Как настроить IPSEC на микротике?

Question

[abl_1]

Поднял ВПН на микротике.
Настроил все. пр примеру bozza.ru/art-248.html
Проблема в том что туннель не устанавливается .
В remote peer-се показывает кто пытается подключиться, и все.
Потом на компе будем выходит 789.
Пробовал в реестр прописать prohibitipsec, работает, но это не решения.
Модем Алкател, а микротик в DMZ. Из-за этого может быть?
DMZ Может как то ограничивает ipsec или как то еще?

Comments

[Дмитрий Шицков]

Приложите лог Микротика на момент попыток подключения

[abl_1]

Дмитрий Шицков: phase negotiation failed due to time up 192.168.1.100{500} = public ip{500}(внешнийй ip от куда я пытаюсь подключиться)

[Дмитрий Шицков]

abl_1: вы пробовали рекомендацию из этой статьи по устранению ошибки 789? bozza.ru/art-247.html

[abl_1]

да, первым пробовал.

[Георг Гаал]

Так IPSEC или L2TP? Ну, так попробуйте L2TP без IPSEC. Касательно модема Alcatel - там NAT что ли? Попробуйте сделать модем прозрачным бриджом (если есть такая ф-ция) - должно стать получше.

[abl_1]

Георг Гаал: пробовал l2tp без ipsec, и пробовал pptp server поднять, никак.
ДА за НАТом, хочу попробовать, мне кто то сказал его нельзя , потому что то модем оптический.
Можно его переводить в бридж?

[Георг Гаал]

Можно-не можно - дайте название модели, почитаю книжку. А вообще вопросы в тех.саппорт провайдера... НАТ сильно pptp и l2tp мешает... И погодите - правильно ли я понимаю, что у Вас сервер дома? И нужно коннектиться снаружи домой? Или все-таки наоборот - пптп-л2тп сервер в ДЦ или офисе и нужно из дома туннель туда?

Answer 1

[Anibius]

Доброго времени суток!Ошибка 789 -это "Выбран неверный тип VPN соединения".Если Вы по статье настраиваете,то на последнем скриншоте видна проблема.Там должно быть выбрано L2TP + IpSec(самое стойкое шифрование)."Пробовал в реестр прописать prohibitipsec" <- так делать не нужно(шифрование просто можно отключить).
такая ошибка у меня решилась правкой MTU на сервере(Synology DSM)
Еще бы я советовал посмотреть настройки MTU(на сервере и клиенте).

Также если микротик подключен через модем,то на модеме нужно настроить форфард портов 1701,500,4500 на адрес микротика,в DMZ его помещать необязательно(делая так Вы открываете для всего Интернета).