Перейти к содержанию
Как правильно добавить self-test и прочую отладку в тему
Официальное хранилище ПО в виде файлов

L2TP/IPsec сервер

Le ecureuil
 Поделиться

Рекомендуемые сообщения

r13 Старожил

r13

Опубликовано
Опубликовано
  В 21.12.2018 в 23:12, vitalik6243 сказал:

 

Если есть возможность послать разработчикам запрос был бы вам очень благодарен.

Показать  

я как бы упомянул человека который может на это повлиять, дождемся его ответа. 

  • 3 недели спустя...
  • Ответов 512
  • Создана
  • Последний ответ

Топ авторов темы

Популярные дни

Топ авторов темы

Популярные дни

Популярные посты

Le ecureuil
Le ecureuil

Итак, в ветке 2.11 был реализован L2TP/IPsec сервер. На данный момент его настройка осуществляется только из CLI, потому здесь будет приведен список команд для желающих настроить и попробовать. К

Le ecureuil
Le ecureuil

Ждите, исправление уже в тестировании

Le ecureuil
Le ecureuil

Поправлено.

Изображения в теме

Le ecureuil Старожил

Le ecureuil

Опубликовано
  • Автор
Опубликовано

L2TP/IPsec использует только IKEv1 и только IP-адреса для идентификаторов, потому ничего улучшить не выйдет. Только на самом деле менять подсети у модемов.

  • 3 недели спустя...
provadyuga Продвинутый пользователь

provadyuga

Опубликовано
Опубликовано

Здравствуйте.

Будет ли работать совместная связка L2TP/IPsec - сервер и KeenDNS ?

Т.е. чтобы для Kenetic-а с L2TP/IPsec - сервером не выделять статический ip-адрес в интернете.

r13 Старожил

r13

Опубликовано
Опубликовано
  В 27.01.2019 в 04:51, provadyuga сказал:

Здравствуйте.

Будет ли работать совместная связка L2TP/IPsec - сервер и KeenDNS ?

Т.е. чтобы для Kenetic-а с L2TP/IPsec - сервером не выделять статический ip-адрес в интернете.

Показать  

если адрес белый, прямой режим keendns, то будет работать. Как и с помощью любого другого ddns сервиса. 

provadyuga Продвинутый пользователь

provadyuga

Опубликовано
Опубликовано (изменено)
  В 27.01.2019 в 06:14, r13 сказал:

если адрес белый, прямой режим keendns, то будет работать...

Показать  

Адрес не белый.

WAN Keenetic-а подключен к внутренней сети предприятия. 

На пути к интернету стоит еще какой-то маршрутизатор между белым адресом и внутренней сетью предприятия.

А LAN Keenetic-а к компу, к которому нужно получить доступ по RDP.

Будет ли это работать через keendns ?

Я где-то на форуме читал, что через NAT keendns работает, но только через порт 80.

Изменено пользователем provadyuga
r13 Старожил

r13

Опубликовано
Опубликовано
  В 27.01.2019 в 06:34, provadyuga сказал:

Адрес не белый.

WAN Keenetic-а подключен к внутренней сети предприятия. 

На пути к интернету стоит еще какой-то маршрутизатор между белым адресом и внутренней сетью предприятия.

А LAN Keenetic-а к компу, к которому нужно получить доступ по RDP. 

Будет ли это работать через keendns ?

Я где-то на форуме читал, что через NAT keendns работает, но только через порт 80.

Показать  

через NAT keendns работает только http/https протокол. IPSec в таком режиме не заработает.

Только SSTP vpn в таком режиме работает.

vitalik6243 Продвинутый пользователь

vitalik6243

Опубликовано
Опубликовано
  В 10.01.2019 в 09:14, Le ecureuil сказал:

L2TP/IPsec использует только IKEv1 и только IP-адреса для идентификаторов, потому ничего улучшить не выйдет. Только на самом деле менять подсети у модемов.

Показать  

Есть ли возможность реализовать использования L2TP сервера к примеру без обязательного использования IPSEC?
По принципу работы PPTP сервера, с использованием только логина и пароля?

Le ecureuil Старожил

Le ecureuil

Опубликовано
  • Автор
Опубликовано
  В 29.01.2019 в 16:55, vitalik6243 сказал:

Есть ли возможность реализовать использования L2TP сервера к примеру без обязательного использования IPSEC?
По принципу работы PPTP сервера, с использованием только логина и пароля?

Показать  

Нет, а зачем это? Чем вас PPTP без шифрования в таком случае не устраивает?

vitalik6243 Продвинутый пользователь

vitalik6243

Опубликовано
Опубликовано (изменено)
  В 30.01.2019 в 14:38, Le ecureuil сказал:

Нет, а зачем это? Чем вас PPTP без шифрования в таком случае не устраивает?

Показать  

Пропускная способность у L2TP все таки по лучше, да и стабильность пинга по интереснее.
Почему то через PPTP ping на 10-15мс выше чем, через L2TP/IPSEC поднятом на том же keenetic.

Да и стабильность подключения на последних прошивках 2.15 почему то стала хуже, обрывы соединения каждые 30 минут стали.
Откатился до 2.14 днями соединения держаться без вопросов, а вот на 2.15 пока что траблы.

Изменено пользователем vitalik6243
Le ecureuil Старожил

Le ecureuil

Опубликовано
  • Автор
Опубликовано
  В 06.02.2019 в 21:56, vitalik6243 сказал:

Пропускная способность у L2TP все таки по лучше, да и стабильность пинга по интереснее.
Почему то через PPTP ping на 10-15мс выше чем, через L2TP/IPSEC поднятом на том же keenetic.

Да и стабильность подключения на последних прошивках 2.15 почему то стала хуже, обрывы соединения каждые 30 минут стали.
Откатился до 2.14 днями соединения держаться без вопросов, а вот на 2.15 пока что траблы.

Показать  

Оба типа подключения теперь реализуются через accel-ppp. С чего бы l2tp при этом быть стабильнее чем pptp?

А вообще если без шифрования пинг выше, чем на шифрованном L2TP, то я бы на провайдера стал думать.

 

Ну и в моменты разрывов неплохо бы отладочный лог с сервера (system debug) и с клиента, чтобы понять, что изменилось.

zhidkovu Пользователь

zhidkovu

Опубликовано
Опубликовано (изменено)

Добрый день!

Периодически возникает такая ошибка и туннель падает

В какую сторону копать?

Уже полгода борюсь с этой проблемой

  Показать контент

 

Изменено пользователем Yury Zhidkov
zhidkovu Пользователь

zhidkovu

Опубликовано
Опубликовано
  В 21.12.2018 в 20:42, vitalik6243 сказал:
  Показать контент

Постоянно обваливается соединение у клиента L2TP/IpSec.

Если подключается 1 из клиентов то соединение работает относительно стабильно.
Как только подключается 2 клиент. Роутер по какой то причине рвет соединение у обоих клиентов в логах вечные ошибки в виде:
 

Дек 21 23:40:41
 
ndm
IpSec::IpSecNetfilter: start reloading netfilter configuration...
Дек 21 23:40:41
 
ndm
IpSec::IpSecNetfilter: netfilter configuration reloading is done.
Дек 21 23:40:44
 
ppp-l2tp
l2tp tunnel 27713-42837 (188.170.193.231:1701): impossible to process the send queue: sending packet 2 failed
Дек 21 23:40:44
 
ppp-l2tp
l2tp tunnel 27713-42837 (188.170.193.231:1701): impossible to send HELLO: transmitting messages from send queue failed, deleting tunnel
Показать  

кстати у меня всего 1 клиент и работает также нестабильно

Le ecureuil Старожил

Le ecureuil

Опубликовано
  • Автор
Опубликовано
  В 12.02.2019 в 07:20, Yury Zhidkov сказал:

кстати у меня всего 1 клиент и работает также нестабильно

Показать  

Какая у вас версия прошивки?

Нужен полный лог ситуации от момента когда подключилось, работало нормально, а потом упало и отключилось.

zhidkovu Пользователь

zhidkovu

Опубликовано
Опубликовано

прошивка последняя стабильная для KN-1010

но пока не могу воспроизвести эту ошибку

ошибка пропала после того как я пенастроил виртуальный свитч в QNAP NAS

видимо причина была в нем (обрывы были как раз при передаче файлов между этим NAS и ПК)

  • 4 недели спустя...
hard_alex@mail.ru Пользователь

hard_alex@mail.ru

Опубликовано
Опубликовано

Вопрос такой:
Возможно ли настроить два разных L2TP профиля?

Есть L2TP профиль для доступа к домашней сети из вне. (Домашний сегмент)
Нужен L2TP VPN  для гостевого доступа с выходом в интернет (Гостевой сегмент с изоляцией устройств)
Естественно желательно что бы параметры в том числе PSK отличались.
 

Прошу сильно не пинать, если ответ был, ибо своими кривыми руками через поиск не нашел.

  • 2 недели спустя...
I_am2310 Новичок

I_am2310

Опубликовано
Опубликовано (изменено)

упс. походу проблема в коммутаторе была.

Изменено пользователем I_am2310
Le ecureuil Старожил

Le ecureuil

Опубликовано
  • Автор
Опубликовано
  В 12.03.2019 в 11:25, hard_alex@mail.ru сказал:

Вопрос такой:
Возможно ли настроить два разных L2TP профиля?

Есть L2TP профиль для доступа к домашней сети из вне. (Домашний сегмент)
Нужен L2TP VPN  для гостевого доступа с выходом в интернет (Гостевой сегмент с изоляцией устройств)
Естественно желательно что бы параметры в том числе PSK отличались.
 

Прошу сильно не пинать, если ответ был, ибо своими кривыми руками через поиск не нашел.

Показать  

Нет, проще настроить несколько vpn-серверов.

hard_alex@mail.ru Пользователь

hard_alex@mail.ru

Опубликовано
Опубликовано
  В 26.03.2019 в 13:25, Le ecureuil сказал:

Нет, проще настроить несколько vpn-серверов.

Показать  

Несколько VPN-серверов имеется ввиду, разных типов серверов?
PPTP, L2TP?
Это конечно вариант, но, только Ipsec имеет аппаратное ускорение на Lite III Rev.b


Или несколько L2TP?
 

Le ecureuil Старожил

Le ecureuil

Опубликовано
  • Автор
Опубликовано
  В 26.03.2019 в 15:13, hard_alex@mail.ru сказал:

Несколько VPN-серверов имеется ввиду, разных типов серверов?
PPTP, L2TP?
Это конечно вариант, но, только Ipsec имеет аппаратное ускорение на Lite III Rev.b


Или несколько L2TP?
 

Показать  

Несколько L2TP тоже в теории можно настроить в cli, но судя по вашим вопросам, я не уверен, что вы это сможете.

Потому да, несколько типов.

Ускорение не настолько значительное, чтобы быть сильно лучше, чем pptp mppe40 например.

hard_alex@mail.ru Пользователь

hard_alex@mail.ru

Опубликовано
Опубликовано
  В 26.03.2019 в 15:57, Le ecureuil сказал:

Несколько L2TP тоже в теории можно настроить в cli,

Показать  

Этого ответа достаточно. А уж смогу или нет, это уже другой вопрос :)

  • 2 недели спустя...
Waik Новичок

Waik

Опубликовано
Опубликовано

Есть домашняя сеть (192.168.1.1), есть сеть для VPN(10.10.10.10), есть сервер VPN l2TP IPSEC (10.10.15.1). 

VPN настроен на подключение клиентов к сети VPN.

В домашней сети висит сервер на  80порту. 

Почему клиент VPN видит сервак на 80 порту из домашней сети?

photo_2019-04-09_09-37-43.jpg

photo_2019-04-09_09-37-05.jpg

  • 2 недели спустя...
Максим Анисимов Новичок

Максим Анисимов

Опубликовано
Опубликовано
  В 14.10.2017 в 14:59, Le ecureuil сказал:

У вас на Кинетике клиент или сервер?

Если сервер, то пробуйте настроить MTU и MRU так:

> crypto map <servername> l2tp-server mtu <mtu>

> crypto map <servername> l2tp-server mru <mru>

Показать  

 

  В 15.10.2017 в 08:35, indus сказал:

Обнаружил баг - параметры прописанные через cli

l2tp-server mtu <mtu>

l2tp-server mru <mru>

не сохраняются в running-config, и соответственно не в startup-config, с вытекающими из этого последствиями...

п.с. в ручную корректировать startup-config можно, но до следующего save-config

Показать  

У меня такая же проблема. Настройки mtu и mru не применяются. Прошивка draft последняя на KN-1010. Как побороть?

Le ecureuil Старожил

Le ecureuil

Опубликовано
  • Автор
Опубликовано
  В 23.04.2019 в 13:11, Максим Анисимов сказал:

 

У меня такая же проблема. Настройки mtu и mru не применяются. Прошивка draft последняя на KN-1010. Как побороть?

Показать  

Расскажите поподробнее, что вы делаете.

Максим Анисимов Новичок

Максим Анисимов

Опубликовано
Опубликовано (изменено)
  В 23.04.2019 в 18:03, Le ecureuil сказал:

Расскажите поподробнее, что вы делаете.

Показать  

Если в кратце, то изначально проблема была в том, что у меня криво работает IPSEC/L2TP сервер при использовании аппаратного ускорения EIP93 (сайты открываются через раз). В логе присутствуют сообщения вида "kernel: EIP93: PE ring[39] error: AUTH_ERR". Подключение к провайдеру у меня через L2TP. При переключении на crypto engine software все работает отлично. В итоге в техподдержке мне ответили следующее:

  Quote

 

Да, проблема известна разработчикам. Не срабатывает должным образом фрагментация пакетов. Это проявляется в таких частных случаях, как L2TP over IPsec over L2TP. В версии 3.0 обновлено ядро linux и это создает условия, чтобы проблему можно было исправить. Мы надеялись, что новое ядро может само по себе ее решить, но похоже, тут требуется более глубокая инспекция кода. 

...

Пока все что можно попробовать, это снизить mtu на сервере (со старым ядром не помогало) или использовать crypto engine software 

crypto map VPNL2TPServer l2tp-server mtu 1200
system configuration save

 

Показать   
Я решил попробовать вариант с изменением mtu для VPNL2TPServer. Подключился к cli.

Ввел команды:

  Quote

 

crypto map VPNL2TPServer l2tp-server mtu 1200

system configuration save

 

Показать  

В ответ получил IpSec::Manager: "VPNL2TPServer": crypto map L2TP/IPsec server set MTU to "1200".

Затем решил проверить, попали ли настройки в конфигурационные файл. Выполнил: show running-config

В итоге, в разделе "crypto map VPNL2TPServer" не было никакого упоминания про mtu. Т. е. система отрапортовала, что MTU был изменен, но в конфигурационном файле ничего не изменилось. 

Изменено пользователем Максим Анисимов
Максим Анисимов Новичок

Максим Анисимов

Опубликовано
Опубликовано (изменено)
  В 24.04.2019 в 07:34, Максим Анисимов сказал:

В ответ получил IpSec::Manager: "VPNL2TPServer": crypto map L2TP/IPsec server set MTU to "1200".

Затем решил проверить, попали ли настройки в конфигурационные файл. Выполнил: show running-config

Показать  

 

  В 23.04.2019 в 18:03, Le ecureuil сказал:

Расскажите поподробнее, что вы делаете.

Показать  

Есть какие-нибудь идеи? Техподдержка уже более суток молчит. Может, доказательства нужны? Я ведь не придумываю. Сейчас стоит draft 3.00.A.2.0-5, пока все также.

P.S.

В техподдержке только что подтвердили проблему.

  Quote

Да, настройка не отображается в конфиге, но судя по всему, применяется. Я сообщил об этом разработчикам.

Показать  

Не знаете случайно как проверить, что настройка применилась?

Изменено пользователем Максим Анисимов
  • 1 месяц спустя...
t800 Продвинутый пользователь

t800

Опубликовано
Опубликовано

@Le ecureuil Плюсану по проблеме с хардовым шифрованием. У меня это выглядит как постоянные проблемы с RDP. Он просто зависает каждые 10-60 секунд до момента пока клиент не сделает реконнект. При этом пинги с сервера до клиента идут нормально. По совету Максима Анисимова сегодня включил software режим и всё заработало отлично. Изменение MTU lj 1200 в режиме hardware не помогало. Интернет у меня pppoe с фиксированным белым IP. 

  • Лайк 2
indus Пользователь

indus

Опубликовано
Опубликовано (изменено)

VPN l2tp ipsec клиент на версии 2.11.D.2 legacy не хочет коннектиться к серверу, в журнале клиента:

 

IpSec::Configurator: remote peer of crypto map "L2TP0" returned proposal mismatch for IPsec phase 2.

Пробовал  сервер с  2.11.D.2 и 2.15.С4. Другие клиенты - без проблем. Настройки сервера стандартные, как в первом посте.

Изменено пользователем indus
  • 2 недели спустя...
Le ecureuil Старожил

Le ecureuil

Опубликовано
  • Автор
Опубликовано
  В 05.06.2019 в 12:50, indus сказал:

VPN l2tp ipsec клиент на версии 2.11.D.2 legacy не хочет коннектиться к серверу, в журнале клиента:

 

IpSec::Configurator: remote peer of crypto map "L2TP0" returned proposal mismatch for IPsec phase 2.

Пробовал  сервер с  2.11.D.2 и 2.15.С4. Другие клиенты - без проблем. Настройки сервера стандартные, как в первом посте.

Показать  

Спасибо за репорт, исправим.

  • 1 месяц спустя...
MDP Старожил

MDP

Опубликовано
Опубликовано
  В 04.06.2019 в 20:34, t800 сказал:

@Le ecureuil Плюсану по проблеме с хардовым шифрованием. У меня это выглядит как постоянные проблемы с RDP. Он просто зависает каждые 10-60 секунд до момента пока клиент не сделает реконнект. При этом пинги с сервера до клиента идут нормально. По совету Максима Анисимова сегодня включил software режим и всё заработало отлично. Изменение MTU lj 1200 в режиме hardware не помогало. Интернет у меня pppoe с фиксированным белым IP. 

Показать  

Да...в программном режиме нормально стало работать

Присоединяйтесь к обсуждению

Вы можете написать сейчас и зарегистрироваться позже. Если у вас есть аккаунт, авторизуйтесь, чтобы опубликовать от имени своего аккаунта.
Примечание: Ваш пост будет проверен модератором, прежде чем станет видимым.

Гость
Ответить в этой теме...

×   Вставлено с форматированием.   Вставить как обычный текст

  Разрешено использовать не более 75 эмодзи.

×   Ваша ссылка была автоматически встроена.   Отображать как обычную ссылку

×   Ваш предыдущий контент был восстановлен.   Очистить редактор

×   Вы не можете вставлять изображения напрямую. Загружайте или вставляйте изображения по ссылке.

×
 Поделиться
Перейти к списку тем

  • Последние посетители   0 пользователей онлайн

    • Ни одного зарегистрированного пользователя не просматривает данную страницу
×
×
  • Создать...

Важная информация

На этом сайте используются файлы cookie. Нажимая "Я принимаю" или продолжая просмотр сайта, вы разрешаете их использование: Политика конфиденциальности.

  Я принимаю