Как настроить интернет L2TP Debian 10?

Question

[nk412]

Всем привет. Взял сервер в недружественных странах дабы пользоваться различными сервисами без проблем. Установил на него L2TP по различным инструкциям из интернета. Подключение проходит, роутер цепляется, но интернета нет. На том же сервере PPTP работает стабильно. Оставил бы его, но режет скорость очень сильно (из 100мб оставляет 8). Тк роутер другие протоколы не поддерживает приходится мучиться с этим.
Если ufw enable он почему-то блокирует мой айпи. Я пробовал его пихать в исключения, но толку ноль ибо он еще и начал блокировать айпи получаемый из ip pool

ufw block

Aug 28 06:01:46 kernel: [UFW BLOCK] IN=ppp0 OUT=ens3 MAC= SRC=****(MYIP)**** DST=8.8.8.8 LEN=248 TOS=0x00 PREC=0x00 TTL=126 ID=44743 DF PROTO=UDP SPT=54174 DPT=443 LEN=228
Aug 28 06:01:46 kernel: [UFW BLOCK] IN=ppp0 OUT=ens3 MAC= SRC=****(MYIP)**** DST=8.8.8.8 LEN=238 TOS=0x00 PREC=0x00 TTL=126 ID=44744 DF PROTO=UDP SPT=54174 DPT=443 LEN=218
Aug 28 06:01:46 kernel: [UFW BLOCK] IN=ppp0 OUT=ens3 MAC= SRC=****(MYIP)**** DST=8.8.8.8 LEN=248 TOS=0x00 PREC=0x00 TTL=126 ID=44745 DF PROTO=UDP SPT=54174 DPT=443 LEN=228
Aug 28 06:01:46 kernel: [UFW BLOCK] IN=ppp0 OUT=ens3 MAC= SRC=****(MYIP)**** DST=8.8.8.8 LEN=68 TOS=0x00 PREC=0x00 TTL=126 ID=44746 DF PROTO=UDP SPT=54174 DPT=443 LEN=48
Aug 28 06:01:46 kernel: [UFW BLOCK] IN=ppp0 OUT=ens3 MAC= SRC=10.2.2.100 DST=8.8.8.8 LEN=60 TOS=0x00 PREC=0x00 TTL=126 ID=44747 PROTO=UDP SPT=51618 DPT=53 LEN=40
Aug 28 06:01:46 kernel: [UFW BLOCK] IN=ppp0 OUT=ens3 MAC= SRC=10.2.2.100 DST=8.8.8.8 LEN=60 TOS=0x00 PREC=0x00 TTL=126 ID=44748 PROTO=UDP SPT=61343 DPT=53 LEN=40
Aug 28 06:01:46 kernel: [UFW BLOCK] IN=ppp0 OUT=ens3 MAC= SRC=****(MYIP)**** DST=8.8.8.8 LEN=68 TOS=0x00 PREC=0x00 TTL=126 ID=44749 DF PROTO=UDP SPT=54174 DPT=443 LEN=48
Aug 28 06:01:46 kernel: [UFW BLOCK] IN=ppp0 OUT=ens3 MAC= SRC=10.2.2.100 DST=8.8.8.8 LEN=60 TOS=0x00 PREC=0x00 TTL=126 ID=44750 PROTO=UDP SPT=63661 DPT=53 LEN=40
Aug 28 06:01:46 kernel: [UFW BLOCK] IN=ppp0 OUT=ens3 MAC= SRC=10.2.2.100 DST=8.8.4.4 LEN=60 TOS=0x00 PREC=0x00 TTL=126 ID=13454 PROTO=UDP SPT=61545 DPT=53 LEN=40
Aug 28 06:01:46 kernel: [UFW BLOCK] IN=ppp0 OUT=ens3 MAC= SRC=10.2.2.100 DST=8.8.8.8 LEN=1278 TOS=0x00 PREC=0x00 TTL=126 ID=44751 DF PROTO=UDP SPT=56530 DPT=443 LEN=1258

Если ufw disable то интернета все равно нет, но подключение проходит. Иногда сыплются ошибки (внизу). Мне удалось их поправить с помощью конфига и их не было, теперь снова появились.

jounalctl -u xl2tpd

Aug 28 04:31:24 xl2tpd[17309]: handle_avps: no handler for attribute 5 (Tie Breaker).
Aug 28 04:31:24 xl2tpd[17309]: Connection established to ****(MYIP)****, 1701. Local: 49514, Remote: 41121 (ref=0/0). LNS session is 'default'
Aug 28 04:31:25 xl2tpd[17309]: start_pppd: I'm running:
Aug 28 04:31:25 xl2tpd[17309]: "/usr/sbin/pppd"
Aug 28 04:31:25 xl2tpd[17309]: "/dev/pts/1"
Aug 28 04:31:25 xl2tpd[17309]: "passive"
Aug 28 04:31:25 xl2tpd[17309]: "nodetach"
Aug 28 04:31:25 xl2tpd[17309]: "10.1.2.1:10.1.2.2"
Aug 28 04:31:25 xl2tpd[17309]: "refuse-pap"
Aug 28 04:31:25 xl2tpd[17309]: "refuse-chap"
Aug 28 04:31:25 xl2tpd[17309]: "auth"
Aug 28 04:31:25 xl2tpd[17309]: "debug"
Aug 28 04:31:25 xl2tpd[17309]: "file"
Aug 28 04:31:25 xl2tpd[17309]: "/etc/ppp/options.xl2tpd"
Aug 28 04:31:25 xl2tpd[17309]: Call established with ****(MYIP)****, PID: 22407, Local: 48465, Remote: 24340, Serial: 0
Aug 28 04:31:25 pppd[22407]: pppd 2.4.7 started by root, uid 0
Aug 28 04:31:25 pppd[22407]: using channel 7
Aug 28 04:31:25 pppd[22407]: Using interface ppp0
Aug 28 04:31:25 pppd[22407]: Connect: ppp0 <--> /dev/pts/1
Aug 28 04:31:25 pppd[22407]: sent [LCP ConfReq id=0x1 ]
Aug 28 04:31:25 pppd[22407]: rcvd [LCP ConfRej id=0x1 ]
Aug 28 04:31:25 pppd[22407]: sent [LCP ConfReq id=0x2 ]
Aug 28 04:31:25 24896.landvps.online pppd[22407]: rcvd [LCP ConfAck id=0x2 ]
Aug 28 04:31:28 pppd[22407]: rcvd [LCP ConfReq id=0x1 ]
Aug 28 04:31:28 pppd[22407]: sent [LCP ConfAck id=0x1 ]
Aug 28 04:31:28 pppd[22407]: sent [LCP EchoReq id=0x0 magic=0xfeb10e82]
Aug 28 04:31:28 pppd[22407]: sent [CHAP Challenge id=0xe9 <97f0a5df5ac72f4cb6c777bf11e20bdc>, name = "*******"]
Aug 28 04:31:28 pppd[22407]: rcvd [LCP EchoRep id=0x0 magic=0xddc99e26]
Aug 28 04:31:28 pppd[22407]: rcvd [LCP EchoReq id=0x0 magic=0xddc99e26]
Aug 28 04:31:28 pppd[22407]: sent [LCP EchoRep id=0x0 magic=0xfeb10e82]
Aug 28 04:31:28 pppd[22407]: rcvd [CHAP Response id=0xe9 <993b2b7e999058d15c64136b59cf8f77000000000000000015409e6125a12048f67c6a70af123573f8bcb800e35

Уже много гугла читал, пихал ошибки в поиск, толку нуль. На другом сервере стоит точно так же, но там еще и pptp и вот при подключении к l2tp он переключает на pptp и интернет работает (на скорости 8мб)
Если нужны какие-то логи - пишите я скину. (просто не знаю, в теме недавно)

net.ipv4.ip_forward = 1

/etc/ipsec.conf

config setup
nat_traversal=yes
virtual_private=%v4:10.0.0.0/8,%v4:192.168.0.0/16,%v4:172.16.0.0/12
oe=off
protostack=netkey
conn L2TP-PSK-NAT
rightsubnet=vhost:%priv
also=L2TP-PSK-noNAT
conn L2TP-PSK-noNAT
authby=secret
pfs=no
auto=add
keyingtries=3
rekey=no
ikelifetime=8h
keylife=1h
type=transport
left= SERVER IP
leftprotoport=17/1701
right=%any
rightprotoport=17/%any

/etc/ppp/options.xl2tpd

asyncmap 0
auth
crtscts
lock
hide-password
modem
mtu 1460
lcp-echo-interval 30
lcp-echo-failure 4
noipx
refuse-pap
refuse-chap
refuse-mschap
require-mschap-v2
multilink
mppe-stateful
ms-dns 8.8.8.8
ms-dns 8.8.4.4

/etc/xl2tpd/xl2tpd.conf

[global]
port = 1701
access control = no
ipsec saref = yes
force userspace = yes

[lns default]
exclusive = no
ip range = 10.2.2.100-10.2.2.199
hidden bit = no
local ip = 10.2.2.1
length bit = yes
require authentication = yes
name = *****
pppoptfile = /etc/ppp/options.xl2tpd
flow bit = yes

/etc/ufw/before.rules

*nat
:POSTROUTING ACCEPT [0:0]
-A POSTROUTING -s 192.168.65.0/24 -o ens3 -j MASQUERADE
COMMIT

# Don't delete these required lines, otherwise there will be errors
*filter
:ufw-before-input - [0:0]
:ufw-before-output - [0:0]
:ufw-before-forward - [0:0]
:ufw-not-local - [0:0]
# End required lines

# allow all on loopback
-A ufw-before-input -i lo -j ACCEPT
-A ufw-before-output -o lo -j ACCEPT

# quickly process packets for which we already have a connection
-A ufw-before-input -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A ufw-before-output -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
# drop INVALID packets (logs these in loglevel medium and higher)
-A ufw-before-input -m conntrack --ctstate INVALID -j ufw-logging-deny
-A ufw-before-input -m conntrack --ctstate INVALID -j DROP

# ok icmp codes for INPUT
-A ufw-before-input -p icmp --icmp-type destination-unreachable -j ACCEPT
-A ufw-before-input -p icmp --icmp-type time-exceeded -j ACCEPT
-A ufw-before-input -p icmp --icmp-type parameter-problem -j ACCEPT
-A ufw-before-input -p icmp --icmp-type echo-request -j ACCEPT

# ok icmp code for FORWARD
-A ufw-before-forward -p icmp --icmp-type destination-unreachable -j ACCEPT
-A ufw-before-forward -p icmp --icmp-type time-exceeded -j ACCEPT
-A ufw-before-forward -p icmp --icmp-type parameter-problem -j ACCEPT
-A ufw-before-input -p icmp --icmp-type echo-request -j ACCEPT

# ok icmp code for FORWARD
-A ufw-before-forward -p icmp --icmp-type destination-unreachable -j ACCEPT
-A ufw-before-forward -p icmp --icmp-type time-exceeded -j ACCEPT
-A ufw-before-forward -p icmp --icmp-type parameter-problem -j ACCEPT
-A ufw-before-forward -p icmp --icmp-type echo-request -j ACCEPT

# allow dhcp client to work
-A ufw-before-input -p udp --sport 67 --dport 68 -j ACCEPT

#
# ufw-not-local
#
-A ufw-before-input -j ufw-not-local

# if LOCAL, RETURN
-A ufw-not-local -m addrtype --dst-type LOCAL -j RETURN

# if MULTICAST, RETURN
-A ufw-not-local -m addrtype --dst-type MULTICAST -j RETURN

# if BROADCAST, RETURN
-A ufw-not-local -m addrtype --dst-type BROADCAST -j RETURN

# all other non-local packets are dropped
-A ufw-not-local -m limit --limit 3/min --limit-burst 10 -j ufw-logging-deny
-A ufw-not-local -j DROP

# allow MULTICAST mDNS for service discovery (be sure the MULTICAST line above
# is uncommented)
-A ufw-before-input -p udp -d 224.0.0.251 --dport 5353 -j ACCEPT

# allow MULTICAST UPnP for service discovery (be sure the MULTICAST line above
# is uncommented)
-A ufw-before-input -p udp -d 239.255.255.250 --dport 1900 -j ACCEPT

# don't delete the 'COMMIT' line or these rules won't be processed
COMMIT

UPD забыл, что еще есть

логи с роутера

Aug 28 03:54:17 pppd[8083]: Modem hangup
Aug 28 04:04:10 rc_service: httpd 176:notify_rc restart_vpncall
Aug 28 04:04:10 pppd[8182]: pppd 2.4.7 started by fttx0519, uid 0
Aug 28 04:04:10 pppd[8182]: Connect: ppp5 <--> l2tp (SERVER IP)
Aug 28 04:04:10 pppd[8182]: Overriding mtu 1500 to 1400
Aug 28 04:04:10 pppd[8182]: Overriding mru 1500 to mtu value 1400
Aug 28 04:04:13 pppd[8182]: Overriding mru 1500 to mtu value 1400
Aug 28 04:04:13 pppd[8182]: CHAP authentication succeeded
Aug 28 04:04:13 pppd[8182]: local IP address 10.2.2.100
Aug 28 04:04:13 pppd[8182]: remote IP address 10.2.2.1
Aug 28 04:04:13 pppd[8182]: primary DNS address 8.8.8.8
Aug 28 04:04:13 pppd[8182]: secondary DNS address 8.8.4.4
Aug 28 04:04:39 rc_service: httpd 176:notify_rc restart_vpncall
Aug 28 04:04:39 pppd[8182]: Overriding mtu 1500 to 1400
Aug 28 04:04:39 pppd[8182]: Overriding mru 1500 to mtu value 1400
Aug 28 04:04:45 pppd[8182]: Connection terminated.
Aug 28 04:04:45 pppd[8182]: Modem hangup

пробовал играться со значениями mtu и mru на сервере, толку не было.
роутер asus rt-n12 vp

Comments

[AlexVWill]

А не с роутера, а каким то l2tp клиентом получилось прицепится и маршруты в интернет получить? Просто протоколы роутеров - это такое... Там не всегда все правильно реализовано

[nk412]

AlexVWill, все работало где-то 5 дней назад. Позавчера на другом сервере подключался, но вылетал (5 минут примерно). Другого устройства нет, нужно именно на роутер поставить. Я склонен думать, что дело все же в сервере (точнее в настройках или ufw)
ps другие устройства (телефоны) сидят на амнезии. Все работает.

Answer 1

[brar]

В нынешних условиях "косячить" могут не только Ваши настройки, а пров или скотский DPI.
При этом практически гарантировано, сейчас настроите, а через некоторое количество времени перестанет работать и это. Будете снова искать методы. А они будут сужаться и сужаться.

Comments

[nk412]

провайдер говорит, что не блокает это протоколы + на другом сервере все живо вроде (ну как живо. подключалось, но с вылетами вчера). Я тоже думал на провайдера. Им тоже веры мало, но увы, надеяться не на что. Только если роутер с openwrt покупать, но они все стоят как скотины. Ну или WG и амнезию вг ставить. Хотя сколько он проживет тоже вопрос.

[brar]

nk412, Дело не в прове, а во внедряемом DPI на оборудовании выше провайдерского. Сейчас пока (!), судя по всему, "смотрят" в впн-протоколы и в сигнатуры ютуба. Далее список будет расширяться.

[nk412]

brar, в общем я нашел сам проблему, она была в то, что

local ip = 10.2.2.1

в /etc/xl2tpd/xl2tpd.conf и

-A POSTROUTING -s 192.168.65.0/24 -o ens3 -j MASQUERADE

в /etc/ufw/before.rules не совпадает ip. поставил в первом случае 192.168.75.1 , а во втором 192.168.75.0 и все завелось и заработало.
Теперь ставлю точно тоже самое (просто ктрл+с --> ктрл+в) всех настроек на другой сервер на той же системе у того же хостера (в общем все одинаково) и там даже подключения не видно в логах.
Съездил в магаз взял кинетик екстра, поставил амнезия вг и она режет скорость х3 тоесть остается у меня 25-30мб. Маловато как-то за 6к. l2tp не режет совсем, 90 в тесте.