Какие протоколы лучше использовать для обхода ТСПУ Ростелекома?

Question

[VadikS]

Добрый день.
Есть домашний канал Ростелеком с белым IP, там стоит видеорегистратор, на который течет информация с камер на даче.
Есть второй адрес (не Ростелеком), на котором я живу, так же с белым IP. Оба адреса соединяются Микротиками по классическому протоколу IPSec. Оба адреса с подмосковными IP. Соединение устанавливается, но http и https - пакеты не бегают. Началось месяца три назад.
На первом адресе так же есть другой оператор связи, как только задействую для IPSec его - тут же все начинает бегать прекрасно и замечательно. Понятно, что Ростелеком ****, но он не может анализировать пакеты всех секьюрных протоколов.
Вопрос - чем заменить IPSec?

Comments

[Ziptar]

Внутри страны не должны ни впн ни ипсек резать через тспу, скорее udp/500 udp/4500 поблочили, позвони в тп, выскажи что о них думаешь, и пускай врубают обратно

[SunTechnik]

Ziptar, а если бы...
Две точки в Подмосковье. Провайдеры разные.
К vpn (точка 1) нормально подключаются клиентом openvpn из других точек.
Из точки 2 можно подключиться клиентом openvpn к зарубежному серверу тем же для ускорения ютуб, но невозможно нормально подключиться к точке 1. Соединение устанавливается, но пакеты не проходят, после чего идёт реконнект. Раньше работало, изменения настроек не было.. По поведению - блокировка DPI.

[CityCat4]

Ziptar, Да вот не так, к сожалению. Перебздевший пров вполне может тупо банить любой IPSec, выходящий за его сеть по принципу "кому надо, тот позвонит"

[Dmitry]

если внутри туннеля http/https трафик не бегает, то надо начинать с анализа MTU , уменьшаем, пробуем, снова уменьшаем, опять пробуем.

Answer 1

[velosipedist]

Позвони в ТП, только потребуй нормального инженера, а не девочку с удалёнкой из дома.
Запроси разблокировать все порты, если есть услуга и ещё и с белым айпи, тебе это ничего не будет стоить, а им - всего-то где-то в биллинге кнопочку тыкнуть.
У них для ФЛ стоит по умолчанию блокировка всех/или определённых TCP портов.

Comments

[VadikS]

Это реально поможет? В смысле, такие прецеденты бывали, что Ростелеком делали это для частных лиц?
Да и там не в портах дело. IPSec то поднимается, канал живой. Пинг - прекрасно идет. В вот внутри канала 443 и 80 порты не живут. Внутри шифрованного канала.

Answer 2

[Довольный Айтишникъ]

Как ни странно, но у меня обычный sstp работает без проблем в сети Ростелекома, рф-германия, с обеих сторон микротики (железный и софтовый).

Comments

[Ziptar]

Странно было бы, если бы сстп НЕ работал. У него по сути уязвимость только к актив пробингу.

[Довольный Айтишникъ]

Ziptar, ну, многие пишут, что протокол гавно, легко детектится и блочится, но пока и дома работает везде и с мобилки во всех сетях.

[ZHAXARI]

Sstp, wg, ikev2+ IPsec, до USA лежат ростелеком
И с мобильных так же.

[Довольный Айтишникъ]

ZHAXARI, значит мне везет, sstp и openvpn по tcp на нестандартный порт работают стабильно. Как на мобильном мтс, так и на ростелекоме. Возможно впн сервер у удачного хостера (ztv.su)

Answer 3

[RavilKR]

Внутри России вроде ничего не должны блокировать, можно попробовать позвонить и объяснить ситуацию. Сам я ростелекомом стал бы пользоваться только в самом последнем случае

Answer 4

[Everything_is_bad]

сделать over ssh

Comments

[Vamp]

SSH детектируют и блокируют на раз-два. SSH без обфускации так же ненадёжен как и IPSec.

[rPman]

Vamp, на ростелекоме ssh работает, в т.ч. и vpn по верх него, но это tcp, а значит качество и скорость будут считанные мегабиты, и плохие пинги

[Everything_is_bad]

Vamp, пока не слышал чтобы ssh блокировали в РФ.

[Vamp]

Everything_is_bad, а я лично наблюдал блокировки ssh во время учений, устраиваемых ркн. Ну и репорты в сети тоже можно найти.

[VadikS]

Забыл сказать - канал организован средствами Микротик RoS 7.18 с обеих сторон

[MVV]

SSH без обфускации так же ненадёжен как и IPSec.

Vamp, что-то сдается мне, что дело у автора не в ТСПУ, а в том, что NAT Traversal через Ростелеком не ходит: сам-то IPSec без NAT-T через NAT в принципе не ходит. А SSH через NAT ходит без проблем.

[Vamp]

MVV, у ТС белый ip. Причём тут NAT?

Answer 5

[andreitsvetkov]

на миротиках включить принудительную фрагментацию пакетов .
do not fragment bit - микротики должны снимать для IPSec

openvpn настроить на микротиках

Comments

[VadikS]

У них же OVPN только на TCP?

Answer 6

[Пума Тайланд]

Amnezia wg работает

Answer 7

[bbasil]

Если ipsec туннель поднялся, то он поднялся - точка !
Ковырять конфиг икротика.

Comments

[Lakhtion]

ничего подобного, туннель может и устанавливаться и какой нибудь вид трафика может спокойно бегать. Не надо забывать что у провайдера в рамках сегмента (города) весь клиентский трафик летит за пределы сервисной границы (брасов) через тспу и dpi - а там уже у кого как настроено. Текущее чебурнетообразующее железо умеет определять тип трафика с лёгкостью, если его специально не маскировать

Answer 8

[Lakhtion]

Если есть возможность обновиться до 7 оси - подними wg между некротами. Если поддерживают контейнеризацию, то уж совсем упороться до vless+xtls reality, но безумно как то внутри страны