L2TP / IPSec клиент. Проблема с маршрутами?

Question

[BratSinot]

Доброго времени суток!

Суть проблемы проста, на Mikrotik RBD52G-5HacD2HnD-TC (прикупил в отпуске) настроено подключение к серверу L2TP IPSec и маршрут 192.168..0/24 (Gateway соотвественно на интерфейс подключения). С самого роутера пинги до рабочей машины идут, а с локальной машины нет. Но если подключиться с локальной машины то все работает.
RouterOS версии LTS v6.45.9.
Пробовал отключать правила firewall'а не помогало. Пробовал с разных OS и ноутбука (по WiFi) ничего не меняется.

Причем прикол в том, что в отпуске все работало, как приехал домой вот такая катавасия.

P.S. Если из конфигов что-то нужно, кину отдельно, с Mikrotik'ом только начал ковыряться.

ОТВЕТ: L2TP / IPSec клиент. Проблема с маршрутами?
Прописать что-то вроде этого:

/ip firewall nat add chain=srcnat action=masquerade out-interface=<interface list>

Comments

[Sergey]

Что есть рабочая машина, что локальная машина? На каком участке сети сервер?
Вообще план сети нужен.
Из микротика надо интерфейсы, список бриджей, список маршрутов

[BratSinot]

Sergey, Рабочая машина в офисе, локальная у меня дома.
L2TP IPSec сервер тоже в офисе.

[Sergey]

BratSinot, а данные из микротика?
Дело в нем, либо нет маршрута, либо нет правила фаервола, либо нет бриджа

[BratSinot]

Sergey,
Про firewall писал же, что пытался уже правила все отключать / включать, эффекта ноль.
Маршрут есть (опять-же повторюсь, в отпуске все работало).
Плюс опять-же повторю с роутера пинг до рабочей машины идет, не работает с локальной сети.

[Sergey]

BratSinot, не надо бездумно отключать, включать правила фаервола. Надо определить в чем проблема. Вы задали вопрос, нужны данные для его решения. Телепатов здесь нет

[BratSinot]

Sergey, Я не бездумно их выключал, а выключал с целью проверки.
Плюс, еще раз повторюсь, в отпуске все работало, а дома перестало. Перестало именно на роутере, если подключаться через клиент на локальной машине все работает (о чем я тоже написал в самом начале), что отметает проблемы с провайдером. Почему понятия не имею, потому и спросил.
А что касается "данных", то опять-же я в изначальном вопросе указал: "Если из конфигов что-то нужно, кину отдельно, с Mikrotik'ом только начал ковыряться". Отдельно, потому-что не хочу случайно кинуть какие-то "пароли / явки".

[Sergey]

BratSinot, так я вам сказал, что надо. Список интерфейсов, бриджей, маршрутов и правил фаервола. Если не хотите случайно выложить данные, делайте скриншоты списков

[BratSinot]

Firewall

[admin@MikroTik] /ip firewall filter> print
Flags: X - disabled, I - invalid, D - dynamic 
 0  D ;;; special dummy rule to show fasttrack counters
      chain=forward action=passthrough 

 1    ;;; defconf: accept established,related,untracked
      chain=input action=accept connection-state=established,related,untracked 
      log=no log-prefix="" 

 2    ;;; defconf: drop invalid
      chain=input action=drop connection-state=invalid log=no log-prefix="" 

 3    ;;; defconf: accept ICMP
      chain=input action=accept protocol=icmp log=no log-prefix="" 

 4    ;;; defconf: drop all not coming from LAN
      chain=input action=drop in-interface-list=!LAN log=no log-prefix="" 

 5    ;;; defconf: accept in ipsec policy
      chain=forward action=accept log=no log-prefix="" ipsec-policy=in,ipsec 

 6    ;;; defconf: accept out ipsec policy
      chain=forward action=accept log=no log-prefix="" ipsec-policy=out,ipsec 

 7    ;;; defconf: fasttrack
      chain=forward action=fasttrack-connection 
      connection-state=established,related log=no log-prefix="" 

 8    ;;; defconf: accept established,related, untracked
      chain=forward action=accept 
      connection-state=established,related,untracked log=no log-prefix="" 

 9    ;;; defconf: drop invalid
      chain=forward action=drop connection-state=invalid log=no log-prefix="" 

10    ;;; defconf: drop all from WAN not DSTNATed
      chain=forward action=drop connection-state=new 
      connection-nat-state=!dstnat in-interface-list=WAN log=no log-prefix="

Интерфейсы:

[admin@MikroTik] /ip firewall filter> /interface print 
Flags: D - dynamic, X - disabled, R - running, S - slave 
 #     NAME                                TYPE       ACTUAL-MTU L2MTU  MAX-L2MTU
 0  R  ether1                              ether            1500  1598       9214
 1  RS ether2                              ether            1500  1598       9214
 2   S ether3                              ether            1500  1598       9214
 3   S ether4                              ether            1500  1598       9214
 4   S ether5                              ether            1500  1598       9214
 5  XS wlan2Ghz                            wlan             1500  1600       2290
 6  RS wlan5Ghz                            wlan             1500  1600       2290
 7  R  <ИМЯ>                              l2tp-out         1450
 8  R  ;;; defconf
       bridge                              bridge           1500  159

Маршруты:

[admin@MikroTik] /ip firewall filter> /ip route print
Flags: X - disabled, A - active, D - dynamic, 
C - connect, S - static, r - rip, b - bgp, o - ospf, m - mme, 
B - blackhole, U - unreachable, P - prohibit 
 #      DST-ADDRESS        PREF-SRC        GATEWAY            DISTANCE
 0 ADS  0.0.0.0/0                          192.168.0.1               1
 1 ADC  192.168.0.0/24     192.168.0.3     ether1                    0
 2 ADC  192.168.XXX.254/32 192.168.XXX.YYY  <ИМЯ>                    0
 3 A S  192.168.ZZZ.0/24                   <ИМЯ>                    1
 4 ADC  192.168.CCC.0/24   192.168.DDD.1   bridge

[Sergey]

BratSinot, firewall -> nat и какие порты в бридже?

[BratSinot]

Если убрать UPNP, то:

[admin@MikroTik] /ip firewall nat> print
Flags: X - disabled, I - invalid, D - dynamic 
 0    ;;; defconf: masquerade
      chain=srcnat action=masquerade out-interface-list=WAN 
      ipsec-policy=out,none

[Sergey]

BratSinot, какие интерфейсы в списке WAN ?

[BratSinot]

Answer 1

[Korben5E]

Раз при подключении на прямую всё работает, а через роутер нет - то конечная точка понятия не знает о вашей сети и не может соответственно вернуть пинг - не знает куда отправить пакет.

Не прописаны адреса подсетей в микротике, либо на самом компе.

При L2TP подключении выделяются адреса - попробуйте их пинговать сначала, и выделенный и серверный.

Comments

[BratSinot]

Local Address с компьютера пингуется, Remote Address нет.


Статический маршрут прописан:

[admin@MikroTik] /ip firewall filter> /ip route print
Flags: X - disabled, A - active, D - dynamic, 
C - connect, S - static, r - rip, b - bgp, o - ospf, m - mme, 
B - blackhole, U - unreachable, P - prohibit 
 #      DST-ADDRESS        PREF-SRC        GATEWAY            DISTANCE
 0 ADS  0.0.0.0/0                          192.168.0.1               1
 1 ADC  192.168.0.0/24     192.168.0.3     ether1                    0
 2 ADC  192.168.XXX.254/32 192.168.XXX.YYY  <ИМЯ>                    0
 3 A S  192.168.ZZZ.0/24                   <ИМЯ>                    1
 4 ADC  192.168.CCC.0/24   192.168.DDD.1   bridge

4-й это мой.

либо на самом компе

tracerout'ом проверил сигнал доходит до моего роутера. Значит видимо все-таки в нем что-то.

[Korben5E]

BratSinot, партизан блин... кому тут твои адреса нужны, особенно из сети 192.168

на верхней картинке закрашены адреса - проверь пинг с компьютера на оба адреса

если пинг идет на оба адреса, то проблема в маршруте на другой стороне. Другая сторона не знает куда отправить ответ.

[BratSinot]

Korben5E, Я же написал: "Local Address с компьютера пингуется, Remote Address нет".
С маршрутизатора пингуются оба.

[BratSinot]

Korben5E,

[admin@MikroTik] > /ip route print
Flags: X - disabled, A - active, D - dynamic, 
C - connect, S - static, r - rip, b - bgp, o - ospf, m - mme, 
B - blackhole, U - unreachable, P - prohibit 
 #      DST-ADDRESS        PREF-SRC        GATEWAY            DISTANCE
 0 ADS  0.0.0.0/0                          192.168.0.1               1
 1 ADC  192.168.0.0/24     192.168.0.3     ether1                    0
 2 ADC  192.168.112.254/32 192.168.112.40  <ИМЯ>                    0
 3 X S  192.168.113.0/24                   <ИМЯ>                    1
 4 ADC  192.168.141.0/24   192.168.141.1   bridge                    0

3-й это статика моя, 2-й уже сам маршрутизатор выставляет при подключении.

[Korben5E]

BratSinot, не пингуется 112.254 ? должен пинговаться.
проверь ip route rule print, там пусто?

и еще - проверь маршруты на самом компьютере, возможно у тебя там статика, которая как раз не дает пинг

[BratSinot]

Korben5E,
Ну да пусто.

[admin@MikroTik] > /ip route rule print
Flags: X - disabled, I - inactive

По поводу компьютера: "Пробовал с разных OS и ноутбука (по WiFi) ничего не меняется". Пересмотрел, там про .112.x и 113.x ничего нет.

[Korben5E]

BratSinot, Вот еще какая мысль появилась... :-)
если до отпуска всё работало - значит кто-то что-то наковырял в сервере :-)

например запретил входящие пинги и еще чего.

и ещё - с TTL в mangle нет никаких приколов? проверь все закладки файрвола
зы: и какой ТТЛ у пинга с роутера показывает?

[BratSinot]

Korben5E,

например запретил входящие пинги и еще чего.

Это 100% нет, плюс опять-же с роутера и при подключении VPN с локальной машины идут? Идут. Плюс RDP то тоже не работает =)

зы: и какой ТТЛ у пинга с роутера показывает?

63.

и ещё - с TTL в mangle нет никаких приколов? проверь все закладки файрвола

[admin@MikroTik] > /ip firewall mangle print
Flags: X - disabled, I - invalid, D - dynamic 
 0  D ;;; special dummy rule to show fasttrack counters
      chain=prerouting action=passthrough 

 1  D ;;; special dummy rule to show fasttrack counters
      chain=forward action=passthrough 

 2  D ;;; special dummy rule to show fasttrack counters
      chain=postrouting action=passthrough

[Korben5E]

BratSinot, ну тогда попробуй следующее - поставь маскарад на это подключение и будет тебе щасте.

Всё выглядит так, как будто на сервере разрешены пакеты только с адресами 192.168.112.0/24 (как вариант), по этому, компьютер подключенный напрямую работает, а за роутером пакет становится транзитным и обрубается. Кстати прохождение пакета можно видеть через torch на l2tp интерфейсе, с этого надо было начинать.

А ещё,если у тебя там WinServer соединения принимает, то возможно накатилось обновление и че-то там поменялось в планах соединения.... microsoft любит такое делать.

[BratSinot]

Korben5E,

ну тогда попробуй следующее - поставь маскарад на это подключение и будет тебе щасте.

Премного благодарен, заработало!
Я теперь понимаю почему в отпуске работало. В отпуске интернет был по схеме оптика->оптическая розетка->Zyxel->Mikrotik, дома же цепочка была такая оптика->оптическая розетка->Mikrotik. Вот и получается, что видимо Zyxel и делал "маскарад".

Осталось только бы автоматизировать добавление / удаление маскарада.

[Korben5E]

BratSinot, в профиле подключения - последняя закладка script

[BratSinot]

Korben5E, Ооо, огромное спасибо!
P.S. В Cisco Packet Tracer'е в университете на парах было не так весело ковыряться как здесь =)