http://mikrotik.moscow Новое в теме Странные проблемы с IPsec при настройке L2TP/IPsec (v5.26). форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Sun, 16 Aug 2026 21:25:34 -0400 Странные проблемы с IPsec при настройке L2TP/IPsec (v5.26). RouterOS в форуме RouterOS.
Привет, я довольно нов в IPsec, и знаю, что v6 добавляет дополнительные возможности. Но на данном этапе я не готов к обновлению. Кроме того, я должен быть в состоянии легко настроить L2TP/IPsec в v5. Итак, сначала я просто объясню немного о настройке, а затем о проблемах, с которыми сталкиваюсь, и в конце я скопирую/вставлю соответствующие настройки, которые использовал. Я пытаюсь подключить 2 маршрутизатора MikroTik (оба работают на v5.26) с помощью L2TP/IPsec. Я настроил L2TP-сервер на одном маршрутизаторе (мы называем его Router1 с IP-адресом 192.168.20.1) и добавил другой маршрутизатор (мы называем его Router2 с IP-адресом 192.168.20.2) в качестве пира (с настройками по умолчанию). Я также установил send-initial-contact в no, поскольку хотел, чтобы Router2 инициировал соединение. В Router2, после добавления пира (с настройками по умолчанию) с IP-адресом Router1 и установкой send-initial-contact в yes, я добавил политику с исходным адресом Router2, целевым адресом Router1. И также установил целевой порт в 1701 (L2TP-порт) и установил протокол в udp. Я также не хочу использовать IPsec в режиме туннеля, так как это не нужно. Вместо этого я предпочитаю установить IPsec-протокол в ah-esp и использовать его в транспортном режиме. И, конечно, в конце я настроил L2TP-клиент в Router2. Также, NAT не используется ни на одной стороне. Теперь мои проблемы:
1- Я смог подключиться к L2TP-серверу с ah или esp, но не с ah-esp: обычно, когда я устанавливаю IPsec-протокол в ah-esp, я вижу, что другая сторона указана как Remote Peer на обеих сторонах (что хорошо), однако я не вижу никаких установленных SA на Router1. На Router2 я вижу 3 установленных SA: Flags: A - AH, E - ESP, P - pfs
0 E spi=0 src-address=192.168.20.2 dst-address=192.168.20.1 auth-algorithm=none enc-algorithm=none replay=0 state=larval add-lifetime=0s/30s
  1 A spi=0x73153EE src-address=192.168.20.1 dst-address=192.168.20.2
    auth-algorithm=none enc-algorithm=none replay=0 state=larval
    add-lifetime=0s/30s
  2 E spi=0xA962F57 src-address=192.168.20.1 dst-address=192.168.20.2
    auth-algorithm=none enc-algorithm=none replay=0 state=larval
    add-lifetime=0s/30s Также, как я вижу, Router2 удаляет SA через несколько секунд и пытается снова с новыми. Просматривая статистику, я не вижу, что какой-либо счетчик увеличивается на Router1, однако на Router2 out-no-states увеличивается каждые несколько секунд или около того.
2- Даже при использовании ah или esp, я могу подключиться к Router1 только если я устанавливаю generate-policy для Router2 в Router1 в yes. Ручное добавление политики (даже когда она точно соответствует динамической политике, которую он в противном случае создал, не работает).
3- Для целей тестирования, когда я пытался IPsec tunnel mode, опять же, я мог подключиться только с ah или esp, но не с ah-esp, и также generate-policy нужно было установить в yes, чтобы это работало вообще. Однако, в отличие от транспортного режима, который создавал бы одно динамическое правило, в режиме туннеля я вижу 3 странных динамических правила (2 из которых кажутся совершенно одинаковыми): Flags: X - disabled, D - dynamic, I - inactive
0 D src-address=192.168.20.2/32 src-port=any dst-address=192.168.20.1/32
    dst-port=any protocol=udp action=encrypt level=require ipsec-protocols=esp
    tunnel=yes sa-src-address=192.168.20.1 sa-dst-address=192.168.20.2
    proposal=default priority=2
  1 D src-address=192.168.20.2/32 src-port=any dst-address=192.168.20.1/32
    dst-port=any protocol=udp action=encrypt level=require ipsec-protocols=esp
    tunnel=yes sa-src-address=192.168.20.1 sa-dst-address=192.168.20.2
    proposal=default priority=2
  2 D src-address=192.168.20.1/32 src-port=any dst-address=192.168.20.2/32
    dst-port=any protocol=udp action=encrypt level=require ipsec-protocols=esp
    tunnel=yes sa-src-address=192.168.20.2 sa-dst-address=192.168.20.1
    proposal=default priority=2 Ниже я вставлю соответствующие настройки IPsec для обоих маршрутизаторов, пожалуйста, посоветуйте мне, как решить эти проблемы. Спасибо заранее Router1: /ip ipsec peer
add address=192.168.20.2/32 auth-method=pre-shared-key dh-group=modp1024
   disabled=no dpd-interval=2m dpd-maximum-failures=5 enc-algorithm=3des
   exchange-mode=main generate-policy=yes hash-algorithm=md5 lifebytes=0
   lifetime=1d my-id-user-fqdn="" nat-traversal=no port=500 proposal-check=
   obey secret=123 send-initial-contact=no
/ip ipsec proposal
set [ find default=yes ] auth-algorithms=sha1 disabled=no enc-algorithms=3des lifetime=30m
   name=default pfs-group=modp1024 Router2: /ip ipsec policy
add action=encrypt disabled=no dst-address=192.168.20.1/32 dst-port=1701
   ipsec-protocols=ah-esp level=require priority=0 proposal=default protocol=
   udp sa-dst-address=192.168.20.1 sa-src-address=192.168.20.2 src-address=
   192.168.20.2/32 src-port=any tunnel=no
/ip ipsec peer
add address=192.168.20.1/32 auth-method=pre-shared-key dh-group=modp1024
   disabled=no dpd-interval=2m dpd-maximum-failures=5 enc-algorithm=3des
   exchange-mode=main generate-policy=no hash-algorithm=md5 lifebytes=0
   lifetime=1d my-id-user-fqdn="" nat-traversal=no port=500 proposal-check=
   obey secret=123 send-initial-contact=yes
/ip ipsec proposal
set [ find default=yes ] auth-algorithms=sha1 disabled=no enc-algorithms=3des
   lifetime=30m name=default pfs-group=modp1024
07.01.2014 08:53:00, Devil.]]> http://mikrotik.moscow/forum/forum57/60168-strannye-problemy-s-ipsec-pri-nastroyke-l2tp_ipsec-_v5.26_./message229061 http://mikrotik.moscow/forum/forum57/60168-strannye-problemy-s-ipsec-pri-nastroyke-l2tp_ipsec-_v5.26_./message229061 Tue, 07 Jan 2014 08:53:00 -0500 RouterOS