Как решить проблему с Mikrotik OpenVPN сервером?

Question

[lolowin32]

Добрый день, настроен mikrotik openvpn server, выписаны сертификаты и розданы клиентам, при подключении клиента, выдает ошибку (без какой-либо идентификации), и переподключается, в логах mikrotik пишет duplicate packet, dropping. Помогите решить данную проблему?

Сервер настраивался по этому мануалу
trustore.ru/article/complex/199-openvpn-mikrotik

Конфиг клиента
client
dev tun
proto tcp
remote [remote_ip] 1194
auth-nocache
ca ca.crt
cert user1.crt
key user1.key
remote-cert-tls server
cipher AES-256-CBC
resolv-retry infinite
nobind
persist-key
persist-tun
verb 7
auth-nocache

Всех заранее благодарю за помощь!

Comments

[Дмитрий]

лог ошибки на клиенте и на сервере в студию

[lolowin32]

лог ошибки на сервере
ovpn,debug,error,,,,,,,,,l2tp,info,,debug,,,critical,,,,,,,,,
,,,,warning duplicate packet, dropping

лог подключения на клиенте
Tue Dec 19 11:10:18 2017 OpenVPN 2.4.4 x86_64-w64-mingw32 [SSL (OpenSSL)] [LZO] [LZ4] [PKCS11] [AEAD] built on Sep 26 2017
Tue Dec 19 11:10:18 2017 Windows version 6.2 (Windows 8 or greater) 64bit
Tue Dec 19 11:10:18 2017 library versions: OpenSSL 1.0.2l 25 May 2017, LZO 2.10
Enter Management Password:
Tue Dec 19 11:10:18 2017 MANAGEMENT: TCP Socket listening on [AF_INET]127.0.0.1:25341
Tue Dec 19 11:10:18 2017 Need hold release from management interface, waiting...
Tue Dec 19 11:10:18 2017 MANAGEMENT: Client connected from [AF_INET]127.0.0.1:25341
Tue Dec 19 11:10:18 2017 MANAGEMENT: CMD 'state on'
Tue Dec 19 11:10:18 2017 MANAGEMENT: CMD 'log all on'
Tue Dec 19 11:10:18 2017 MANAGEMENT: CMD 'echo all on'
Tue Dec 19 11:10:18 2017 MANAGEMENT: CMD 'hold off'
Tue Dec 19 11:10:18 2017 MANAGEMENT: CMD 'hold release'
Tue Dec 19 11:10:19 2017 TCP/UDP: Preserving recently used remote address: [AF_INET]remote_ip:1194
Tue Dec 19 11:10:19 2017 Socket Buffers: R=[65536->65536] S=[65536->65536]
Tue Dec 19 11:10:19 2017 Attempting to establish TCP connection with [AF_INET]remote_ip:1194 [nonblock]
Tue Dec 19 11:10:19 2017 MANAGEMENT: >STATE:1513671019,TCP_CONNECT,,,,,,
Tue Dec 19 11:10:20 2017 TCP connection established with [AF_INET]remote_ip:1194
Tue Dec 19 11:10:20 2017 TCP_CLIENT link local: (not bound)
Tue Dec 19 11:10:20 2017 TCP_CLIENT link remote: [AF_INET]remote_ip:1194
Tue Dec 19 11:10:20 2017 MANAGEMENT: >STATE:1513671020,WAIT,,,,,,
Tue Dec 19 11:10:20 2017 MANAGEMENT: >STATE:1513671020,AUTH,,,,,,
Tue Dec 19 11:10:20 2017 TLS: Initial packet from [AF_INET]remote_ip:1194, sid=7c250c4e 35e8ed9b
Tue Dec 19 11:10:21 2017 VERIFY OK: depth=1, C=RU, ST=RU, L=Country, O=test, OU=MyOrganizationalUnit, CN=CA, name=EasyRSA, emailAddress=[e-mail]
Tue Dec 19 11:10:21 2017 VERIFY KU OK
Tue Dec 19 11:10:21 2017 Validating certificate extended key usage
Tue Dec 19 11:10:21 2017 ++ Certificate has EKU (str) TLS Web Server Authentication, expects TLS Web Server Authentication
Tue Dec 19 11:10:21 2017 VERIFY EKU OK
Tue Dec 19 11:10:21 2017 VERIFY OK: depth=0, C=RU, ST=RU, L=Country, O=test, OU=MyOrganizationalUnit, CN=server, name=EasyRSA, emailAddress=[e-mail]
Tue Dec 19 11:10:23 2017 Connection reset, restarting [0]
Tue Dec 19 11:10:23 2017 SIGUSR1[soft,connection-reset] received, process restarting
Tue Dec 19 11:10:23 2017 MANAGEMENT: >STATE:1513671023,RECONNECTING,connection-reset,,,,,
Tue Dec 19 11:10:23 2017 Restart pause, 5 second(s)
Tue Dec 19 11:10:25 2017 SIGTERM[hard,init_instance] received, process exiting
Tue Dec 19 11:10:25 2017 MANAGEMENT: >STATE:1513671025,EXITING,init_instance,,,,,

Answer 1

[Ziptar]

>duplicate packet, dropping
Ожидаемое поведение, никак на работу не влияет.

Для микрота:
/system logging add topics=ovpn,debug

И, собственно, логи в студию.

Comments

[lolowin32]

Лог микротика Инициировал два подключения подряд
13:51:48 ovpn,info TCP connection established from REMOTE_IP
13:51:48 ovpn,debug,packet sent P_CONTROL_HARD_RESET_SERVER_V2 kid=0 sid=9b569f7ab748c4ee pid=0 DATA len=0
13:51:49 ovpn,debug,packet rcvd P_CONTROL_HARD_RESET_CLIENT_V2 kid=0 sid=5078e67b27252ea pid=0 DATA len=0
13:51:49 ovpn,debug,packet sent P_ACK kid=0 sid=9b569f7ab748c4ee [0 sid=5078e67b27252ea] DATA len=0
13:51:49 ovpn,debug,packet rcvd P_CONTROL_HARD_RESET_CLIENT_V2 kid=0 sid=5078e67b27252ea [0 sid=9b569f7ab748c4ee] pid=0 DATA len=0
13:51:49 ovpn,debug,error,996,62208,65476,1416,21344,52300,61752,65472,l2tp,info,65476,debug,79,65535,critical,20888,38392,17296,79,52376,19336,45040,4043,52300,52300,29632,52300,error duplicate packet, dropping
13:51:49 ovpn,debug,packet rcvd P_CONTROL kid=0 sid=5078e67b27252ea pid=1 DATA len=173
13:51:49 ovpn,debug,packet sent P_ACK kid=0 sid=9b569f7ab748c4ee [1 sid=5078e67b27252ea] DATA len=0
13:51:50 ovpn,debug,packet sent P_CONTROL kid=0 sid=9b569f7ab748c4ee pid=1 DATA len=1400
13:51:50 ovpn,debug,packet sent P_CONTROL kid=0 sid=9b569f7ab748c4ee pid=2 DATA len=1400
13:51:50 ovpn,debug,packet sent P_CONTROL kid=0 sid=9b569f7ab748c4ee pid=3 DATA len=87
13:51:50 ovpn,debug,packet rcvd P_ACK kid=0 sid=5078e67b27252ea [1 sid=9b569f7ab748c4ee] DATA len=0
13:51:50 ovpn,debug,packet rcvd P_ACK kid=0 sid=5078e67b27252ea [2 sid=9b569f7ab748c4ee] DATA len=0
13:51:50 ovpn,debug,packet rcvd P_CONTROL kid=0 sid=5078e67b27252ea [3 sid=9b569f7ab748c4ee] pid=2 DATA len=1170
13:51:50 ovpn,debug,packet sent P_ACK kid=0 sid=9b569f7ab748c4ee [2 sid=5078e67b27252ea] DATA len=0
13:51:50 ovpn,debug,packet rcvd P_CONTROL kid=0 sid=5078e67b27252ea pid=3 DATA len=1170
13:51:50 ovpn,debug,packet sent P_ACK kid=0 sid=9b569f7ab748c4ee [3 sid=5078e67b27252ea] DATA len=0
13:51:50 ovpn,debug,packet rcvd P_CONTROL kid=0 sid=5078e67b27252ea pid=4 DATA len=174
13:51:50 ovpn,debug,packet sent P_ACK kid=0 sid=9b569f7ab748c4ee [4 sid=5078e67b27252ea] DATA len=0
13:51:50 ovpn,debug,packet sent P_CONTROL kid=0 sid=9b569f7ab748c4ee pid=4 DATA len=51
13:51:50 ovpn,debug,packet rcvd P_CONTROL kid=0 sid=5078e67b27252ea [4 sid=9b569f7ab748c4ee] pid=5 DATA len=425
13:51:50 ovpn,debug,packet sent P_ACK kid=0 sid=9b569f7ab748c4ee [5 sid=5078e67b27252ea] DATA len=0
13:51:50 ovpn,debug : disconnected
13:51:55 ovpn,info TCP connection established from REMOTE_IP
13:51:55 ovpn,debug,packet sent P_CONTROL_HARD_RESET_SERVER_V2 kid=0 sid=7d946db0c6d71278 pid=0 DATA len=0
13:51:56 ovpn,debug,packet rcvd P_CONTROL_HARD_RESET_CLIENT_V2 kid=0 sid=4fdfe21a409887f1 pid=0 DATA len=0
13:51:56 ovpn,debug,packet sent P_ACK kid=0 sid=7d946db0c6d71278 [0 sid=4fdfe21a409887f1] DATA len=0
13:51:56 ovpn,debug,packet rcvd P_CONTROL_HARD_RESET_CLIENT_V2 kid=0 sid=4fdfe21a409887f1 [0 sid=7d946db0c6d71278] pid=0 DATA len=0
13:51:56 ovpn,debug,error,996,62208,65476,1416,21344,52300,61752,65472,l2tp,info,65476,debug,79,65535,critical,20888,38392,17296,79,52376,19336,45040,4043,52300,52300,29632,52300,error duplicate packet, dropping
13:51:56 ovpn,debug,packet rcvd P_CONTROL kid=0 sid=4fdfe21a409887f1 pid=1 DATA len=173
13:51:56 ovpn,debug,packet sent P_ACK kid=0 sid=7d946db0c6d71278 [1 sid=4fdfe21a409887f1] DATA len=0
13:51:57 ovpn,debug,packet sent P_CONTROL kid=0 sid=7d946db0c6d71278 pid=1 DATA len=1400
13:51:57 ovpn,debug,packet sent P_CONTROL kid=0 sid=7d946db0c6d71278 pid=2 DATA len=1400
13:51:57 ovpn,debug,packet sent P_CONTROL kid=0 sid=7d946db0c6d71278 pid=3 DATA len=87
13:51:57 ovpn,debug,packet rcvd P_ACK kid=0 sid=4fdfe21a409887f1 [1 sid=7d946db0c6d71278] DATA len=0
13:51:57 ovpn,debug,packet rcvd P_ACK kid=0 sid=4fdfe21a409887f1 [2 sid=7d946db0c6d71278] DATA len=0
13:51:57 ovpn,debug,packet rcvd P_CONTROL kid=0 sid=4fdfe21a409887f1 [3 sid=7d946db0c6d71278] pid=2 DATA len=1170
13:51:57 ovpn,debug,packet sent P_ACK kid=0 sid=7d946db0c6d71278 [2 sid=4fdfe21a409887f1] DATA len=0
13:51:57 ovpn,debug,packet rcvd P_CONTROL kid=0 sid=4fdfe21a409887f1 pid=3 DATA len=1170
13:51:57 ovpn,debug,packet sent P_ACK kid=0 sid=7d946db0c6d71278 [3 sid=4fdfe21a409887f1] DATA len=0
13:51:57 ovpn,debug,packet rcvd P_CONTROL kid=0 sid=4fdfe21a409887f1 pid=4 DATA len=174
13:51:57 ovpn,debug,packet sent P_ACK kid=0 sid=7d946db0c6d71278 [4 sid=4fdfe21a409887f1] DATA len=0
13:51:58 ovpn,debug,packet sent P_CONTROL kid=0 sid=7d946db0c6d71278 pid=4 DATA len=51
13:51:58 ovpn,debug,packet rcvd P_CONTROL kid=0 sid=4fdfe21a409887f1 [4 sid=7d946db0c6d71278] pid=5 DATA len=425
13:51:58 ovpn,debug,packet sent P_ACK kid=0 sid=7d946db0c6d71278 [5 sid=4fdfe21a409887f1] DATA len=0
13:51:58 ovpn,debug : disconnected

[Ziptar]

lolowin32,
Попробуйте на клиенте поставить verb 9 и предоставить лог;
Пока такое ощущение, что клиент просто напросто не видит ответ сервера, хотя сервер пакеты от клиента получает.

[lolowin32]

Подключение с данным параметром происходит уж слишком долго, а именно прошло уже пять минут)))Я конечно подожду, мне и самому интересно что же будет в итоге

Пока лог событий на клиенте нам говорит это

Sat Jan 06 17:48:48 2018 WE_CTL n=0 ev=0000000000342D68 rwflags=0x0001 arg=0x0
Sat Jan 06 17:48:48 2018 WE_WAIT enter n=1 to=1000
Sat Jan 06 17:48:48 2018 [0] ev=00000000000000B4 rwflags=0x0001 arg=0x0
Sat Jan 06 17:48:49 2018 WE_CTL n=0 ev=0000000000342D68 rwflags=0x0001 arg=0x0
Sat Jan 06 17:48:49 2018 WE_WAIT enter n=1 to=1000
Sat Jan 06 17:48:49 2018 [0] ev=00000000000000B4 rwflags=0x0001 arg=0x0
Sat Jan 06 17:48:50 2018 WE_CTL n=0 ev=0000000000342D68 rwflags=0x0001 arg=0x0
Sat Jan 06 17:48:50 2018 WE_WAIT enter n=1 to=1000
Sat Jan 06 17:48:50 2018 [0] ev=00000000000000B4 rwflags=0x0001 arg=0x0
Sat Jan 06 17:48:51 2018 WE_CTL n=0 ev=0000000000342D68 rwflags=0x0001 arg=0x0
Sat Jan 06 17:48:51 2018 WE_WAIT enter n=1 to=1000
Sat Jan 06 17:48:51 2018 [0] ev=00000000000000B4 rwflags=0x0001 arg=0x0

[Ziptar]

lolowin32,
Вы точно уверены, что ничто не блокирует ответы роутера (output для src-port 1194 tcp)?
Скиньте также конфиг ovpn на тике.
P.S. да, с verb9 была дурацкая идея, я забыл что он так на этот параметр реагирует ;)

[lolowin32]

Добавил разрешающее правило на output, результат тот же

скрин настроек ovpn и правил фаервола

[Ziptar]

lolowin32,
>dev tun
>Mode: ethernet

ethernet - это tap, ip - это tun; в теории; на практике ethernet режим в тике очень куцый в сравнении с тем, что должно быть, и мало чем отличается от режима ip; тем не менее попробуйте привести в соответсвие.

[lolowin32]

Изменил в настройке ovpn ethernet на ip, инициировал подключение, клиент выдал ошибку
Sun Jan 07 17:35:27 2018 TLS Error: TLS key negotiation failed to occur within 60 seconds (check your network connectivity)
Sun Jan 07 17:35:27 2018 TLS Error: TLS handshake failed
Sun Jan 07 17:35:27 2018 Fatal TLS error (check_tls_errors_co), restarting

Какой то замкнутый круг

[Ziptar]

lolowin32,
А лог микротика?
Ничего, кроме типа подключения не меняли?

[lolowin32]

Ничего не менял кроме типа подключения

лог микротика
19:05:38 ovpn,info TCP connection established from REMOTE_IP
19:05:38 ovpn,debug,packet sent P_CONTROL_HARD_RESET_SERVER_V2 kid=0 sid=6a61802cc49a15a pid=0 DATA len=0
19:05:39 ovpn,debug,packet rcvd P_CONTROL_HARD_RESET_CLIENT_V2 kid=0 sid=a3e0f177a91abc84 pid=0 DATA len=0
19:05:39 ovpn,debug,packet sent P_ACK kid=0 sid=6a61802cc49a15a [0 sid=a3e0f177a91abc84] DATA len=0
19:05:39 ovpn,debug,packet rcvd P_CONTROL_HARD_RESET_CLIENT_V2 kid=0 sid=a3e0f177a91abc84 [0 sid=6a61802cc49a1
5a] pid=0 DATA len=0
19:05:39 ovpn,debug,error,996,62208,65476,1416,21344,52300,61752,65472,l2tp,info,65476,debug,79,65535,critical
,20888,38392,17296,79,52376,19336,45040,4043,52300,52300,29632,52300,error duplicate packet, dropping
19:05:39 ovpn,debug,packet rcvd P_CONTROL kid=0 sid=a3e0f177a91abc84 pid=1 DATA len=173
19:05:39 ovpn,debug,packet sent P_ACK kid=0 sid=6a61802cc49a15a [1 sid=a3e0f177a91abc84] DATA len=0
19:05:40 ovpn,debug,packet sent P_CONTROL kid=0 sid=6a61802cc49a15a pid=1 DATA len=1400
19:05:40 ovpn,debug,packet sent P_CONTROL kid=0 sid=6a61802cc49a15a pid=2 DATA len=1400
19:05:40 ovpn,debug,packet sent P_CONTROL kid=0 sid=6a61802cc49a15a pid=3 DATA len=87
19:05:40 ovpn,debug,packet rcvd P_ACK kid=0 sid=a3e0f177a91abc84 [1 sid=6a61802cc49a15a] DATA len=0
19:05:40 ovpn,debug,packet rcvd P_ACK kid=0 sid=a3e0f177a91abc84 [2 sid=6a61802cc49a15a] DATA len=0
19:05:40 ovpn,debug,packet rcvd P_CONTROL kid=0 sid=a3e0f177a91abc84 [3 sid=6a61802cc49a15a] pid=2 DATA len=11
70
19:05:40 ovpn,debug,packet sent P_ACK kid=0 sid=6a61802cc49a15a [2 sid=a3e0f177a91abc84] DATA len=0
19:05:40 ovpn,debug,packet rcvd P_CONTROL kid=0 sid=a3e0f177a91abc84 pid=3 DATA len=1170
19:05:40 ovpn,debug,packet sent P_ACK kid=0 sid=6a61802cc49a15a [3 sid=a3e0f177a91abc84] DATA len=0
19:05:40 ovpn,debug,packet rcvd P_CONTROL kid=0 sid=a3e0f177a91abc84 pid=4 DATA len=174
19:05:40 ovpn,debug,packet sent P_ACK kid=0 sid=6a61802cc49a15a [4 sid=a3e0f177a91abc84] DATA len=0
19:05:41 ovpn,debug,packet sent P_CONTROL kid=0 sid=6a61802cc49a15a pid=4 DATA len=51
19:05:41 ovpn,debug,packet rcvd P_CONTROL kid=0 sid=a3e0f177a91abc84 [4 sid=6a61802cc49a15a] pid=5 DATA len=42
5
19:05:41 ovpn,debug,packet sent P_ACK kid=0 sid=6a61802cc49a15a [5 sid=a3e0f177a91abc84] DATA len=0
19:05:41 ovpn,info : using encoding - AES-256-CBC/SHA1
19:06:38 ovpn,debug : disconnected

[Ziptar]

Ещё один момент есть. Я прошу прощения, вспоминаю по кускам, довольно давно занимался этим секасом с ovpn на тиках.
Реализация ovpn на микротике не даст подключиться без username/password, даже несмотря на использование клиентского сертификата. По крайней мере так было раньше.
Создайте пользователя для ovpn на тике (ppp accounting), а в клиенте укажите:
auth-user-pass "..\\config\\user_password.txt"
Создайте рядом с конфигом user_password.txt с двумя строками: в первой - имя пользователя, во второй - пароль.

[lolowin32]

BINGO! удалось подключиться, благодарю вас за помощь!

[lolowin32]

Я немного поправил конфиг клиента, для того чтобы клиент видел узлы за микротиком:
route-method exe
route-delay 2
route 192.168.1.0 255.255.255.0 10.15.0.1

10.15.0.1 - ip ovpn сервера на микротике

а как можно увидеть узлы за микротиком не по ip адресам, а по именам?

[Ziptar]

lolowin32, указанием адреса wins-сервера. Разумеется, в сети должен присутсвовать wins-сервер. Или DNS.
Может, конечно, будет netbios работать при ethernet/tap подключении, но не уверен. С нетбиосом в этой ситуации геморроя много - должна быть та же самая подсеть, что и у ресурсов в локальной сети, а это очень неудобно.

[lolowin32]

Константин Антонов, благодарю за ответ, буду думать как реализовать

Answer 2

[FAtman78]

Словил такую-же ошибку, включение логов на микротике /system logging add topics=ovpn,debug никакой пользы не принесло. Причем с моего компа win10 это подключение с этим же сертификатом и файлом настроек работало, а с клиентского win11 именно такая ошибка и вылазила. Грешил на win11 - настройки брендмауера, затем обновил пришивку микротика, еще раз проверил пароли, ничего из этого не помогло.

Сравнил версии vpn клиентов, на моем компьютере была установлена уже давно версия OpenVPN-2.5.3-I601-amd64.msi, на проблемном свежая OpenVPN-2.6.1-I001-amd64.msi. Удалил ее и поставил старую OpenVPN-2.5.3-I601-amd64.msi, все сразу заработало.

Comments

[Роман Павловский]

Для версии Опенвпн 2,6+ нужно переписывать клиентские конфиги и возможно даже серверный конфиг. Такая ошибка не только на Микротиках, но и на Линукс серверах, если сервер версии ниже 2.6, а у клиента версия опенвпн 2,6+. Но если ставить версию 2.6 на сервер, то всем клиетам нужно редактировать конфиг под новый формат версии 2.6 и старые конфиги работать перестанут(

[Acti0N87]

Спасибо за решение, помогло!

Answer 3

[RafJo]

Такая же ошибка. В итоге. Пароль в Secrets и пароль при генерации сертификата. должны совпадать и никак иначе. Из-за этого и была ошибка.

Answer 4

[Mopozz]

У меня все проще...
Оказалось был отключен виртуальный ethernet TAP

Answer 5

[dennzo]

mikrotik 6.49
win10, 20h2 ovpn-client 2.5.0-l601
на микротике «ovpn… duplicate packet dropping»,
на клиенте «connection reset… restarting»
Ничего не помогало… Все пароли перепроверил, переставил.
Думал уже перегенерить все сертификаты заново…
погуглил, решил попробовать со свежим клиентом — заработало,
просто импорт конфига старого сделал и все само пошло ок
OVPN-connect-3.3.4.2600_signed.msi = ok