Jump to content
Le ecureuil

L2TP/IPsec сервер

242 posts in this topic

В 30.04.2018 в 13:24, provadyuga сказал:

Попробуйте зайти из Сетевого окружения по IP-адресу. Например \\172.16.2.33\Шара У меня получилось.

Вы не понимаете, о чём мы говорим. У меня в качестве клиента - ещё один роутер, а не компьютер, как в вашем случае. И за моим роутером стоит ещё пять компьютеров. Так вот, к этим компьютерам не получить доступ из сети сервера, понимаете?

Выше писал, что попробую IPIP over ipsec. А потом уже подумал: а смысл пробовать его, если удаленным клиентом будет не роутер zyxel, а tp-link, например?

Нужна нормальная реализация и отработка L2TP/Ipsec. Очень нужна.

 

  • Upvote 1

Share this post


Link to post
Share on other sites
В 5/2/2018 в 11:44, red сказал:

Нужна нормальная реализация и отработка L2TP/Ipsec. Очень нужна.

 

Мы сейчас этим и занимаемся. Есть толстая пачка багов по этой теме, все записано, но невозможно все решить за неделю.

В этом draft мы активно чинили клиента, в следующем постараемся добраться до сервера.

Share this post


Link to post
Share on other sites
4 минуты назад, Le ecureuil сказал:

Мы сейчас этим и занимаемся. Есть толстая пачка багов по этой теме, все записано, но невозможно все решить за неделю.

В этом draft мы активно чинили клиента, в следующем постараемся добраться до сервера.

Большое спасибо за ответ. Будем ждать.

Share this post


Link to post
Share on other sites

@Le ecureuil А какова максимальная скорость при поднятом L2TP/IPSec туннеле между кинетиками? У меня в качестве сервера стоит Giga KN-1010 (2.11.C.1.0-3) с каналом в инет в 70 мбит/с в качестве клиента Giga II (2.12.A.6.0-0). Меряю скорость SpeedTest не превышает 35 на загрузку и 40 на отдачу. Примерно такая же картина на PPTP с включенным шифрованием. Пробовал в качестве клиента Giga KN-1010 та же картина. 

Edited by T@rkus

Share this post


Link to post
Share on other sites
В 02.05.2018 в 14:44, red сказал:

У меня в качестве клиента - ещё один роутер, а не компьютер, как в вашем случае. И за моим роутером стоит ещё пять компьютеров. Так вот, к этим компьютерам не получить доступ из сети сервера, понимаете?

Так и есть. Не видит компьютеры в сети VPN-клиента по L2TP/Ipsec и не пингует.

Попробовал соединиться на двух Keenetic-ах. На обоих 2.11.C.1.0-3.

Хотя Начальный ip-адрес удаленной подсети пингуется, но дальше не видит.

Похоже VPN-клиент реализован только для доступа в интернет.

В 02.05.2018 в 14:44, red сказал:

Нужна нормальная реализация и отработка L2TP/Ipsec.

Хотелось бы. Буду ждать хороших новостей.

Edited by provadyuga

Share this post


Link to post
Share on other sites
1 час назад, provadyuga сказал:

Хотелось бы. Буду ждать хороших новостей.

С учётом того, что ваша модель уже не поддерживается дождётесь ли вы хороших новостей непонятно.

Share this post


Link to post
Share on other sites
23 часа назад, Кинетиковод сказал:

С учётом того, что ваша модель уже не поддерживается дождётесь ли вы хороших новостей непонятно.

В любом случае новость будет интересной, а значит хотя бы этим самым уже будет хорошей.

Share this post


Link to post
Share on other sites

Вот здесь для соединения двух Keenetic-ов в PPTP VPN
дополнительно на Keenetic-е где VPN-сервер пользователю назначается ip-адрес.084863847155.jpg

Затем этот ip-адрес указывается в статическом маршруте, который нужно вручную добавить.
Возможно аналогично нужно сделать для пользователя и при запуске L2TP/IPsec VPN-сервере.
Но для этого типа VPN в WEB-интерфейсе нет такой возможности.
Как сделать то же самое для пользователя L2TP/IPsec VPN-сервера с командной строки ?
Возможно это поможет настроить, чтобы была видна сеть на стороне клиента.

Edited by provadyuga

Share this post


Link to post
Share on other sites

Помогите пожалуйста определмится с выбором маршрутизатора для VPN L2TP/IPsec до 50 Мб/с.
Имеется в продаже 
Keenetic 4G III Rev. B CPU: MediaTek MT7628N (MIPS24Kc) @575MHz, Flash: 8MB (SPI), RAM: 64MB (DDR2)
WLAN: WiSoC 2T2R/300Mbps (2.4GHz), 2x 5dBi (fixed ext), Switch: 2x FE (10/100), USB: 1x 2.
Подойдет такой в плане обеспечения необходимой скорости работы ?
MediaTek MT7628N имеет аппаратную поддержку соединения по VPN L2TP/IPsec ?

Share this post


Link to post
Share on other sites
5 минут назад, provadyuga сказал:

Помогите пожалуйста определмится с выбором маршрутизатора для VPN L2TP/IPsec до 50 Мб/с.
Имеется в продаже 
Keenetic 4G III Rev. B CPU: MediaTek MT7628N (MIPS24Kc) @575MHz, Flash: 8MB (SPI), RAM: 64MB (DDR2)
WLAN: WiSoC 2T2R/300Mbps (2.4GHz), 2x 5dBi (fixed ext), Switch: 2x FE (10/100), USB: 1x 2.
Подойдет такой в плане обеспечения необходимой скорости работы ?
MediaTek MT7628N имеет аппаратную поддержку соединения по VPN L2TP/IPsec ?

Не, думаю не вытянет столько с шифрованием. Надо что-то На MT7621 или искать б/у на RT6856

Share this post


Link to post
Share on other sites
1 минуту назад, r13 сказал:

Не, думаю не вытянет столько с шифрованием. Надо что-то На MT7621 или искать б/у на RT6856

Абсолютно согласен

Share this post


Link to post
Share on other sites
7 минут назад, provadyuga сказал:

Помогите пожалуйста определмится с выбором маршрутизатора

Зачем спамить в данной теме? Курилка для этого есть.

По данному вопросу вопросу, Гига или Ультра.

Share this post


Link to post
Share on other sites
В 5/17/2018 в 12:13, T@rkus сказал:

@Le ecureuil А какова максимальная скорость при поднятом L2TP/IPSec туннеле между кинетиками? У меня в качестве сервера стоит Giga KN-1010 (2.11.C.1.0-3) с каналом в инет в 70 мбит/с в качестве клиента Giga II (2.12.A.6.0-0). Меряю скорость SpeedTest не превышает 35 на загрузку и 40 на отдачу. Примерно такая же картина на PPTP с включенным шифрованием. Пробовал в качестве клиента Giga KN-1010 та же картина. 

При работе через Интернет может быть все, что угодно - среда непредсказуемая.

Share this post


Link to post
Share on other sites
В 5/22/2018 в 18:11, provadyuga сказал:

Вот здесь для соединения двух Keenetic-ов в PPTP VPN
дополнительно на Keenetic-е где VPN-сервер пользователю назначается ip-адрес.084863847155.jpg

Затем этот ip-адрес указывается в статическом маршруте, который нужно вручную добавить.
Возможно аналогично нужно сделать для пользователя и при запуске L2TP/IPsec VPN-сервере.
Но для этого типа VPN в WEB-интерфейсе нет такой возможности.
Как сделать то же самое для пользователя L2TP/IPsec VPN-сервера с командной строки ?
Возможно это поможет настроить, чтобы была видна сеть на стороне клиента.

В настройках сервера при снятии галочки "Разрешить множественный доступ" появляется возможность настройки IP для каждого из клиентов.

Share this post


Link to post
Share on other sites
В 5/25/2018 в 15:07, provadyuga сказал:

Помогите пожалуйста определмится с выбором маршрутизатора для VPN L2TP/IPsec до 50 Мб/с.
Имеется в продаже 
Keenetic 4G III Rev. B CPU: MediaTek MT7628N (MIPS24Kc) @575MHz, Flash: 8MB (SPI), RAM: 64MB (DDR2)
WLAN: WiSoC 2T2R/300Mbps (2.4GHz), 2x 5dBi (fixed ext), Switch: 2x FE (10/100), USB: 1x 2.
Подойдет такой в плане обеспечения необходимой скорости работы ?
MediaTek MT7628N имеет аппаратную поддержку соединения по VPN L2TP/IPsec ?

В среднем около 20 Мбит/сек, все же тестовая лаборатория и реальный Интернет - разные вещи.

Аппаратная поддержка там минимальная.

Share this post


Link to post
Share on other sites
7 часов назад, Le ecureuil сказал:

В среднем около 20 Мбит/сек

У меня получилось по более. Продолжение здесь .

Share this post


Link to post
Share on other sites

Добрый день, прошу помощи сообщества.

Собрана схема как на прилагаемых скринах, с одной стороны ПК и KERIO с другой VIVA и за ней в качестве эксперимента ULTRA. С вивы устанавливается Ipsec VPN в сторону керио, во все стороны всё пингуется и пакеты ходят на все сетевые устройства. Далее просьба не спрашивать зачем, просто нужно и хочется именно на L2TP/IPsec, хотя сам не пойму почему :). При попытке с ПК за керио установить L2TP/IPsec туннель с вивой 192.168.0.1, в логах вивы даже не видно что пытается произойти подключение, грешил что не может подключатся на внутренний IP, для эксперимента поставил за вивой ультру, так вот на ультру через виву подключение проходит нормально, также нормально и на виву и на ультру коннектится если на них поднят VPN-сервер PPTP, подскажите где может быть загвоздка, если нужен селф тест приложу.

Все эти эксперименты ставились через установленный туннель Ipsec VPN .

ЗЫ забыл добавить, везде 2,13 последняя.

PS2 Сейчас проверил возможность подключения к 192.168.0.1 из внутренней сети за ним, ПК правда был с ХР, подключение прошло нормально, т.е получается пакеты из туннеля Ipsec VPN не могут попасть на поднятый сервер L2TP/IPsec на данном же устройстве, куда копать не соображу.

2018-08-03_11-18-38.png

2018-08-03_11-17-38.png

Edited by feoser
Добавил версию

Share this post


Link to post
Share on other sites
3 часа назад, feoser сказал:

Добрый день, прошу помощи сообщества.

Собрана схема как на прилагаемых скринах, с одной стороны ПК и KERIO с другой VIVA и за ней в качестве эксперимента ULTRA. С вивы устанавливается Ipsec VPN в сторону керио, во все стороны всё пингуется и пакеты ходят на все сетевые устройства. Далее просьба не спрашивать зачем, просто нужно и хочется именно на L2TP/IPsec, хотя сам не пойму почему :). При попытке с ПК за керио установить L2TP/IPsec туннель с вивой 192.168.0.1, в логах вивы даже не видно что пытается произойти подключение, грешил что не может подключатся на внутренний IP, для эксперимента поставил за вивой ультру, так вот на ультру через виву подключение проходит нормально, также нормально и на виву и на ультру коннектится если на них поднят VPN-сервер PPTP, подскажите где может быть загвоздка, если нужен селф тест приложу.

Все эти эксперименты ставились через установленный туннель Ipsec VPN .

ЗЫ забыл добавить, везде 2,13 последняя.

PS2 Сейчас проверил возможность подключения к 192.168.0.1 из внутренней сети за ним, ПК правда был с ХР, подключение прошло нормально, т.е получается пакеты из туннеля Ipsec VPN не могут попасть на поднятый сервер L2TP/IPsec на данном же устройстве, куда копать не соображу.

2018-08-03_11-18-38.png

2018-08-03_11-17-38.png

Да, такая ситуация не проверялась. Может быть все, что угодно.

Посмотрю как руки дойдут.

Share this post


Link to post
Share on other sites
8 минут назад, Le ecureuil сказал:

Да, такая ситуация не проверялась. Может быть все, что угодно. 

Максимум, что мне удалось засечь, это в активных соединениях увидеть попытку соединения на 500 порт, но не более того.

Share this post


Link to post
Share on other sites

@Le ecureuil нужна помощь :) Настроил на windows server 2012 R2 сервер l2tp\ipsec, настроил на нем nat. Подключаюсь с кинетика к нему все ок, интернет через него ходит, но работают не все сервисы. Допустим не работают некоторые приложения на телефоне, vk, instagram, google play. Куда копать, какие логи показать? Уже бьюсь несколько дней...

interface L2TP0
    description Hetzner
    role misc
    peer --------
    no ipv6cp
    lcp echo 30 3
    ipcp default-route
    ipcp no name-servers
    ipcp dns-routes
    no ccp
    security-level public
    authentication identity --------
    authentication password ns3 --------
    ip dhcp client dns-routes
    ip dhcp client name-servers
    ip global 525
    ipsec preshared-key ns3 --------
    connect
    up

Настройки клиента

Edited by I2M

Share this post


Link to post
Share on other sites
37 минут назад, I2M сказал:

@Le ecureuil нужна помощь :) Настроил на windows server 2012 R2 сервер l2tp\ipsec, настроил на нем nat. Подключаюсь с кинетика к нему все ок, интернет через него ходит, но работают не все сервисы. Допустим не работают некоторые приложения на телефоне, vk, instagram, google play. Куда копать, какие логи показать? Уже бьюсь несколько дней...


interface L2TP0
    description Hetzner
    role misc
    peer --------
    no ipv6cp
    lcp echo 30 3
    ipcp default-route
    ipcp no name-servers
    ipcp dns-routes
    no ccp
    security-level public
    authentication identity --------
    authentication password ns3 --------
    ip dhcp client dns-routes
    ip dhcp client name-servers
    ip global 525
    ipsec preshared-key ns3 --------
    connect
    up

Настройки клиента

А что насчет mtu?

Share this post


Link to post
Share on other sites
36 минут назад, Le ecureuil сказал:

А что насчет mtu?

MTU провайдера на VPS 1500, у меня тоже 1500, На VPS в туннеле устанавливается 1400, на клиенте в логах пишет что тоже 1400.

Share this post


Link to post
Share on other sites

@Le ecureuil После изменения в конфиге interface L2TP0 ip tcp adjust-mss c pmtu на 1360 начинает работать, почему не работает с pmtu то? ?

Share this post


Link to post
Share on other sites
2 часа назад, I2M сказал:

@Le ecureuil После изменения в конфиге interface L2TP0 ip tcp adjust-mss c pmtu на 1360 начинает работать, почему не работает с pmtu то? ?

Видимо где-то на пути у вас отключен ICMP или сломан ICMP Path MTU Discovery. Потому выход - статическое значение.

  • Thanks 1

Share this post


Link to post
Share on other sites

Добрый день!

Никак не могу настроить L2TP/IPSEC сервер на GIGA (KN-1010) на 2.12.C.1.0-3

Пробовал подключиться с Windows 2016 и с iOS 11 - безрезультатно

Настраивал по инструкции: https://help.keenetic.com/hc/ru/articles/360000581969-Подключение-к-встроенному-VPN-серверу-L2TP-IPSec-с-устройства-на-iOS-и-Windows

Адрес белый динамический + KeenDNS (прямой доступ)

Пользователю доступ к VPN дал

Все настройки делал только через новый WEB UI

В логах при подключении c iOS это:
 

Скрытый текст

IpSec::Configurator: "VPNL2TPServer": IPsec connection to L2TP/IPsec server from "IP" is established.

Сен 11 22:32:05

ndm

IpSec::IpSecNetfilter: start reloading netfilter configuration...

Сен 11 22:32:06

ndm

IpSec::IpSecNetfilter: netfilter configuration reloading is done.

Сен 11 22:32:06

ndm

kernel: EIP93: build outbound ESP connection, (SPI=01db47bf)

Сен 11 22:32:06

ppp-l2tp

l2tp: new tunnel 2669-25 created following reception of SCCRQ from IP:60510

Сен 11 22:32:06

ppp-l2tp

l2tp tunnel 2669-25 (IP:60510): established at IP:1701

Сен 11 22:32:06

ppp-l2tp

l2tp tunnel 2669-25 (IP:60510): new session 56395-8114 created following reception of ICRQ

Сен 11 22:32:06

ppp-l2tp

:vpn: vpn: authentication failed

Сен 11 22:32:06

ppp-l2tp

vpn: authentication failed

Сен 11 22:32:06

ppp-l2tp

l2tp session 2669-25, 56395-8114: CDN received from peer (result: 768, error: 0, message: ""), disconnecting session

Сен 11 22:32:06

ppp-l2tp

l2tp tunnel 2669-25 (IP:60510): no more session, disconnecting tunnel

Сен 11 22:32:06

ipsec

12[IKE] received DELETE for ESP CHILD_SA with SPI 01db47bf

Сен 11 22:32:06

ipsec

12[IKE] closing CHILD_SA VPNL2TPServer{17} with SPIs cd6770f6_i (660 bytes) 01db47bf_o (515 bytes) and TS IP/32[udp/l2tp] === IP/32[udp/60510]

Сен 11 22:32:06

ndm

kernel: EIP93: release SPI cd6770f6

Сен 11 22:32:06

ndm

kernel: EIP93: release SPI 01db47bf

Сен 11 22:32:06

ipsec

09[IKE] received DELETE for IKE_SA VPNL2TPServer[18]

Сен 11 22:32:06

ipsec

09[IKE] deleting IKE_SA VPNL2TPServer[18] between IP[IP]...IP[IP]

Сен 11 22:32:07

ndm

IpSec::IpSecNetfilter: start reloading netfilter configuration...

Сен 11 22:32:07

ndm

IpSec::IpSecNetfilter: netfilter configuration reloading is done.

Сен 11 22:32:07

ppp-l2tp

l2tp tunnel 2669-25 (IP): impossible to send ZLB: sending packet failed

Сен 11 22:32:07

ppp-l2tp

l2tp tunnel 2669-25 (IP:60510): impossible to reply to incoming messages: message transmission failed, deleting tunnel

Сен 11 22:32:09

ppp-l2tp

l2tp: discarding unexpected message from IP: invalid tid 2669

Сен 11 22:32:09

ppp-l2tp

l2tp: discarding unexpected message from IP: invalid tid 2669

 

Share this post


Link to post
Share on other sites

Почему-то при включенном L2TP/IPSec VPN-сервере (который в новом WEB-интерфейсе) я могу получить доступ лишь к файлам на накопителе, подключенном к роутеру, а доступа к файлам компьютеров в сети нет. В качестве клиентов пробовал и Windows, и iOS. Почему так?

P.S. Похоже, блокирует брандмауэр. Но какие тогда правила задать? К тому же, VPN-сервер IPSec спокойно позволяет получить доступ к Windows-машинам. Но на iOS этот тип VPN всё время рвёт соединение при отсутствии трафика, потому и решено было поднять L2TP/IPSec.

P.P.S. В правиле для входящих SMB-соединений (445 порт) надо было выставить необходимые значения в поле "Удаленный IP-адрес" вместо стоящего там по умолчанию "Локальная подсеть".

Edited by dialeg

Share this post


Link to post
Share on other sites

Пробовал настроить l2tp сервер. не вышло добавить маршрут от сервера к подсети клиента. морда не принимает.

Share this post


Link to post
Share on other sites
В 15.10.2018 в 22:39, Alexander Eerie сказал:

Пробовал настроить l2tp сервер. не вышло добавить маршрут от сервера к подсети клиента. морда не принимает.

Нужно добавлять маршрут от сервера к подсети клиента указывая шлюзом адрес клиента, который вы ему присвоили в настройках L2TP/IPsec сервера, и выставляя галочку "Auto".

  • Upvote 1

Share this post


Link to post
Share on other sites

Create an account or sign in to comment

You need to be a member in order to leave a comment

Create an account

Sign up for a new account in our community. It's easy!

Register a new account

Sign in

Already have an account? Sign in here.

Sign In Now

  • Recently Browsing   0 members

    No registered users viewing this page.

×