IKEv2 server + клиент Windows

[root154]

Привет! Ищу помощи или подсказку, самостоятельно не нашёл)

В общем, на двух Кинетиках Вива настроены vpn-сервера IKEv2, авторизация по логину/паролю и всё прекрасно работает если подключаться к ним с айфонов или мака, но тут понадобилось подключиться с ноута, на котором windows 11, и вот оно ругается на "Неприемлимые учетные данные проверки подлинности IKE", при этом разумеется учетки перепроверил уже много раз и введено всё правильно, авторизация настроена по eap-mschap v2. Верно ли я понимаю что трабл в цепочке сертификатов и если да, то как импортировать серт с keenetic'a? Или трабл в поддерживаемых шифрах, но как тогда прописать их бОльшее количество в кинетике?

Поделитесь умными мыслями )

[mega1volt]

На Windows 11 тип данных для входа-имя пользователя и пароль. На сервере (Keenetic) режим оптимизации-по умолчанию.

[root154]

1 час назад, mega1volt сказал:

На Windows 11 тип данных для входа-имя пользователя и пароль. На сервере (Keenetic) режим оптимизации-по умолчанию.

Именно так всё и настроено, но не работает. Поэтому и спрашиваю, все очевидные варианты уже перепробованы, в том числе переключение режимов оптимизации на кинетике

[Le ecureuil]

Версии W11 и на Keenetic какие?

[brzhyshik]

Попробую оживить эту ветку, т.к. такая же проблема, а ответа нет.

На Keenetic Ultra (прошивка 4.3.6) включен IKEv2, клиенты на Android и второй Keenetic подключаются нормально, но на Windows 11 (24H2) есть проблема.
При подключении система пишет "Получены недопустимые полезные данные".
При этом, в логах Keenetic'а видно, что происходит подключение, назначается внутренний IP-адрес для клиента, но потом вылетает такая интересная строка:

IpSec::Configurator: "VirtualIPServerIKE2": error while establishing CHILD_SA.

После чего, естественно, подключение закрывается.

Видел тут ветку с такой же проблемой на MacOS, но народ там игрался с настройками используемых алгоритмов шифрования, а в Windows такой роскоши нет.
 

 

 

[Le ecureuil]

В 18.09.2025 в 14:25, brzhyshik сказал:

Попробую оживить эту ветку, т.к. такая же проблема, а ответа нет.

На Keenetic Ultra (прошивка 4.3.6) включен IKEv2, клиенты на Android и второй Keenetic подключаются нормально, но на Windows 11 (24H2) есть проблема.
При подключении система пишет "Получены недопустимые полезные данные".
При этом, в логах Keenetic'а видно, что происходит подключение, назначается внутренний IP-адрес для клиента, но потом вылетает такая интересная строка:

IpSec::Configurator: "VirtualIPServerIKE2": error while establishing CHILD_SA.

После чего, естественно, подключение закрывается.

Видел тут ветку с такой же проблемой на MacOS, но народ там игрался с настройками используемых алгоритмов шифрования, а в Windows такой роскоши нет.
 

 

 

Можете прислать self-test с включенным crypto ipsec debug и последующей попыткой подключения?

[avn]

А на клиенте есть какое-нибудь событие ndm, чтобы обновить динамический пароль?

2 вопрос как через ndmc задать пароль для ikev2?

[Le ecureuil]

А что такое "динамический пароль"?

Если вы по пароль MSCHAPv2, то через команду

> interface IKE0 authentication password

[avn]

2 минуты назад, Le ecureuil сказал:

А что такое "динамический пароль"?

Если вы по пароль MSCHAPv2, то через команду

> interface IKE0 authentication password

А событие есть в /opt/etc/ndm? У меня на сервере не кинетик Пароль+totp. В ash Я могу сгенерировать актуальный пароль, Но надо две вещи 1. Событие, что бы обновить, 2. Способ его задать 

Изменено 22 сентября пользователем avn

[Le ecureuil]

А что за событие-то вы хотите?

[avn]

9 минут назад, Le ecureuil сказал:

А что за событие-то вы хотите?

Которое работало бы перед коннектом, что бы можно было пароль обновить. Может уже есть какое типо *.up?

Изменено 22 сентября пользователем avn

[avn]

Или более глобально, событие запроса пароля через скрипт ndm.  Если скрипт сделал set env/echo используем пароль скрипта, нет значит пароль по умолчанию из конфига.

Изменено 22 сентября пользователем avn

[avn]

Прошу прощения, влез в тему. Речь о клиенте ikev2 кинетик.

[Le ecureuil]

Нет, так нельзя.

Просто подкидывайте новый пароль через interface authentication password, и должно все быть нормально.

[avn]

26 минут назад, Le ecureuil сказал:

Нет, так нельзя.

Просто подкидывайте новый пароль через interface authentication password, и должно все быть нормально.

Пароль действует <30 сек. Хочется автоматизировать реконнекты. Может есть какое событие before connect?

Изменено Вторник в 12:21 пользователем avn

[Le ecureuil]

Нет, такого события нет.

[avn]

1 час назад, Le ecureuil сказал:

Нет, такого события нет.

А сделать можно? Глобальное событие для всех VPN соединений before-enabled.

Изменено Среда в 10:58 пользователем avn

[Le ecureuil]

2 часа назад, avn сказал:

А сделать можно? Глобальное событие для всех VPN соединений before-enabled.

Нет, особенно учитывая что это событие должно быть синхронным и ожидающим. Это точно то, что пока добавлять не планируется.