IKEv2 и L2TP на 4.3 Beta 2

[sergei shumakov]

Здравствуйте!

После перехода на 4.3 Beta 2 перестали работать IKEv2 и L2TP серверы. На стабильном релизе все работало. Клиент IOS 18.3.1. 

На IKEv2 наблюдаю успешное подключение в админке роутера, но соединение разрывается через несколько секунд. На стороне роутера подключение исчезает, а клиент IOS считает, что все хорошо и не видит потерю соединения. В self-test будет по две попытки подключения на IKEv2 и на L2TP. С подключением по L2TP все плохо сразу, на клиенте получаю сообщение "Сервер L2TP-VPN не ответил". Пробовал на МТС и Билайн.

На время диагностики включил crypto ipsec debug

 

[sergei shumakov]

Прикладываю self-test

Изменено 3 марта пользователем sergei shumakov
Нужно скрыть self-test

[Кинетиковод]

15 минут назад, sergei shumakov сказал:

После перехода на 4.3 Beta 2 перестали работать IKEv2 и L2TP серверы.

Про ikev2 уже писали. По l2tp нужно зайти в настройки сервера и поставить режим оптимизации по умолчанию или какой вам подходит, должно заработать.

[sergei shumakov]

21 минуту назад, Кинетиковод сказал:

Про ikev2 уже писали. По l2tp нужно зайти в настройки сервера и поставить режим оптимизации по умолчанию или какой вам подходит, должно заработать.

Да, читал. Все три варианта перепробовал, не помогло. Может имеет смысл удалить компоненты IKEv2 и L2TP и настроить с нуля?

[Кинетиковод]

6 минут назад, sergei shumakov сказал:

Да, читал. Все три варианта перепробовал, не помогло.

Странно, у меня оптимизация по умолчанию работает. Попробуйте добавить в l2tp сервер ещё одного пользователя. На первых сборках 4.3 после этого начинало работать. Потом пользователя можно удалить. На последних сборках вроде данного прикола уже нет, но вдруг у вас этот глюк.

10 минут назад, sergei shumakov сказал:

Может имеет смысл удалить компоненты IKEv2 и L2TP и настроить с нуля?

Я с настройками ikev2 игрался, не помогло. Прям удалять компоненты не пробовал. Откат на 4.2 решал все проблемы.

[sergei shumakov]

22 часа назад, Кинетиковод сказал:

Странно, у меня оптимизация по умолчанию работает. Попробуйте добавить в l2tp сервер ещё одного пользователя. На первых сборках 4.3 после этого начинало работать. Потом пользователя можно удалить. На последних сборках вроде данного прикола уже нет, но вдруг у вас этот глюк.

Я с настройками ikev2 игрался, не помогло. Прям удалять компоненты не пробовал. Откат на 4.2 решал все проблемы.

- отключил компоненты IKEv2 и L2TP
- удалил всех пользователей кроме админа
- включил компоненты IKEv2 и L2TP
- заново создал пользователя для VPN
- на телефоне удалил и заново создал профили VPN для IKEv2 и L2TP

Заработал L2TP, выпускает в сеть, на 2ip.ru вижу ip провайдер для кинетика, но трафик не машрутизируется в исходящий VPN через статическую маршрутизацию.

IKEv2 держит подключение то 5 секунд, то бесконечно, но доступа к сети нет.

Откатиться на релиз не могу из-за ODI SFP, их поддержка есть только на 4.3

IKEv2-log-6.txt

Изменено 4 марта пользователем sergei shumakov
Добавил скрины, лог для IKEv2 и скринкаст

[Leshiyart]

У того интерфейса через который предполагается выход через статические маршруты стоит ли галка для доступа в интернет? Если нет, то надо либо попробовать в фаерволе разрешить протокол ip в домашней сети(или к тому сегменту которому привязан этот л2тп интерфейс)

либо через cli добавить правило фаервола для такого интерфейса с направлением in/out

Так же можно просто поставить галку для выхода в инет 

[sergei shumakov]

11 минут назад, Leshiyart сказал:

У того интерфейса через который предполагается выход через статические маршруты стоит ли галка для доступа в интернет? Если нет, то надо либо попробовать в фаерволе разрешить протокол ip в домашней сети(или к тому сегменту которому привязан этот л2тп интерфейс)

либо через cli добавить правило фаервола для такого интерфейса с направлением in/out

Так же можно просто поставить галку для выхода в инет 

Нет конечно. Туда улетает трафик только на определенные ресурсы, а не весь трафик. Этот конфиг прекрасно работал на релизе. Логика маршрутизации в 4.3 поменялась? 

[Leshiyart]

Я думаю что просто пофиксили работу фаервола, так как по умолчанию если нет галки для доступа в интернет то такой интерфейс не public, а доступ между private и protected запрещен

[sergei shumakov]

22 часа назад, Leshiyart сказал:

Я думаю что просто пофиксили работу фаервола, так как по умолчанию если нет галки для доступа в интернет то такой интерфейс не public, а доступ между private и protected запрещен

включил permit any to any на интефейсе гостевой сети, куда приземляется L2TP - не помогло. добавил permit any to any на исходящем VPN интерфейсе - не помогло. то ли лыжи не едут, то ли я @#$

[sergei shumakov]

На работающем L2TP в логах вот такое, но по факту туннель живой. на 2ip.ru вижу исходящий ip домашнего роутера, а не nat опсоса. 

[Leshiyart]

19 минут назад, sergei shumakov сказал:

а не nat опсоса. 

Тогда раз галки нет для доступа в инет то не забыли ли включить ip nat на исходящем впн

[sergei shumakov]

8 часов назад, Leshiyart сказал:

Тогда раз галки нет для доступа в инет то не забыли ли включить ip nat на исходящем впн

На OpenVPN такой галки нет. И разве не работает глобальная настройка делать NAT? Если бы на этом OpenVPN не работал NAT, то из домашней сети я тоже не смог выйти. Но на видео видно, что на Флибусту с устройства из домашнего сегмента я могу выйти, а через L2TP нет.  
 

L2TP приземляется на гостевой сегмент. Я подключился к гостевому сегменту через WiFi и без проблем открыл Флибусту. Значит NAT работает.