Как изменить исходящий порт IPSec mikrotik?

Question

[Роман Букивский]

Добрый вечер, настраиваю для личного пользования IPSec на микротик и поднимаю тонели из разных мест. но из одного места не получается поднять тоннель, ни с роутера ни с планшета ни с ноута (видимо провайдер блокирует на исходящее подключение). Единственное устройство которое может поднять тоннель это смартфон самсунг. Немного покопавшись и проанализировав подключение с другого места, понял что телефон может подключиться из любого места потому что он умеет менять исходящий порт, он использует не стандартные и не фиксированые порты. Последний раз когда это проверял он использовал 50105 порт (вместо 4500).

И теперь главный вопрос: как заставить Mikrotik использовать другой исходящий порт?

Comments

[Роман Букивский]

Вопрос решился банально: создаем новые правила маскарада на WAN порт. В src port 4500, masquerade to port 4501. аналогично для 500 порта (src port 500, masquerade to port 501)

Answer 1

[ValdikSS]

Стандарт IPsec регламентирует UDP-порты 500 и 4500, в случае использования UDP-инкапсуляции. Сменить их, в общем случае, нельзя, только некоторое ПО это позволяет (strongswan, например).

Невозможность подключения может быть вызвана блокировкой фрагментированных IP-пакетов на стороне провайдера. Не каждый клиент поддерживает фрагментацию средствами протокола IPsec, а длинные сертификаты, вроде RSA 2048, не влазят в один пакет, заставляя клиент фрагментировать пакет на уровне IP. Можно попробовать использовать ECDSA-сертификаты или RSA 1024, он влазит в один пакет при MTU 1350+.

Последний раз когда это проверял он использовал 50105 порт (вместо 4500).

Очень сомневаюсь. Скорее всего, вы что-то не то смотрели.

Comments

[Роман Букивский]

на одной картинке два устройства старенький планшик и новый смартфон (тот самсун) а на второй картинке подключение этого телефона из дома (сниферим на домашнем микротик)

[ValdikSS]

Роман Букивский, всё верно — вы смотрите не то. Исходящий порт выбирается случайно.

[Роман Букивский]

ValdikSS, так да, телефон его выбирает случайно, а вот ноутбук, планшет и домашний маршрутизатор пользуют стандартный.

[Роман Букивский]

ValdikSS, Ладно думаю уже не важно, в группе Микротик посоветовали попробовать SRC NAT на конкретный порт (теоретически можна его подменить). Нужно пробовать.