроить тунель с керио. Сделал идентичные настройки на керио и кинетике и туннель успешно создался. Пинги идут.

thumb.png

thumb.png

thumb.png

 

Изменено пользователем ck80
tripleNAT Пользователь

tripleNAT

Опубликовано
Опубликовано (изменено)
  Показать контент

Обновился на отладочную 2.09. Логи на Keenetic и Mikrotik не изменились.

Keenetic:  

Mar 14 10:34:51 ipsecStarting strongSwan 5.5.1 IPsec [starter]... 
Mar 14 10:34:51 ipsec00[DMN] Starting IKE charon daemon (strongSwan 5.5.1, Linux 3.4.113, mips) 
Mar 14 10:34:51 ipsec00[CFG] loading secrets 
Mar 14 10:34:51 ipsec00[CFG]   loaded IKE secret for 192.168.1.100 5.228.74.226  
Mar 14 10:34:51 ipsec00[CFG] starting systime check, interval: 10s 
Mar 14 10:34:51 ipsec00[LIB] loaded plugins: charon random nonce openssl hmac attr kernel-netlink socket-default stroke updown eap-mschapv2 eap-dynamic xauth-generic xauth-eap error-notify systime-fix unity 
Mar 14 10:34:51 ipsec05[CFG] received stroke: add connection 'L2TP0' 
Mar 14 10:34:51 ipsec05[CFG] added configuration 'L2TP0' 
Mar 14 10:34:51 ipsec07[CFG] received stroke: initiate 'L2TP0' 
Mar 14 10:34:51 ipsec07[IKE] sending DPD vendor ID 
Mar 14 10:34:51 ipsec07[IKE] sending FRAGMENTATION vendor ID 
Mar 14 10:34:51 ipsec07[IKE] sending NAT-T (RFC 3947) vendor ID 
Mar 14 10:34:51 ipsec07[IKE] sending draft-ietf-ipsec-nat-t-ike-02\n vendor ID 
Mar 14 10:34:51 ipsec07[IKE] initiating Main Mode IKE_SA L2TP0[1] to 5.228.74.226 
Mar 14 10:34:51 ipsec09[IKE] received NAT-T (RFC 3947) vendor ID 
Mar 14 10:34:51 ipsec09[IKE] received DPD vendor ID 
Mar 14 10:34:51 ipsec09[IKE] received FRAGMENTATION vendor ID 
Mar 14 10:34:51 ipsec09[CFG] received proposals: IKE:AES_CBC=256/HMAC_SHA1_96/PRF_HMAC_SHA1/MODP_1024/# 
Mar 14 10:34:51 ipsec09[CFG] configured proposals: IKE:AES_CBC=256/HMAC_SHA1_96/PRF_HMAC_SHA1/MODP_1536/#, IKE:AES_CBC=128/HMAC_SHA1_96/PRF_HMAC_SHA1/MODP_1536/#, IKE:3DES_CBC/HMAC_SHA1_96/PRF_HMAC_SHA1/MODP_1536/#, IKE:AES_CBC=256/HMAC_SHA1_96/PRF_HMAC_SHA1/MODP_1024/#, IKE:AES_CBC=128/HMAC_SHA1_96/PRF_HMAC_SHA1/MODP_1024/#, IKE:3DES_CBC/HMAC_SHA1_96/PRF_HMAC_SHA1/MODP_1024/# 
Mar 14 10:34:51 ipsec09[CFG] selected proposal: IKE:AES_CBC=256/HMAC_SHA1_96/PRF_HMAC_SHA1/MODP_1024/# 
Mar 14 10:34:51 ipsec10[IKE] linked key for crypto map 'L2TP0' is not found, still searching 
Mar 14 10:34:51 ipsec10[IKE] local host is behind NAT, sending keep alives 
Mar 14 10:34:52 ndmCore::Server: started Session /var/run/ndm.core.socket.
Mar 14 10:34:52 upnpHTTP listening on port 35555
Mar 14 10:34:52 upnpListening for NAT-PMP/PCP traffic on port 5351
Mar 14 10:34:57 ndmNetwork::Interface::WebCaller: calling http://192.168.1.1/api/device/information.
Mar 14 10:34:59 ipsec06[IKE] sending retransmit 1 of request message ID 0, seq 3 
Mar 14 10:35:01 ipsec07[IKE] received retransmit of response with ID 0, but next request already sent 
Mar 14 10:35:02 ndmNetwork::Interface::WebCaller: response: 200 (OK).
Mar 14 10:35:08 ipsec11[IKE] sending retransmit 2 of request message ID 0, seq 3 
Mar 14 10:35:11 ipsec16[IKE] received retransmit of response with ID 0, but next request already sent 
Mar 14 10:35:17 ipsec07[IKE] sending retransmit 3 of request message ID 0, seq 3 
Mar 14 10:35:21 ipsec11[IKE] received retransmit of response with ID 0, but next request already sent 
Mar 14 10:35:28 ipsec16[IKE] sending retransmit 4 of request message ID 0, seq 3 
Mar 14 10:35:31 ipsec05[IKE] received retransmit of response with ID 0, but next request already sent 
Mar 14 10:35:33 ndmDns::Manager: record "xxxx.mykeenetic.ru", address 78.47.125.180 deleted.
Mar 14 10:35:33 ndmDns::Manager: added static record for "xxxx.mykeenetic.ru", address 78.47.125.180.
Mar 14 10:35:40 ipsec12[IKE] sending retransmit 5 of request message ID 0, seq 3 
Mar 14 10:35:41 ipsec14[IKE] received retransmit of response with ID 0, but next request already sent 
Mar 14 10:35:48 pptp[1826]Echo Reply received.
Mar 14 10:35:53 ipsec09[IKE] sending retransmit 6 of request message ID 0, seq 3 
Mar 14 10:36:07 ipsec06[IKE] sending retransmit 7 of request message ID 0, seq 3 
Mar 14 10:36:23 ipsec14[IKE] sending retransmit 8 of request message ID 0, seq 3 
Mar 14 10:36:40 ipsec12[IKE] giving up after 8 retransmits 
Mar 14 10:36:40 ndmIpSec::Configurator: remote peer of crypto map "L2TP0" is down.

Mikrotik (последняя прошивка): 

10:36:47 ipsec,info respond new phase 1 (Identity Protection): 5.228.74.226[500]<=
>94.25.177.199[41915] 
10:36:47 ipsec,error 94.25.177.199 parsing packet failed, possible cause: wrong password 
10:36:55 ipsec,error 94.25.177.199 parsing packet failed, possible cause: wrong password 
10:37:04 ipsec,error 94.25.177.199 parsing packet failed, possible cause: wrong password 
10:37:14 ipsec,error 94.25.177.199 parsing packet failed, possible cause: wrong password 
10:37:24 ipsec,error 94.25.177.199 parsing packet failed, possible cause: wrong password 
10:37:36 ipsec,error 94.25.177.199 parsing packet failed, possible cause: wrong password 
10:37:47 ipsec,error phase1 negotiation failed due to time up 5.228.74.226[4500]<=
>94.25.177.199[25184] 7da7d05b60ca0696:e1bacd535782e6e7

Пароли точно верные. С ними подключаюсь с других устройств.
 

Изменено пользователем tripleNAT
Le ecureuil Старожил

Le ecureuil

Опубликовано
Опубликовано
  В 14.03.2017 в 07:41, tripleNAT сказал:
  Показать контент

Обновился на отладочную 2.09. Логи на Keenetic и Mikrotik не изменились.

Keenetic:  

Mar 14 10:34:51 ipsecStarting strongSwan 5.5.1 IPsec [starter]... 
Mar 14 10:34:51 ipsec00[DMN] Starting IKE charon daemon (strongSwan 5.5.1, Linux 3.4.113, mips) 
Mar 14 10:34:51 ipsec00[CFG] loading secrets 
Mar 14 10:34:51 ipsec00[CFG]   loaded IKE secret for 192.168.1.100 5.228.74.226  
Mar 14 10:34:51 ipsec00[CFG] starting systime check, interval: 10s 
Mar 14 10:34:51 ipsec00[LIB] loaded plugins: charon random nonce openssl hmac attr kernel-netlink socket-default stroke updown eap-mschapv2 eap-dynamic xauth-generic xauth-eap error-notify systime-fix unity 
Mar 14 10:34:51 ipsec05[CFG] received stroke: add connection 'L2TP0' 
Mar 14 10:34:51 ipsec05[CFG] added configuration 'L2TP0' 
Mar 14 10:34:51 ipsec07[CFG] received stroke: initiate 'L2TP0' 
Mar 14 10:34:51 ipsec07[IKE] sending DPD vendor ID 
Mar 14 10:34:51 ipsec07[IKE] sending FRAGMENTATION vendor ID 
Mar 14 10:34:51 ipsec07[IKE] sending NAT-T (RFC 3947) vendor ID 
Mar 14 10:34:51 ipsec07[IKE] sending draft-ietf-ipsec-nat-t-ike-02\n vendor ID 
Mar 14 10:34:51 ipsec07[IKE] initiating Main Mode IKE_SA L2TP0[1] to 5.228.74.226 
Mar 14 10:34:51 ipsec09[IKE] received NAT-T (RFC 3947) vendor ID 
Mar 14 10:34:51 ipsec09[IKE] received DPD vendor ID 
Mar 14 10:34:51 ipsec09[IKE] received FRAGMENTATION vendor ID 
Mar 14 10:34:51 ipsec09[CFG] received proposals: IKE:AES_CBC=256/HMAC_SHA1_96/PRF_HMAC_SHA1/MODP_1024/# 
Mar 14 10:34:51 ipsec09[CFG] configured proposals: IKE:AES_CBC=256/HMAC_SHA1_96/PRF_HMAC_SHA1/MODP_1536/#, IKE:AES_CBC=128/HMAC_SHA1_96/PRF_HMAC_SHA1/MODP_1536/#, IKE:3DES_CBC/HMAC_SHA1_96/PRF_HMAC_SHA1/MODP_1536/#, IKE:AES_CBC=256/HMAC_SHA1_96/PRF_HMAC_SHA1/MODP_1024/#, IKE:AES_CBC=128/HMAC_SHA1_96/PRF_HMAC_SHA1/MODP_1024/#, IKE:3DES_CBC/HMAC_SHA1_96/PRF_HMAC_SHA1/MODP_1024/# 
Mar 14 10:34:51 ipsec09[CFG] selected proposal: IKE:AES_CBC=256/HMAC_SHA1_96/PRF_HMAC_SHA1/MODP_1024/# 
Mar 14 10:34:51 ipsec10[IKE] linked key for crypto map 'L2TP0' is not found, still searching 
Mar 14 10:34:51 ipsec10[IKE] local host is behind NAT, sending keep alives 
Mar 14 10:34:52 ndmCore::Server: started Session /var/run/ndm.core.socket.
Mar 14 10:34:52 upnpHTTP listening on port 35555
Mar 14 10:34:52 upnpListening for NAT-PMP/PCP traffic on port 5351
Mar 14 10:34:57 ndmNetwork::Interface::WebCaller: calling http://192.168.1.1/api/device/information.
Mar 14 10:34:59 ipsec06[IKE] sending retransmit 1 of request message ID 0, seq 3 
Mar 14 10:35:01 ipsec07[IKE] received retransmit of response with ID 0, but next request already sent 
Mar 14 10:35:02 ndmNetwork::Interface::WebCaller: response: 200 (OK).
Mar 14 10:35:08 ipsec11[IKE] sending retransmit 2 of request message ID 0, seq 3 
Mar 14 10:35:11 ipsec16[IKE] received retransmit of response with ID 0, but next request already sent 
Mar 14 10:35:17 ipsec07[IKE] sending retransmit 3 of request message ID 0, seq 3 
Mar 14 10:35:21 ipsec11[IKE] received retransmit of response with ID 0, but next request already sent 
Mar 14 10:35:28 ipsec16[IKE] sending retransmit 4 of request message ID 0, seq 3 
Mar 14 10:35:31 ipsec05[IKE] received retransmit of response with ID 0, but next request already sent 
Mar 14 10:35:33 ndmDns::Manager: record "bashkino.mykeenetic.ru", address 78.47.125.180 deleted.
Mar 14 10:35:33 ndmDns::Manager: added static record for "bashkino.mykeenetic.ru", address 78.47.125.180.
Mar 14 10:35:40 ipsec12[IKE] sending retransmit 5 of request message ID 0, seq 3 
Mar 14 10:35:41 ipsec14[IKE] received retransmit of response with ID 0, but next request already sent 
Mar 14 10:35:48 pptp[1826]Echo Reply received.
Mar 14 10:35:53 ipsec09[IKE] sending retransmit 6 of request message ID 0, seq 3 
Mar 14 10:36:07 ipsec06[IKE] sending retransmit 7 of request message ID 0, seq 3 
Mar 14 10:36:23 ipsec14[IKE] sending retransmit 8 of request message ID 0, seq 3 
Mar 14 10:36:40 ipsec12[IKE] giving up after 8 retransmits 
Mar 14 10:36:40 ndmIpSec::Configurator: remote peer of crypto map "L2TP0" is down.

Mikrotik (последняя прошивка): 

10:36:47 ipsec,info respond new phase 1 (Identity Protection): 5.228.74.226[500]<=
>94.25.177.199[41915] 
10:36:47 ipsec,error 94.25.177.199 parsing packet failed, possible cause: wrong password 
10:36:55 ipsec,error 94.25.177.199 parsing packet failed, possible cause: wrong password 
10:37:04 ipsec,error 94.25.177.199 parsing packet failed, possible cause: wrong password 
10:37:14 ipsec,error 94.25.177.199 parsing packet failed, possible cause: wrong password 
10:37:24 ipsec,error 94.25.177.199 parsing packet failed, possible cause: wrong password 
10:37:36 ipsec,error 94.25.177.199 parsing packet failed, possible cause: wrong password 
10:37:47 ipsec,error phase1 negotiation failed due to time up 5.228.74.226[4500]<=
>94.25.177.199[25184] 7da7d05b60ca0696:e1bacd535782e6e7

Пароли точно верные. С ними подключаюсь с других устройств.
 

self-test (3).txtПолучение информации...

Показать  

А PSK точно-точно совпадает?

Постараюсь проверить, просто никак руки не дойдут до создания стенда с mikrotik.

Le ecureuil Старожил

Le ecureuil

Опубликовано
Опубликовано
  В 13.03.2017 в 22:15, jusitnow сказал:

Спасибо за поддержку.

Настройки самые простые - не могу понять где тут можно накосячить. И почему тогда из виндовс заходит нормально. 

Я поднимал VPN сервер средствами Kerio Control 9.2.1 вот с такими настройками

58c714c8c589e_ipseckerio.PNG.bd94898a827eb07cb610e741065dc6ce.PNG

 

Вот какими настройками пытаюсь подключиться к этому серверу

58c7189814326_ipseckeen.thumb.PNG.a7e3538bd1297217f36b626353dcebd2.PNG

И пока к сожалению не получается

 

А вот с какими без проблем я подключаюсь из виндовс

58c717eaaad0b_ipsecwin.thumb.PNG.9e6e055a7b4840b56f42d79721215965.PNG

 

Могу дать в личку данные входа - для тестов. Давайте разберемся вместе что не так  

Показать  

IPsec не может быть простым по определению, если он для вас таков - значит уже поработало много людей бессонными ночами :) У нас же реализация относительно "молодая", возможны несовместимости.

Постараюсь проверить ситуацию с Kerio, оставайтесь на связи.

  • Спасибо 1
vadimbn Старожил

vadimbn

Опубликовано
Опубликовано
  В 14.03.2017 в 07:41, tripleNAT сказал:

Обновился на отладочную 2.09. Логи на Keenetic и Mikrotik не изменились.

Показать  

L2TP over IPSec между RB1100AHx2 (сервер) и Keenetic UltraII у меня превосходно работал даже с версией 2.07, не говоря уже о 2.08. Просто подключается и работает, сутками. Есть определенные проблемы, связь не восстанавливается после обрыва основного канала, но если выключить и снова включить соединение - все подключается снова быстро (здесь вопрос к Le ecureuil - это так и должно быть? Логи, селф-тест нужны?). У вас я не увидел полных настроек PPP, какой профиль используете? При L2TP over IPsec никаких peer настраивать не нужно! Они создаются сами, при указании в настройках сервера "Использовать IPsec", и указании ключа. Вообще в IP -> IPsec настраивать не нужно ничего, разве что в Proposals указать требуемые виды шифрования, у меня там стоит только хеширование SHA1 (при SHA256 кинетик к микротику не подключается), AES-256 CBC, AES-192 CBC и AES-128 CBC, те, которые на микротике ускоряются аппаратно. Что указано в Proposals - то и будет использоваться в связке, по возможности. С версией 2.07, например, кинетик не мог работать с AES-256 CBC и AES-192 CBC, работал только с AES-128 CBC. Сейчас, с последней релизной 2.08, работают и AES-256 CBC, AES-192 CBC, проверял это специально.

  • Спасибо 1
tripleNAT Пользователь

tripleNAT

Опубликовано
Опубликовано
  В 14.03.2017 в 09:07, vadimbn сказал:

L2TP over IPSec между RB1100AHx2 (сервер) и Keenetic UltraII у меня превосходно работал даже с версией 2.07, не говоря уже о 2.08. Просто подключается и работает, сутками. Есть определенные проблемы, связь не восстанавливается после обрыва основного канала, но если выключить и снова включить соединение - все подключается снова быстро (здесь вопрос к Le ecureuil - это так и должно быть? Логи, селф-тест нужны?). У вас я не увидел полных настроек PPP, какой профиль используете? При L2TP over IPsec никаких peer настраивать не нужно! Они создаются сами, при указании в настройках сервера "Использовать IPsec", и указании ключа. Вообще в IP -> IPsec настраивать не нужно ничего, разве что в Proposals указать требуемые виды шифрования, у меня там стоит только хеширование SHA1 (при SHA256 кинетик к микротику не подключается), AES-256 CBC, AES-192 CBC и AES-128 CBC, те, которые на микротике ускоряются аппаратно. Что указано в Proposals - то и будет использоваться в связке, по возможности. С версией 2.07, например, кинетик не мог работать с AES-256 CBC и AES-192 CBC, работал только с AES-128 CBC. Сейчас, с последней релизной 2.08, работают и AES-256 CBC, AES-192 CBC, проверял это специально.

Показать  

Согласен по поводу настроек Mikrotik. Так или иначе, используются дефолтные настройки peer. Сервер L2TP настроен как у вас, с указанием "использовать IPsec" и указанием IP secret. В proposals IPsec тоже самое. С другими устройствами все работает. Не подключается только Keenetic 4G III rev. A с любой прошивкой.

@Le ecureuil

Проверял-перепроверял PSK в первую очередь!

1.png

2.png

3.png

jusitnow Пользователь

jusitnow

Опубликовано
Опубликовано
  В 14.03.2017 в 08:23, Le ecureuil сказал:

IPsec не может быть простым по определению, если он для вас таков - значит уже поработало много людей бессонными ночами :) У нас же реализация относительно "молодая", возможны несовместимости.

Постараюсь проверить ситуацию с Kerio, оставайтесь на связи.

Показать  

Будем ждать.

повторюсь на 2.09 подключение осуществляется но только с галочкой использовать для интернета и  быстро отваливается 

jusitnow Пользователь

jusitnow

Опубликовано
Опубликовано
  В 14.03.2017 в 05:47, ck80 сказал:

Убрал VPN-туннель. Пробую подключиться так. Теперь ошибка в выборе шифра:

  Показать контент

 

Похоже у нас с jusitnow одинаковые проблемы. У меня также Kerio 9.2.1. В нем настроек шифрования не предусмотрено.

 

UPD Получилось подключиться. Но через другой модуль. В файрволе появился модуль VPN-Ipsec, где можно настроить тунель с керио. Сделал идентичные настройки на керио и кинетике и туннель успешно создался. Пинги идут.

thumb.png

thumb.png

thumb.png

 

Показать  

картинки не прогрузились. можно вложением сделать? или словами - какой модуль надо поставить?

vadimbn Старожил

vadimbn

Опубликовано
Опубликовано (изменено)
  В 14.03.2017 в 09:33, tripleNAT сказал:

Согласен по поводу настроек Mikrotik.

Показать  

В настройках L2TP-сервера не нужно использовать Profile default-encryption. У вас будет использоваться шифрование IPsec, поэтому используйте просто default profile, без шифрования. Далее проделайте следующее - на микротике в настройках L2TP-сервера уберите галочку Use IPsec, сохраните настройки, затем вообще отключите L2TP-сервер. Далее удалите в IP -> IPsec все Peer, если они там будут, все Remote Peers и Installed SA's. Потом включите L2TP-сервер снова, установите галочку Use IPsec, снова введите ключ, сохраните настройки. Это похоже на магию, но работает, при наличии любых нединамических Peer никакого подключения не будет, я на это уже нарывался.

Изменено пользователем vadimbn
  • Спасибо 1
tripleNAT Пользователь

tripleNAT

Опубликовано
Опубликовано
  В 14.03.2017 в 09:55, vadimbn сказал:

В настройках L2TP-сервера не нужно использовать Profile default-encryption. У вас будет использоваться шифрование IPsec, поэтому используйте просто default profile, без шифрования. Далее проделайте следующее - на микротике в настройках L2TP-сервера уберите галочку Use IPsec, сохраните настройки, затем вообще отключите L2TP-сервер. Далее удалите в IP -> IPsec все Peer, если они там будут, все Remote Peers и Installed SA's. Потом включите L2TP-сервер снова, установите галочку Use IPsec, снова введите ключ, сохраните настройки. Это похоже на магию, но работает, при наличии любых нединамических Peer никакого подключения не будет, я на это уже нарывался.

Показать  

Спасибо за помощь. Надеясь на магию, с вниманием выполнил все действия. В результате, к серверу подключились все клиенты (которые были подключены ранее) кроме Keenetic 4G III ;-)

ck80 Пользователь

ck80

Опубликовано
Опубликовано (изменено)
  В 14.03.2017 в 09:40, jusitnow сказал:

картинки не прогрузились. можно вложением сделать? или словами - какой модуль надо поставить?

Показать  

Keenetic III, Прошивка  v2.08(AAUU.0)B0

У меня вот эти модули установлены, конкретно какой за VPNIPsec в меню "Безопасность" прорисовывается не  знаю:

 

  Показать контент

То есть я настраивал не через меню "Подключения-PPoE/VPN", а через "Безопасность-IPSec VPN"

Изменено пользователем ck80
  • Спасибо 1
vadimbn Старожил

vadimbn

Опубликовано
Опубликовано
  В 14.03.2017 в 10:44, ck80 сказал:

IPsec VPN    Установлен

Показать  

Этот, наверное. Как я помню, туннели IP-IP, GRE и EOIP в web-интерфейсе никаких крутилок еще не имеют, настраиваются только в CLI.

tripleNAT Пользователь

tripleNAT

Опубликовано
Опубликовано (изменено)

@Le ecureuil

@vadimbn

@r13

Друзья! Путем многочисленных проб и ошибок удалось разобраться с причиной проблемы подключения Keenetic 4G III rev.A к серверу L2TP over IPsec на Mikrotik.

Создавая новые подключения и пробуя соединиться с различными серверами L2TP IPsec, получил множество успешных соединений вновь созданных подключений. Заподозрил неладное с PSK ключом (секретный ключ). Оказалось, однажды вписанный PSK ключ в подключении L2TP/IPsec Keenetic более не подлежит изменению! Впервые создав подключение, допустил ошибку в PSK ключе. В дальнейшем все мои правки оказались бесполезными, пока не создал новое подключение с правильным ключом. Замечу, что данная особенность "заморозки" значения переменной PSK ключа присутствует как в тестовой 2.09, так и в стабильной 2.08.

 

Изменено пользователем tripleNAT
  • Спасибо 1
vadimbn Старожил

vadimbn

Опубликовано
Опубликовано
  В 14.03.2017 в 15:02, tripleNAT сказал:

В дальнейшем все мои правки оказались бесполезными, пока не создал новое подключение с правильным ключом.

Показать  

Ну вот... Не поймешь где может быть засада. Сложное взаимодействие компонентов, причем на обоих концах, очевидно. Хорошо, что удалось разобраться.

Le ecureuil Старожил

Le ecureuil

Опубликовано
Опубликовано
  В 14.03.2017 в 15:02, tripleNAT сказал:

@Le ecureuil

@vadimbn

@r13

Друзья! Путем многочисленных проб и ошибок удалось разобраться с причиной проблемы подключения Keenetic 4G III rev.A к серверу L2TP over IPsec на Mikrotik.

Создавая новые подключения и пробуя соединиться с различными серверами L2TP IPsec, получил множество успешных соединений вновь созданных подключений. Заподозрил неладное с PSK ключом (секретный ключ). Оказалось, однажды вписанный PSK ключ в подключении L2TP/IPsec Keenetic более не подлежит изменению! Впервые создав подключение, допустил ошибку в PSK ключе. В дальнейшем все мои правки оказались бесполезными, пока не создал новое подключение с правильным ключом. Замечу, что данная особенность "заморозки" значения переменной PSK ключа присутствует как в тестовой 2.09, так и в стабильной 2.08.

 

Показать  

О, спасибо! Попробуем найти почему это так, и поправить.

Le ecureuil Старожил

Le ecureuil

Опубликовано
Опубликовано
  В 14.03.2017 в 15:02, tripleNAT сказал:

@Le ecureuil

@vadimbn

@r13

Друзья! Путем многочисленных проб и ошибок удалось разобраться с причиной проблемы подключения Keenetic 4G III rev.A к серверу L2TP over IPsec на Mikrotik.

Создавая новые подключения и пробуя соединиться с различными серверами L2TP IPsec, получил множество успешных соединений вновь созданных подключений. Заподозрил неладное с PSK ключом (секретный ключ). Оказалось, однажды вписанный PSK ключ в подключении L2TP/IPsec Keenetic более не подлежит изменению! Впервые создав подключение, допустил ошибку в PSK ключе. В дальнейшем все мои правки оказались бесполезными, пока не создал новое подключение с правильным ключом. Замечу, что данная особенность "заморозки" значения переменной PSK ключа присутствует как в тестовой 2.09, так и в стабильной 2.08.

 

Показать  

Проблема нашлась, она таилась в Web-интерфейсе. Из CLI смена работает как надо. Будем чинить.

  • Спасибо 1
jusitnow Пользователь

jusitnow

Опубликовано
Опубликовано
  В 14.03.2017 в 10:44, ck80 сказал:

Keenetic III, Прошивка  v2.08(AAUU.0)B0

У меня вот эти модули установлены, конкретно какой за VPNIPsec в меню "Безопасность" прорисовывается не  знаю:

 

  Показать контент

То есть я настраивал не через меню "Подключения-PPoE/VPN", а через "Безопасность-IPSec VPN"

Показать  

Спасибо. Сейчас попробую 

  • 11 месяцев спустя...
feoser Продвинутый пользователь

feoser

Опубликовано
Опубликовано (изменено)

Доброго времени суток!

Может гуру подскажут где кроется проблема.

Дома в роли роутера выступает ПК с керио, на нем поднят сервер vpn ipsec, к нему конектятся кинетики по ipsec vpn, на внешнем интерфейсе у керио белый фикс.

Точка 1:

Keenetic Giga III - 2.10.C.1.0-0

белый фикс на PPPoE и соответственно поднят ipsec vpn в сторону керио.

Точка 2:

Keenetic Ultra - 2.12.A.4.0-2

Серый IP (Подключение к провайдеру по беспроводной сети (WISP)) и соответственно поднят ipsec vpn в сторону керио.

Проблема в том, что с периодичностью в 40 с небольшим минут происходят реконнекты vpn.

В локальной сети vpn на керио держится стабильно.

Решил провести эксперимент, настроил через свисток точку 3, через неё направил из виртуалки машину с семеркой.

Точка 3:

Keenetic Viva - 2.12.A.4.0-2

Серый IP через USB 4G модем, и соответственно поднят ipsec vpn в сторону керио.

Также через этот роутер настроил ipsec vpn в сторону керио но уже с винды (т.е. получается от точки 3 в сторону керио идут параллельно два vpn, один с ПК(вин7), другой с самого роутера )

Туннель с винды держится стабильно, потерь пакетов в сторону внутренней сети за керио нет, а вот VPN на vive реконнектится каждые пять с небольшим минут.

Селф в следующем посте.

Рестарт, включение селф теста, прошло три реконнекта vpn от роутера, остановка теста.

ЗЫ чекбокс "использовать для интернета" на vpn ни где не стоит, использую для объединения сетей.

 

2018-02-25_20-14-01.png

Изменено пользователем feoser
feoser Продвинутый пользователь

feoser

Опубликовано
Опубликовано
  В 25.02.2018 в 18:33, Le ecureuil сказал:

Слишком мусорный лог, в котором почти нет полезной информации. Только единичный Modem hangup и все.

Показать  

Можно попробовать в нем привязаться к IP который назначается кенетику: 192.168.20.30, он несколько раз в логе проскакивает, могу настроить для Вас тестовый логин с паролем, если согласитесь, завтра попытаюсь это настроить, желательно получить от Вас фикс IP или хотя бы подсеть, а то у меня много в бане.

Le ecureuil Старожил

Le ecureuil

Опубликовано
Опубликовано
  В 25.02.2018 в 18:45, feoser сказал:

Можно попробовать в нем привязаться к IP который назначается кенетику: 192.168.20.30, он несколько раз в логе проскакивает, могу настроить для Вас тестовый логин с паролем, если согласитесь, завтра попытаюсь это настроить, желательно получить от Вас фикс IP или хотя бы подсеть, а то у меня много в бане.

Показать  

Лучше вы снимите лог, в котором отражено хотя бы 5-6 переподключений с interface L2TP0 debug, но с выключенным режимом отладки.

feoser Продвинутый пользователь

feoser

Опубликовано
Опубликовано
  В 26.02.2018 в 06:42, Le ecureuil сказал:

Лучше вы снимите лог, в котором отражено хотя бы 5-6 переподключений с interface L2TP0 debug, но с выключенным режимом отладки.

Показать  

В логе три реконнекта, найти можно по строке

Connect time 5.3 minutes.

Интересно, что везде одинаковая длительность сессии,  5.3 minutes, возможно какая то несовместимость с керио.

Переключился на туннель который настраивается во вкладке безопасность, столкнулся с интересной ситуацией, долго не мог понять, почему у меня не идут пинги через туннель на внутреннюю сеть находящуюся за кенетиком, в итоге выяснил, инет настроен через PPPoE, в сетевом экране для интерфейса PPPoE стоит запрет пинга для всех, кто не попал в вышестоящие правила, прописав локальные адреса удаленной внутренней сети туннеля, в разрешенные для интерфейса PPPoE пинги пошли, вопрос, это так и должно быть, что правила файервола для интерфейса влияют на пакеты проходящие через VPN который организован на данном интернет интерфейсе, написал возможно коряво, если не поймёте расшифрую подробнее.

self-test.txt

Le ecureuil Старожил

Le ecureuil

Опубликовано
Опубликовано
  В 26.02.2018 в 17:22, feoser сказал:

В логе три реконнекта, найти можно по строке

Connect time 5.3 minutes.

Интересно, что везде одинаковая длительность сессии,  5.3 minutes, возможно какая то несовместимость с керио.

Переключился на туннель который настраивается во вкладке безопасность, столкнулся с интересной ситуацией, долго не мог понять, почему у меня не идут пинги через туннель на внутреннюю сеть находящуюся за кенетиком, в итоге выяснил, инет настроен через PPPoE, в сетевом экране для интерфейса PPPoE стоит запрет пинга для всех, кто не попал в вышестоящие правила, прописав локальные адреса удаленной внутренней сети туннеля, в разрешенные для интерфейса PPPoE пинги пошли, вопрос, это так и должно быть, что правила файервола для интерфейса влияют на пакеты проходящие через VPN который организован на данном интернет интерфейсе, написал возможно коряво, если не поймёте расшифрую подробнее.

self-test.txtПолучение информации...

Показать  

Да, что-то странное.

Сообщите plz версию винды, керио и его настройки, чтобы мы смогли воспроизвести это у себя.

feoser Продвинутый пользователь

feoser

Опубликовано
Опубликовано
  В 26.02.2018 в 18:47, Le ecureuil сказал:

Сообщите plz версию винды, керио и его настройки, чтобы мы смогли воспроизвести это у себя

Показать  

Kerio Control - 9.2.1 build 2019, установлен на отдельном ПК, винда ему не нужна, он ставится на голую машину, в роли клиента для тестов использую viva, т.к у неё время реконнекта 5 минут, у ультры и гиги3 чуть более 40 минут, но на них живые клиенты, а один из них так вообще отстоит на 1000 км, так, что на них эксперименты не очень провожу :). В роли тестовой машины за вивой запускал семёрку на виртуалке.

Небольшое дополнение, эта схема на двух входящих интерфейсах, перед пк с керио стоит гига2, но она настроена на дмз на керио, и большинство компонентов (практически все) прошивки не установлены, в свое время провайдер иногда подвисал и требовалось передёрг кабеля, пк с керио было в лом ребутить по питанию, для этих целей и была установлена гига2 а за ребут его по питанию отвечает prtg, качество провайдера с тех пор устаканилось, но схема осталась, так, что вряд ли эта гига2 на что то влияет.

Настройки керио выкладываю в скриншотах, если чего ещё надо, дополню.

 

 

2018-02-26_22-18-11.png

2018-02-26_22-20-05.png

2018-02-26_22-21-22.png

2018-02-26_22-21-40.png

2018-02-26_22-22-15.png

  • 1 месяц спустя...
VL-VL Пользователь

VL-VL

Опубликовано
Опубликовано

Добрый день! Имеется VPN сервер на cisco 2921/k9, принимающий подключения PPTP, L2TP, L2TP/IPSEC, Присутствует проблема с клиентом на KEENETIC ULTRA II при подключении по L2TP/IPSEC. Подключается нормально, но после часа работы происходит смена IP адреса и долгое переключение и так каждый час. Официальная ТП разбирается уже полгода. Решения нет.  Виндовый, андроидный клиенты работают без переподключений.   KEENETIC ULTRA II   2.12.A.4.0-9.

Может сталкивался кто? Может у кого работает нормально?

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.
Примечание: Ваш пост будет проверен модератором, прежде чем станет видимым.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

×
 Поделиться
Перейти к списку тем

  • Последние посетители   0 пользователей онлайн

    • Ни одного зарегистрированного пользователя не просматривает данную страницу
×
×
  • Создать...

Важная информация

На этом сайте используются файлы cookie. Нажимая "Я принимаю" или продолжая просмотр сайта, вы разрешаете их использование: Политика конфиденциальности.

  Я принимаю