+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

IpSec VPN между MT и AZURE

IpSec VPN между MT и AZURE, RouterOS

aeg

Guest

17.12.2014 01:13:00

Мы пытаемся настроить IPsec Site-to-Site VPN между нашим офисом и Windows Azure. VPN не устанавливается с ошибкой:
14:00:32 ipsec,debug respond new phase 2 negotiation: 103.29.yy.xx[500]<=>23.101.yyy.xxx[500]
14:00:32 ipsec,error authtype mismatched: my:hmac-sha1 peer:hmac-sha256
14:00:32 ipsec,debug not matched

Насколько я понимаю, мы не можем изменить никакие настройки на стороне Azure. Поэтому я пытался найти подходящую настройку в MT для фазы 2, но в меню нет аутентификации фазы 2 с SHA256. Это баг или просто такая функция не поддерживается mikrotik, или ее можно добавить?

Есть ли у кого-то работающий VPN с такими параметрами? Если да, не могли бы вы поделиться конфигом, пожалуйста.

eldarkt

Guest

21.02.2016 11:13:00

Всем привет, вчера эта ошибка просто перестала логироваться (я ничего не менял). Похоже, что проблема была на другой стороне (Azure) и сама исправилась через какое-то время (наверное, таймаут был около 24 часов или что-то в этом роде). Так что теперь всё отлично работает.

rjickity

Guest

28.01.2015 11:51:00

Привет, aeg, извини за поздний ответ. Если ты ещё не понял — Azure не любит ping. Не используй его для диагностики, потому что он всегда теряется. Проверь свои sa, убедись, что количество байт растёт, и попробуй другой протокол, например ssh или rdp, чтобы подключиться к своему виртуальному серверу.

sergejs

Guest

28.01.2015 12:14:00

aeg, моя проблема была в том, что в меню моего Winbox не отображались все доступные опции. Поэтому я мог выбрать только SHA1, хотя в командной строке доступно больше вариантов. Пожалуйста, убедитесь, что вы используете самую новую версию Winbox (если это возможно) — 2.2.18 или ещё лучше Winbox 3 с MikroTik.com. В конфигурации Proposal должны быть доступны все алгоритмы.

eldarkt

Guest

18.02.2016 18:19:00

Привет! У меня есть RouterBoard 951-2n (OS 6.33.5), и он отлично работает с теми же настройками в режиме sha1, но в журнале ошибок появляется: authtype mismatched: my:hmac-sha1 peer:hmac-sha256. Должен ли он работать с sha256 тоже? Я пытался поставить sha256 в настройках peer и proposal, но тогда всё просто перестало работать — ни пакетов, ни ошибок, пока не вернул обратно на sha1. Какие-нибудь мысли?..

mrz Guest	#6 0 19.02.2016 10:09:00 Убедитесь, что вы используете версию не ниже v6.34, где исправлена несовместимость sha256 с продуктами других производителей.

eldarkt Guest	#7 0 19.02.2016 10:46:00 Mrz, огромное спасибо! Только что обновился до версии 6.34.1, и теперь всё работает в режиме sha256. Осталась одна проблема: в логах каждые 2 минуты появляются вот такие ошибки: phase1 negotiation failed due to time up [500]<=>[500]. Но почему?.. Туннель же работает! Вот мои настройки Mikrotik: /ip ipsec proposal set [ find default=yes ] auth-algorithms=sha256 enc-algorithms=aes-256-cbc lifetime=8h /ip ipsec peer add address=<azure gateway ip> dpd-interval=10m enc-algorithm="" hash-algorithm=sha256 local-address=0.0.0.0 secret=<secret> /ip ipsec policy add dst-address=10.0.0.0/24 sa-dst-address=<azure gateway ip> sa-src-address=<mikrotik gateway ip> src-address=192.168.0.0/24 tunnel=yes

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры