Mikrotik L2tp ipsec vpn — почему не пингуется локальная сеть?

Question

[mugensamara]

Есть сеть за микротиком
192.168.0.0/24
поднят l2tp ipsec сервер
10.63.10.0/24
В локальной сети имеется ПК 192.168.0.66 к которому нужен доступ по smb
Проблема:
При подключению по VPN
-Данный ПК не пингуется
-На данный ПК можно зайти по RDP
-На данный ПК нельзя зайти по SMB
P.S. Аналогичным образом настроено 3 роутера на других объектах, на них всё прекрасно работает

Answer 1

[Dimonchik]

P.S. Аналогичным образом настроено 3 роутера на других объектах, на них всё прекрасно работает

- алло, пожарные, приезжайте скорее, дом горит...
- у нас за окном точно такой же дом, и он не горит

подобные вопросы всегда нужно сопровождать диаграммой, ну или четко описывать все
в каком месте сети-то соединены?
куда трассировка доходит?

Comments

[mugensamara]

C:\Windows\system32>tracert 192.168.0.66

Трассировка маршрута к 192.168.0.66 с максимальным числом прыжков 30

1 36 ms 37 ms 40 ms 10.63.10.1
2 * * * Превышен интервал ожидания для запроса.

Сеть одна за микротиком 192.168.0.0/24
На микротике l2tp ipsec vpn поднят - VPN Сеть 10.63.10.0/24
Комп стоит дома на Windows 10 - создаётся подключение к микротику, комп на винде получает адрес 10.63.10.5
После поднятия сессии нужный ПК за микротиком (192.168.0.66) не пингуется, не открывается шара, но на него спокойно заходит по RDP.
Может какие части конфига микротика сбросить? Сегодня весь день с этой проблемой бьёмся, никак победить не получается. Сбрасывал микротик на заводские, подкидывал настройки с других работающих микротов (они одинаковые hex). Поднимали SSTP - такая же шляпа. Такое чувство что проблема где-то на поверхности, но глаз уже замылился и мы его не видим.

[mugensamara]

/interface bridge
add admin-mac=00:00:00:00:00:00 arp=proxy-arp auto-mac=no comment=defconf \
    name=bridge
/interface list
add comment=defconf name=WAN
add comment=defconf name=LAN
/interface wireless security-profiles
set [ find default=yes ] supplicant-identity=MikroTik
/ip hotspot profile
set [ find default=yes ] html-directory=flash/hotspot
/ip ipsec profile
set [ find default=yes ] enc-algorithm=aes-256,aes-192,aes-128
/ip ipsec proposal
set [ find default=yes ] auth-algorithms=sha512,sha256,sha1 enc-algorithms=\
    aes-256-cbc,aes-192-cbc,aes-128-cbc,3des
/ip pool
add name=dhcp ranges=192.168.0.10-192.168.0.254
add name=l2tp ranges=10.63.10.10-10.63.10.50
/ip dhcp-server
add address-pool=dhcp disabled=no interface=bridge name=defconf
/ppp profile
add change-tcp-mss=yes local-address=192.168.0.1 name=l2tp-profile \
    remote-address=l2tp use-compression=yes use-encryption=yes
/user group
set full policy="local,telnet,ssh,ftp,reboot,read,write,policy,test,winbox,pas\
    sword,web,sniff,sensitive,api,romon,tikapp,!dude"
/interface bridge port
add bridge=bridge comment=defconf interface=ether2
add bridge=bridge comment=defconf interface=ether3
add bridge=bridge comment=defconf interface=ether4
add bridge=bridge comment=defconf interface=ether5
/ip neighbor discovery-settings
set discover-interface-list=none
/interface l2tp-server server
set authentication=mschap2 default-profile=l2tp-profile enabled=yes \
    ipsec-secret=000 max-sessions=300 use-ipsec=yes
/interface list member
add comment=defconf interface=bridge list=LAN
add comment=defconf interface=ether1 list=WAN
/ip address
add address=192.168.0.1/24 comment=defconf interface=ether2 network=\
    192.168.0.0
add address=00.000.126.31/24 interface=ether1 network=00.000.126.0
/ip dhcp-client
add comment=defconf dhcp-options=hostname,clientid interface=ether1
/ip dhcp-server network
add address=192.168.0.0/24 comment=defconf gateway=192.168.0.1 netmask=24
/ip dns
set allow-remote-requests=yes servers=00.000.124.1,00.000.124.111
/ip dns static
add address=192.168.0.1 comment=defconf name=router.lan
/ip firewall address-list
add address=192.168.0.0/24 list=lan
add address=10.63.10.0/24 list=vpn
/ip firewall filter
add action=accept chain=forward in-interface=!ether1 out-interface=bridge \
    src-address=10.63.10.0/24
add action=accept chain=forward dst-address-list=vpn src-address-list=lan
add action=accept chain=input disabled=yes protocol=icmp
add action=fasttrack-connection chain=forward comment="defconf: fasttrack" \
    connection-state=established,related disabled=yes
add action=accept chain=input comment="L2TP accept" dst-port=1701,500,4500 \
    port="" protocol=udp
add action=accept chain=input protocol=ipsec-esp
add action=accept chain=input protocol=ipsec-ah
add action=accept chain=input comment=\
    "defconf: accept established,related,untracked" connection-state=\
    established,related,untracked
add action=drop chain=input comment="defconf: drop invalid" connection-state=\
    invalid
add action=accept chain=forward comment="defconf: accept in ipsec policy" \
    ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" \
    ipsec-policy=out,ipsec
add action=accept chain=forward comment=\
    "defconf: accept established,related, untracked" connection-state=\
    established,related,untracked
add action=drop chain=forward comment="defconf: drop invalid" \
    connection-state=invalid
add action=drop chain=forward comment=\
    "defconf:  drop all from WAN not DSTNATed" connection-nat-state=!dstnat \
    connection-state=new in-interface-list=WAN
/ip firewall nat
add action=masquerade chain=srcnat comment="defconf: masquerade" \
    ipsec-policy=out,none out-interface-list=WAN
/ip route
add distance=1 gateway=00.000.126.1
/ip service
set telnet disabled=yes
set ftp disabled=yes
set www disabled=yes
set ssh disabled=yes
set api disabled=yes
set winbox address=192.168.0.0/24
set api-ssl disabled=yes
/ppp secret
add local-address=10.63.10.1 name=user1 password=user1 profile=l2tp-profile \
    remote-address=10.63.10.2 service=l2tp
add local-address=10.63.10.1 name=user2 password=user2 profile=l2tp-profile \
    remote-address=10.63.10.3 service=l2tp
add local-address=10.63.10.1 name=user3 password=user3 profile=l2tp-profile \
    remote-address=10.63.10.4 service=l2tp
add local-address=10.63.10.1 name=test password=test profile=l2tp-profile \
    remote-address=10.63.10.5 service=l2tp
add name=test2 password=test2 profile=l2tp-profile
/system package update
set channel=long-term
/tool mac-server
set allowed-interface-list=LAN
/tool mac-server mac-winbox
set allowed-interface-list=LAN

[Dimonchik]

route print где?
как сеть 10.63.10.0 знает о сети 192.168.0.0 ?

[mugensamara]

[admin@MikroTik] > ip route print
Flags: X - disabled, A - active, D - dynamic, 
C - connect, S - static, r - rip, b - bgp, o - ospf, m - mme, 
B - blackhole, U - unreachable, P - prohibit 
 #      DST-ADDRESS        PREF-SRC        GATEWAY            DISTANCE
 0 A S  0.0.0.0/0                          00.000.126.1              1
 1 ADC  10.63.10.5/32      10.63.10.1      <l2tp-test>               0
 2 ADC  00.000.126.0/24    00.000.126.31   ether1                    0
 3 ADC  192.168.0.0/24     192.168.0.1     bridge                    0
[admin@MikroTik] >

С пк адрес 192.168.0.1 пингуется нормально.
В любом случае всё заработало (и SMB работает и RDP), кроме пинга. Вся беда оказалась в Windows 7 машине (192.168.0.66). Спасибо за помощь и ответы!