L2tp клиенты за NAT-ом рвут соединение к серверу на микротике. Причина?

Question

[Сергей]

Имеем разнородные l2tp клиенты (винь, микрот) которые цепляются к серверу на микроте с реальником. Винь коннектится вторым ... потом через минуту отваливается микрот-клиент. Винь продолжает удерживает соединение. Когда серваком выступал керио ... такой мути не наблюдалось. В чем может быть причина?

Comments

[RedSkotina]

винь это windows чтоли?

[Сергей]

RedSkotina: да

Answer 1

[athacker]

Штатные телепаты в отпуске. Логи с сервера и с клиентского микротика хотя бы процитируйте.

Comments

[Сергей]

Клиент1 соединён
Клиент 2 terminating -hungup
Клиент 2 logged out, «пять цифр неизвестно происхождения)))»
Клиент 2 соединен и опять по новой

[Сергей]

Отключение шифрования на клиентской стороне не спасает. Смена caller Id type в настройках l2tp сервера не спасает.

[Сергей]

На клиентской стороне иногда вылезает terminating - peer is not responding. Выше лог это с сервера.

[Сергей]

Но чаще terminating -session closed

[Wexter]

подключаются под разными учётками? адреса выдаются разные?

[Сергей]

Wexter: да. Все разное.

[Wexter]

Сергей: прошивка последняя? сети в туннеле и физические не пересекаются?

[Сергей]

Wexter: прошивки последние. Сети не пересекаются. Клиенты с других мест устойчиво держат соединение с серваком. Нат каким-то образом влияет на появление проблемы.

[Wexter]

Сергей: винда подключается по pre-shared key?
я сейчас собрал тестовую сеть с l2tp сервером, 2 клиентами-микротиками за натом и 1 клиентом-виндой за другим натом. Пока заметил только то что микротики поочерёдно отваливаются, при этом сессия на сервере якобы активна

[Wexter]

Сергей: отключение ipsec стабилизировало линки, туннели больше не падают. не знаю баг или фича это, но походу проблема в том что они поочерёдно рубят друг-другу туннели ipsec

[Сергей]

Wexter: нужно понять в чем причина. )

[Сергей]

Сам неделю бьюсь в попытке понять природу этой Фичи.

[athacker]

IPsec NAT-T?

Answer 2

[RedSkotina]

Ставьте обратно Kerio или пригласите специалиста.

Comments

[Сергей]

Керио был приведён для примера. Показать что есть решения работающие в таких же условиях без косяков. Проблема существует у людей уже как мимнмум год. Я просто обратился к сообществу. Если поймём в чем баг ... отпишемся микротам.

Answer 3

[Vladimir Zhurkin]

Имеем разнородные l2tp клиенты (винь, микрот) которые цепляются к серверу на микроте с реальником. Винь коннектится вторым ... потом через минуту отваливается микрот-клиент. Винь продолжает удерживает соединение. Когда серваком выступал керио ... такой мути не наблюдалось. В чем может быть причина?

А причина в реализации l2tp/ipsec у Mikrotik.
они это поправили относительно недавно в новых прошивках. В 6.40 точно все работает. До этого народ страдал, если несколько машин за одним NAT. Связанно если более детально с IKE1. Как вариант перейти на IKE2.

Вот тут обсуждали - https://habrahabr.ru/post/327152/#comment_10186576
forum.mikrotik.com/viewtopic.php?t=82980