+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

ipsec проблема с множественными подсетями или множественной политикой

ipsec проблема с множественными подсетями или множественной политикой, RouterOS

sfaizan

Guest

12.07.2008 11:33:00

Ipsec работает нормально между mkt и openswan, следуя примеру с сайта mkt. Но у меня есть одна проблема — несколько подсетей LAN на стороне openswan не работают. Работает только та, чей пакет идет первым, и туннель устанавливается, а остальные — нет. Вот что я сделал: на стороне mkt одна WAN с интернетом. Один пир подключается к WAN стороне openswan с использованием 3des и md5, пул LAN-адресов 172.20.100.0/24 (исходный адрес). Две одинаковые политики, различие только в адресе назначения openswan LAN, например, одна политика с адресом назначения = 192.168.0.0/24 и другая с адресом назначения = 192.168.1.0/24, остальное оставил без изменений. На стороне openswan две соединения в конфигурации ipsec, сохранив все, кроме leftsubnet. Одно соединение с 192.168.0.0/24, другое с leftsubnet 192.168.1.0/24, сохранив все остальное, и безопасность ipsec с одним общим ключом, так как оно подключается к одному глобальному IP mkt.

Теперь как это работает: когда я пингу с mkt LAN 172.20.100.0/24 любой IP адрес openswan LAN (192.168.1.0/24 или 192.168.0.0/24), оно автоматически подключается и начинает пинговать другую сторону успешно. Проблема в том, что если сначала я пингую любой IP 192.168.0.0/24 с LAN mkt 172.20.100.0/24, он подключается через туннель и шифрование и начинает пинговать IP-адреса из пула 192.168.0.0/24, но не IP-адреса из пула 192.168.1.0/24. С другой стороны, если я сначала пингую любой IP 192.168.1.0/24 с LAN mkt 172.20.100.0/24, он подключается и начинает пинговать, но не другую подсеть openswan, т.е. 192.168.0.0/24. Это означает, что пакет, который идет первым до установки туннеля, маршрутизируется, но другая политика игнорируется… работает только одна в одно время. И если я пытаюсь пинговать другую подсеть, на консоли mkt выдает ошибку ISAK ключа. Но если WAN IP-адреса одинаковые и секрет тот же, обе подсети должны маршрутизироваться с использованием одного и того же ключа, нет ключей в политике и конфигурации соединения, ни в openswan, ни в mkt. Какова может быть проблема и если кто-то может сказать, как настроить несколько подсетей, используя ipsec туннель и один пир? Нужно ли устанавливать другой пир, в чем я сомневаюсь, и как это сделать? С уважением, Fiz.

olydoc

Guest

30.07.2008 01:39:00

У меня такая же проблема с настройкой IPSEC-туннеля между двумя роутерами MT (RB450) на версии v3.11, но с более старыми роутерами (Soekris) на версии v2.9.43 этой проблемы нет: Роутер-1 (Delhur-PA) [admin@Delhur-PA] /ip ipsec proposal> prin 0 name=“default” auth-algorithms=sha1 enc-algorithms=3des lifetime=30m pfs-group=modp1024 [admin@Delhur-PA] /ip ipsec peer> print Flags: X - отключено 0 address=65.243.191.50/32:500 auth-method=pre-shared-key secret=“anykey” generate-policy=no exchange-mode=main send-initial-contact=yes nat-traversal=yes proposal-check=obey hash-algorithm=md5 enc-algorithm=3des dh-group=modp1024 lifetime=1d lifebytes=0 dpd-interval=20s dpd-maximum-failures=1 [admin@Delhur-PA] /ip ipsec policy> print Flags: X - отключено, D - динамическое, I - неактивное 0 src-address=192.168.0.0/24:any dst-address=192.168.1.0/24:any protocol=all action=encrypt level=require ipsec-protocols=esp tunnel=yes sa-src-address=208.200.250.220 sa-dst-address=65.243.191.50 proposal=default manual-sa=none priority=0 Роутер-2 (Ang-Conc) [admin@Ang-Conc] /ip ipsec proposal> print Flags: X - отключено 0 name=“default” auth-algorithms=sha1 enc-algorithms=3des lifetime=30m pfs-group=modp1024 [admin@Ang-Conc] /ip ipsec peer> print Flags: X - отключено 0 address=208.200.250.220/32:500 auth-method=pre-shared-key secret=“anykey” generate-policy=no exchange-mode=main send-initial-contact=yes nat-traversal=yes proposal-check=obey hash-algorithm=md5 enc-algorithm=3des dh-group=modp1024 lifetime=1d lifebytes=0 dpd-interval=20s dpd-maximum-failures=1 [admin@Ang-Conc] /ip ipsec policy> print Flags: X - отключено, D - динамическое, I - неактивное 0 src-address=192.168.1.0/24:any dst-address=192.168.0.0/24:any protocol=all action=encrypt level=require ipsec-protocols=esp tunnel=yes sa-src-address=65.243.191.50 sa-dst-address=208.200.250.220 proposal=default manual-sa=none priority=0 Первая сессия… Ping с Router2 на Router1 ОК, но в обратную сторону нет… [admin@Ang-Conc] > ping 192.168.0.254 src-address=192.168.1.254 пакет отклонен пакет отклонен пакет отклонен пакет отклонен 192.168.0.254 64 байта ping: ttl=64 время=6 мс 192.168.0.254 64 байта ping: ttl=64 время=4 мс 6 пакетов передано, 2 пакета получено, 66% потеря пакетов round-trip min/avg/max = 4/5.0/6 мс [admin@Delhur-PA] > ping 192.168.1.254 src-address=192.168.0.254 192.168.1.254 ping timeout 192.168.1.254 ping timeout 192.168.1.254 ping timeout 192.168.1.254 ping timeout 192.168.1.254 ping timeout 192.168.1.254 ping timeout 192.168.1.254 ping timeout 192.168.1.254 ping timeout 192.168.1.254 ping timeout 192.168.1.254 ping timeout 12 пакетов передано, 0 пакетов получено, 100% потеря пакетов Сбросьте установленные SA и остановите сервис, затем Первая сессия… Ping с Router1 на Router2 ОК, но в обратную сторону нет… [admin@Delhur-PA] > ping 192.168.1.254 src-address=192.168.0.254 пакет отклонен пакет отклонен пакет отклонен пакет отклонен 192.168.1.254 64 байта ping: ttl=64 время=5 мс 192.168.1.254 64 байта ping: ttl=64 время=4 мс 6 пакетов передано, 2 пакета получено, 66% потеря пакетов round-trip min/avg/max = 4/4.5/5 мс [admin@Delhur-PA] > [admin@Ang-Conc] > ping 192.168.0.254 src-address-192.168.1.254 неверный аргумент имя src-address-192.168.1.254 (строка 1, столбец 20) [admin@Ang-Conc] > ping 192.168.0.254 src-address=192.168.1.254 192.168.0.254 ping timeout 192.168.0.254 ping timeout 3 пакета передано, 0 пакетов получено, 100% потеря пакетов [admin@Ang-Conc] >

nathany Guest	#3 0 30.07.2008 19:44:00 Оlydoc, я создал тикет в поддержку по этой проблеме, и он был подтверждён как ошибка, которую, надеюсь, исправят в следующем обновлении — так что, надеюсь, версия 3.12 скоро выйдет! С уважением, Нейтан.

olydoc Guest	#4 0 31.07.2008 20:00:00 Спасибо, Натан... Я получил подтверждение от Сергея, что ему удалось воспроизвести проблему, так что мы будем искать решение, надеюсь, в следующем обновлении. С уважением, Док.

zodiac

Guest

11.08.2008 22:17:00

Здравствуйте, у меня такая же проблема. Ранее я использовал версию 2.9, и всё работало нормально. После обновления устанавливается только первый SA, и никакая другая политика для последующей подсети не применяется. Я пытался отладить это на Cisco ISR 3825, но на 100% похоже, что ошибка на стороне микротика. Можете что-то с этим сделать, пожалуйста? Старые роутерборды имеют малую мощность процессора для IPsec, а новые RB не работают со старыми версиями 2.9. У меня такое ощущение, что каждая новая версия приносит что-то новое, но много старого работающего функционала оказывается сломано... И я не один с таким ощущением... С наилучшими пожеланиями, Павел

nz_monkey

Guest

12.08.2008 08:50:00

Привет, ребята, я немного подталкивал Mikrotik в последнее время, чтобы они улучшили реализацию ipsec в RouterOS, добавив более стандартные названия и возможность использования интерфейсов IPSEC-туннелей. Это сейчас практически стандартная функция, и маршрутизаторы/фаерволы от Juniper, Cisco, Fortinet, даже некоторые маршрутизаторы Linksys это поддерживают! Если вы тоже хотите, чтобы IPSEC в RouterOS стал лучше, прочитайте посты на http://forum.mikrotik.com/t/v4-0-feature-request-s/18662/1 и поддержите эту инициативу. Для нас это главный фактор, который не позволяет использовать больше оборудования Mikrotik. С уважением, Эндрю.

mrstroob Guest	#7 0 22.03.2009 03:38:00 Я получаю: 23:31:09 ipsec не смог найти конфигурацию на ROS 3.22 (RB500) при попытке настроить L2TP с IPSec. Нашлось ли решение или обходной путь? Известная проблема?

wkstill

Guest

25.03.2009 18:53:00

Я предполагаю, что это по-прежнему не исправлено? Я только что купил два новых RB1000, и это не работает… Мне нужно настроить несколько политик, используя одного и того же пира, и только одна из политик работает…

msundman

Guest

21.04.2009 11:08:00

Черт, я только что столкнулся с той же проблемой, пытаясь установить две политики для одного пиринга (Cisco), но работает только первая. Моя конфигурация выглядит так: /ip ipsec peer add address=xx.xx.xx.196/32:500 auth-method=pre-shared-key dh-group=modp1024 disabled=no dpd-interval=disable-dpd dpd-maximum-failures=1 enc-algorithm=3des exchange-mode=main generate-policy=no hash-algorithm=sha1 lifebytes=0 lifetime=1d nat-traversal=no proposal-check=obey secret=am5dbLKF43392vmD send-initial-contact=yes /ip ipsec policy add action=encrypt disabled=no dst-address=10.4.y.y/32:any ipsec-protocols=esp level=require priority=0 proposal=default protocol=all sa-dst-address=xx.xx.xx.196 sa-src-address=xx.xx.xx.33 src-address=10.105.0.0/16:any tunnel=yes add action=encrypt disabled=no dst-address=10.1.z.z/32:any ipsec-protocols=esp level=require priority=0 proposal=default protocol=all sa-dst-address=xx.xx.xx.196 sa-src-address=xx.xx.xx.33 src-address=10.105.0.0/16:any tunnel=yes Работает на RB1000, только что попробовал обновиться до 3.23, но все еще не повезло. Есть какие-нибудь известные обходные решения?

wkstill Guest	#10 0 22.04.2009 15:11:00 Мне сказали, что они «смотрят» на эту проблему…

msundman

Guest

#11

27.04.2009 13:32:00

Я только что получил ответ от поддержки, где они сказали, что Cisco, вероятно, по умолчанию создает отдельные SA для каждой подсети (что, как я думал, является обязательным по стандарту IPsec), в то время как Mikrotik по умолчанию использует один и тот же SA для нескольких политик. Поэтому соединение двух MT работает прямо с коробки с несколькими подсетями. Проблемы возникают при подключении Mikrotik, например, к Cisco. Тем не менее, есть настройка на MT, которая должна изменить такое поведение. Мог бы кто-нибудь попробовать установить level=unique вместо level=require в политиках ipsec на MT и подтвердить, решает ли это проблему? К сожалению, я уже обошел эту проблему, объединив две /32 подсети в сеть /13, так что теперь я могу охватить обе только одной политикой и не хочу с этим больше возиться, так как это уже в эксплуатации.

wkstill Guest	#12 0 30.04.2009 15:15:00 Я тоже обошел проблему (использовал туннель L2TP через IPSEC, а затем настроил RIP между двумя RB, сейчас работает довольно хорошо).

arnisg

Guest

#13

03.11.2009 10:25:00

Привет, я столкнулся с такой же проблемой в версии 3.27, но в 3.30 в журнале изменений не вижу никаких исправлений по этому вопросу. Все еще ли Сергей работает над этой проблемой? Я использую уровень=уникальный для всех моих ipsec vpn с самого начала, но это не решает проблему! Насколько я слышал, не самая хорошая идея пробовать 4.2 сейчас (слышал, что она все еще довольно нестабильна для внесения изменений в конфигурацию), но возможно, там это исправлено?

deimos Guest	#14 0 03.02.2010 23:23:00 Привет, версия 4.5, похоже, решила эту проблему. Убедись, что уровень политики IPsec установлен на «уникальный» для каждой подсети. Это было протестировано на Cisco ASA.

hilton Guest	#15 0 04.02.2010 07:00:00 Хороший совет, спасибо.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры