Почему несколько L2TP IPsec клиентов с одного IP за NAT отваливаются на Mikrotik?

Question

[Kenny00]

Почему несколько L2TP +IPsec клиентов с одного IP за NAT отваливаются на Mikrotik?
Это баг или нормальная работа Микротов, как боретесь, настраиваете?

Актуален ли данный костыль - > ТЫК , или есть что-то новенькое?

Comments

[Drno]

Опенвпн настраиваем обычно)

[Kenny00]

Drno, и не лениво клиента устанавливать всем? Когда L2TP из коробки в винде есть уже)

[Drno]

Kenny00, нет. Потому что это проще. Сделать самораспаковщик и засунуть все нужные маршруты в конфиг

[Valentin Barbolin]

Kenny00, Похоже что это проблема в самом IPsec, которую решили в IKEv2.

Когда L2TP из коробки в винде есть уже)

IKEv2 - тоже есть из коробки.

[Kenny00]

Valentin Barbolin, Да вот нужны права админа, что бы подсунуть сертификат.
Прав админа нет у Юзера.

[bassoon48]

Kenny00, что мешает настроить на let's encrypt? И использовать 16 значные сложные пароли?

Голвой то надо немножко думать

Answer 1

[Zerg89]

l2tp+ipsec и одновременно два пользовател могут, надо только один параметр поменять в настройках сервера caller ID type с ip address на numbers

Comments

[Kenny00]

Zerg89, А если они все сидят под одной у чёткой? У Васи например два ноута, рабочий и личный.

[Zerg89]

Kenny00, он одновременно с двух работает? Ну тогда ещё снять/поставить галку сингл коннект в профиле подключения вроде
Ps но вообще лучше сделать несколько secret

[Kenny00]

Zerg89, Да, галка снята, всё работает без проблем, какое-то время)
Потом я как понимаю тех ограничение IPSec , что ID есть IP адрес.

[korsar182]

Kenny00, это ограничение L2TP, а не IPSec.

[Kenny00]

korsar182, Вариантные как это пофиксить есть? Без костылей)

[Zerg89]

Kenny00,

Потом я как понимаю тех ограничение IPSec , что ID есть IP адрес.

В настройках ipsec peer есть такое
my-id (auto | address | fqdn | user-fqdn | key-id; Default: auto) и
remote-id (auto | fqdn | user-fqdn | key-id | ignore; Default: auto)

[Kenny00]

Zerg89, Попробем-с))

[bassoon48]

Kenny00, никак. Это вина встроенного в винду клиента.

Точнее можно, но есть либо полу рабочий экспериментальный патч для xl2tpd либо вот то что ты скинул на микротике. Но по мне это изврат.

Answer 2

[Юрий MikroTik]

IKE2 решает эту проблему, либо переход на SSTP

Comments

[Kenny00]

Проблема юзеров, что им не разрешают CA сертификаты кидать себе в корень (нет прав админа ос)

[Юрий MikroTik]

Kenny00, тогда использовать валидный сертификат для этого

[bassoon48]

Юрий MikroTik, зашибись, целый белый айпишник выделять под 443 порт. Слишком жирно.

[Юрий MikroTik]

bassoon48, надо чем-то жертвовать, хотя бы 150-500руб за белый IP для работы SSTP.
Если найдешь как запускать SSTP на Windows с нестандартным портом - сообщи.

[bassoon48]

Юрий MikroTik, а на кой хрен тогда sstp? Единственный вариант это белый ip только цена не 150-500 а 5000-7000 за 100 мегабит.

А для дома если ты имел вы иду то sstp это медленный хлам с очень слабой обфускацией трафика.

Ну прям ооочень фиговая скорость и latency.

Проще тот же ovpn какой нить... Или ikev2 с сертификатами let's encrypt.

Я ваще на роутеру никакие впны не ставлю слишком там все кастрировано, тесно. Да и флеш убивать неохота

[Юрий MikroTik]

bassoon48, sstp уже давно на современных железках умеет работать аппаратно.
5-7к за скорость, а не адрес. Доп адрес для юр лица максимум 1000руб стоит.

А какой хрен - это работа под видом https

[bassoon48]

Юрий MikroTik, это где 1000р за 100 мегабит?

"это работа под видом https" - тут не поспоришь.

Но как я и сказал для корпоратов норм - потому что ничё не надо клиентам ставить. А для дома я бы альтернативу использовал.

"sstp уже давно на современных железках умеет работать аппаратно" - проблема не в том что твой некротик не тянет или наоборот тянет, а в том что сам протокол медленный и убогий. Единственный плюс что ничё ставить не надо у копроратов и не нужны права админа и порт 443 который не блочится

[bassoon48]

Юрий MikroTik, и не "под видом https", а TLS over TCP. SSTP ему срать на заголовки 7 уровня.

Он на 4 уровне соси работает, и прекрасно кстати палится (не только поэтому).

Но он как ты и сказал для другого для корпоратов и ради 443 порта. Но вот проблема с белый айпи. Иначе он теряет смысл.

П. С. кстати DPI его ПРЕКРАСНО определяет ))

[Юрий MikroTik]

bassoon48, 1000руб за ip адрес, а не 100Мбит

Пусть палится, главное проходит обычные фаерволы.

Для пользователей внутри страны можно всегда написать заявление в ркн и ip адреса юр лица добавят в исключения.

[bassoon48]

Юрий MikroTik, Юрец ты мне лучше вот что скажи пожалуйста.

У микротов новинки какие-то планируются? В Hi-End?

Есть игрушка за 350к CCR2216-1G-12XS-2XQ

Да крутая да мощная но её 3 года уже.

ЩАс купим и сядем на бутылку. Когда через месяц выйдет какой-нить CCR3216

Не слышно нет? Где можно это отслеживать?

[Юрий MikroTik]

bassoon48, зарегаться на mikrotik.com и подписаться на рассылки

[bassoon48]

Юрий MikroTik, а чё там искать? fqdn:нужный порт

Я на 8443 перенастроил и без проблем вообще.

accel-ppp настроил BRAS как VPN сервер (погугли)

супер гибкий провайдерская игрушка.

То есть подключение пользаку настраиваешь и пишешь ему через : нестандартный порт. Всё

SSTP робит на 8443 например