http://mikrotik.moscow Новое в теме Безопасность L2TP форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Thu, 20 Aug 2026 15:58:55 -0400 Безопасность L2TP RouterOS в форуме RouterOS.
Так, две проблемы: нужно предотвратить вход пользователей через L2TP и их PPP-аутентификацию без предварительного подключения через IPSec. Полагаю, что блокировка [или запрет, в зависимости от вашей точки зрения] порта 1701 UDP на внешнем интерфейсе [или любом интерфейсе, с которого не хотите, чтобы кто-то совершал обычное L2TP-подключение] должна быть достаточной. Однако, поскольку трафик IPSec будет выглядеть так, как будто он исходит непосредственно от порта WAN ethernet – как это сделать? [Вот почему нам так отчаянно нужна "нормальная" реализация IPSec, чтобы позволить нам сопоставлять ее в правилах фильтрации, как это делает IPTables на Linux!] Я не могу фильтровать по интерфейсу. Я не могу фильтровать по IP [поскольку это будет публичный маршрутизируемый IP-адрес подключаемого клиента]. Я не могу фильтровать по порту [очевидно, я не могу просто заблокировать UDP 1701 - это заблокирует все]. Так, как создать правило, которое разрешает L2TP поверх IPSec, но не отдельно? Предотвратить IPSec-подключения на связанном пире, которые не являются L2TP-подключениями. [То есть, я не хочу, чтобы пользователь взял PSK для настройки L2TP, вставил его в прямой IPSec-туннель/tap и обошел L2TP в систему.] Стоит отметить, что моя конфигурация "пира" – Адрес: 0.0.0.0/0, с использованием PSK, а не сертификата, и используя режим обмена Main/L2TP – который позволяет обмен в режиме Main, с PSK. Я не могу придумать хороших способов добиться этого. Кто-нибудь еще знает способ, который был бы эффективным? Мне это нужно, потому что: у меня несколько L2TP-пользователей. Я не могу настроить несколько пиров со своими разными PSK и с адресами 0.0.0.0/0, поскольку IPSec не сможет правильно это обработать. Поэтому, если у меня 20 человек, все использующих один и тот же PSK, я действительно не хочу его менять. Поэтому, если я могу быть уверен, что нельзя построить IPSec-туннель, маршрутизируемый/отфильтрованный без PPP/L2TP-аутентификации – тогда мне не придется сильно беспокоиться о смене PSK для IPSec, если пользователь с PSK, скажем, потерял свой ноутбук – поскольку PSK ничего не дает без наличия PPP-аутентификации. Единственная альтернатива – это какой-то способ "сериализовать" IPSec-туннель для каждого пользователя, чтобы каждый пользователь мог иметь свой собственный PSK или сертификатный туннель. [Примечание: Решение должно работать на Windows с нативным клиентом L2TP.] -Greg
16.08.2012 18:55:00, gsloop.]]> http://mikrotik.moscow/forum/forum57/61268-bezopasnost-l2tp/message234092 http://mikrotik.moscow/forum/forum57/61268-bezopasnost-l2tp/message234092 Thu, 16 Aug 2012 18:55:00 -0400 RouterOS