http://mikrotik.moscow Новое в теме IPSec/L2TP VPN на Mikrotik за NAT, но с FQDN. форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Mon, 17 Aug 2026 19:22:54 -0400 IPSec/L2TP VPN на Mikrotik за NAT, но с FQDN. RouterOS в форуме RouterOS.
Как я уже упоминал ранее, IPSec AC других вендоров может находиться за NAT (неважно, Mikrotik или что-то другое). Обсуждался вопрос, что IPSec AC от Mikrotik не может находиться за NAT (неважно, какой NAT используется).
16.09.2013 01:11:00, tomaskir.]]> http://mikrotik.moscow/forum/forum57/74421-ipsec_l2tp-vpn-na-mikrotik-za-nat_-no-s-fqdn./message301584 http://mikrotik.moscow/forum/forum57/74421-ipsec_l2tp-vpn-na-mikrotik-za-nat_-no-s-fqdn./message301584 Mon, 16 Sep 2013 01:11:00 -0400 RouterOS IPSec/L2TP VPN на Mikrotik за NAT, но с FQDN. RouterOS в форуме RouterOS.
Работает. Проверил это на клиенте с Windows 7. IPSEC на NAT-едом Synology NAS. На Mikrotik – fw UPD порты 500, 1701 и 4500 на IPSEC VPN сервер. На Windows клиенте тоже нужно настроить это: http://support.microsoft.com/kb/926179, установить значение 2. Я только что потратил пару часов, чтобы разобраться в этом. Надеюсь, это поможет всем, кто сюда забрел в поисках решения. Удачи.
15.09.2013 06:51:00, mitzone.]]> http://mikrotik.moscow/forum/forum57/74421-ipsec_l2tp-vpn-na-mikrotik-za-nat_-no-s-fqdn./message301583 http://mikrotik.moscow/forum/forum57/74421-ipsec_l2tp-vpn-na-mikrotik-za-nat_-no-s-fqdn./message301583 Sun, 15 Sep 2013 06:51:00 -0400 RouterOS IPSec/L2TP VPN на Mikrotik за NAT, но с FQDN. RouterOS в форуме RouterOS.
О да, с другими вендорами это может работать, IPSec от Cisco тоже работает, когда AC находится за NAT. Они не включают адреса источника и назначения IP-заголовка и ещё несколько вещей в расчёты контрольной суммы IPSec, и поэтому пакет не становится недействительным при обработке IPSec-процессом. А с Mikrotik я не знаю, как это заставить работать.
21.08.2013 17:31:00, tomaskir.]]> http://mikrotik.moscow/forum/forum57/74421-ipsec_l2tp-vpn-na-mikrotik-za-nat_-no-s-fqdn./message301582 http://mikrotik.moscow/forum/forum57/74421-ipsec_l2tp-vpn-na-mikrotik-za-nat_-no-s-fqdn./message301582 Wed, 21 Aug 2013 17:31:00 -0400 RouterOS IPSec/L2TP VPN на Mikrotik за NAT, но с FQDN. RouterOS в форуме RouterOS.
Ммм, а как тогда Windows Server умудряется работать? Полагаю, Microsoft что-то там колдует, чтобы это работало. Но могу заверить, что подключаюсь к нескольким Windows 2003 Server'ам, которые находятся за NAT (а я сам тоже за NAT), просто немного нужно пошаманить с реестром: http://support.microsoft.com/kb/926179. Значение 2 настраивает Windows таким образом, что он может устанавливать защищённые соединения, когда и сервер, и VPN-клиент на базе Windows Vista или Windows Server 2008 находятся за NAT-устройствами. С уважением.
21.08.2013 15:34:00, Leolo.]]> http://mikrotik.moscow/forum/forum57/74421-ipsec_l2tp-vpn-na-mikrotik-za-nat_-no-s-fqdn./message301581 http://mikrotik.moscow/forum/forum57/74421-ipsec_l2tp-vpn-na-mikrotik-za-nat_-no-s-fqdn./message301581 Wed, 21 Aug 2013 15:34:00 -0400 RouterOS IPSec/L2TP VPN на Mikrotik за NAT, но с FQDN. RouterOS в форуме RouterOS.
Это ограничение IPSec. Для чистого L2TP, AC (аутентификационный сервер) может быть за NAT без проблем. А вот для L2TP/IPSec — нет.
21.08.2013 15:24:00, tomaskir.]]> http://mikrotik.moscow/forum/forum57/74421-ipsec_l2tp-vpn-na-mikrotik-za-nat_-no-s-fqdn./message301580 http://mikrotik.moscow/forum/forum57/74421-ipsec_l2tp-vpn-na-mikrotik-za-nat_-no-s-fqdn./message301580 Wed, 21 Aug 2013 15:24:00 -0400 RouterOS IPSec/L2TP VPN на Mikrotik за NAT, но с FQDN. RouterOS в форуме RouterOS.
Понимаю, это, наверное, ограничение Mikrotik устройств, да? Потому что Windows Server отлично работает с L2TP клиентами даже если и сервер, и клиент находятся за NAT.
21.08.2013 15:23:00, Leolo.]]> http://mikrotik.moscow/forum/forum57/74421-ipsec_l2tp-vpn-na-mikrotik-za-nat_-no-s-fqdn./message301579 http://mikrotik.moscow/forum/forum57/74421-ipsec_l2tp-vpn-na-mikrotik-za-nat_-no-s-fqdn./message301579 Wed, 21 Aug 2013 15:23:00 -0400 RouterOS IPSec/L2TP VPN на Mikrotik за NAT, но с FQDN. RouterOS в форуме RouterOS.
Томаскир, посмотри, пожалуйста, что я написал в другой теме: http://forum.mikrotik.com/t/ipsec-l2tp-issue/68761/1. Спасибо.
16.08.2013 06:49:00, gazdi.]]> http://mikrotik.moscow/forum/forum57/74421-ipsec_l2tp-vpn-na-mikrotik-za-nat_-no-s-fqdn./message301578 http://mikrotik.moscow/forum/forum57/74421-ipsec_l2tp-vpn-na-mikrotik-za-nat_-no-s-fqdn./message301578 Fri, 16 Aug 2013 06:49:00 -0400 RouterOS IPSec/L2TP VPN на Mikrotik за NAT, но с FQDN. RouterOS в форуме RouterOS.
Кондиционер не может быть за NAT. Только клиент может быть за NAT.
15.08.2013 23:07:00, tomaskir.]]> http://mikrotik.moscow/forum/forum57/74421-ipsec_l2tp-vpn-na-mikrotik-za-nat_-no-s-fqdn./message301577 http://mikrotik.moscow/forum/forum57/74421-ipsec_l2tp-vpn-na-mikrotik-za-nat_-no-s-fqdn./message301577 Thu, 15 Aug 2013 23:07:00 -0400 RouterOS IPSec/L2TP VPN на Mikrotik за NAT, но с FQDN. RouterOS в форуме RouterOS.
Что делать, когда AC (Access Controller) находится за NAT и имеет приватный IP? У меня та же проблема: IPSEC VPN сервер стоит за Mikrotik RB450G.
15.08.2013 21:47:00, gazdi.]]> http://mikrotik.moscow/forum/forum57/74421-ipsec_l2tp-vpn-na-mikrotik-za-nat_-no-s-fqdn./message301576 http://mikrotik.moscow/forum/forum57/74421-ipsec_l2tp-vpn-na-mikrotik-za-nat_-no-s-fqdn./message301576 Thu, 15 Aug 2013 21:47:00 -0400 RouterOS IPSec/L2TP VPN на Mikrotik за NAT, но с FQDN. RouterOS в форуме RouterOS.
Наконец-то заработало на 6.38, спасибо.
12.01.2017 18:47:00, kait.]]> http://mikrotik.moscow/forum/forum57/74421-ipsec_l2tp-vpn-na-mikrotik-za-nat_-no-s-fqdn./message301575 http://mikrotik.moscow/forum/forum57/74421-ipsec_l2tp-vpn-na-mikrotik-za-nat_-no-s-fqdn./message301575 Thu, 12 Jan 2017 18:47:00 -0500 RouterOS IPSec/L2TP VPN на Mikrotik за NAT, но с FQDN. RouterOS в форуме RouterOS.
Это xDSL соединение? У меня нет опыта, но я не думаю, что PPPoE клиент внутри MT машины так много ресурсов потребляет, как только PPPoE соединение установлено… В одной из моих установок мне пришлось делать так: настроил Cisco роутер как прямой DSL модем (ATM и Ethernet соединены вместе), а Routerboard оставить для работы с PPPoE, чтобы получить РЕАЛЬНЫЙ публичный IP-адрес сразу на интерфейсе WAN Mikrotik. Другие провайдеры здесь предоставляют свои собственные DSL-роутеры со встроенными телефонными линиями как VoIP в своих устройствах, так что вы теряете эту функцию, если роутер заменить. Всё, что я могу сделать, — это прозрачный NAT без каких-либо возможностей L2TP, если публичный IP динамический.
02.06.2016 17:14:00, ik3umt.]]> http://mikrotik.moscow/forum/forum57/74421-ipsec_l2tp-vpn-na-mikrotik-za-nat_-no-s-fqdn./message301574 http://mikrotik.moscow/forum/forum57/74421-ipsec_l2tp-vpn-na-mikrotik-za-nat_-no-s-fqdn./message301574 Thu, 02 Jun 2016 17:14:00 -0400 RouterOS IPSec/L2TP VPN на Mikrotik за NAT, но с FQDN. RouterOS в форуме RouterOS.
Интересно и мне это, у меня Mikrotik за NAT! Другой возможности у меня нет, так как мой провайдер требует PPPoE, а это слишком много ресурсов потребляет на Mikrotik. Чтобы достичь максимальной скорости линии (это симметричное соединение 300 Мбит/с), мне приходится ставить роутер провайдера между, чтобы он занимался PPPoE и снимал нагрузку с Mikrotik-сервера… В итоге Mikrotik оказывается за NAT. Было бы немного нелепо, что мы можем это реализовать, перенаправляя L2TP/IPSec порты на Mikrotik на Linux или Windows сервер в локальной сети, за NAT, но не можем сделать это напрямую на самом Mikrotik.
26.05.2016 11:48:00, djace.]]> http://mikrotik.moscow/forum/forum57/74421-ipsec_l2tp-vpn-na-mikrotik-za-nat_-no-s-fqdn./message301573 http://mikrotik.moscow/forum/forum57/74421-ipsec_l2tp-vpn-na-mikrotik-za-nat_-no-s-fqdn./message301573 Thu, 26 May 2016 11:48:00 -0400 RouterOS IPSec/L2TP VPN на Mikrotik за NAT, но с FQDN. RouterOS в форуме RouterOS.
Довольно старая дискуссия, но я столкнулся с той же проблемой: не получается настроить MT L2TP/IPSEC AC за NAT, потому что политика создается на основе публичных IP-адресов, а SA устанавливаются с MT AC WAN IP (который все равно приватный, скрытый за NAT). Если вручную создать политику с MT WAN IP в качестве источника и публичный IP удаленного клиента (который постоянно меняется, так что это бесполезно), L2TP/IPSEC работает отлично!!! Cisco это делает, Microsoft это делает, другие бренды это делают, не знаю, почему Mikrotik не может реализовать способ создания динамической политики с IP-адресом интерфейса routerboard WAN в качестве источника для входящих запросов L2TP/IPSEC (или 0.0.0.0/0). Это невозможно или просто недостаточно пользователей, чтобы это реализовали?? Есть ли какой-нибудь ответ от сотрудников MT?? Спасибо большое.

P.S. Мне кажется, та же проблема возникает при защите GRE-туннеля между MT-устройствами, оба конца которых находятся за NAT, и одно из двух устройств с динамическим ISP IP-адресом: снова, когда политика создается динамически MT-устройством за NAT, используются неправильные параметры, и она не работает. С обеими статическими ISP-адресами проблем нет, так как политики создаются вручную и правильно. Можете подтвердить это??
12.05.2016 08:24:00, ik3umt.]]> http://mikrotik.moscow/forum/forum57/74421-ipsec_l2tp-vpn-na-mikrotik-za-nat_-no-s-fqdn./message301572 http://mikrotik.moscow/forum/forum57/74421-ipsec_l2tp-vpn-na-mikrotik-za-nat_-no-s-fqdn./message301572 Thu, 12 May 2016 08:24:00 -0400 RouterOS IPSec/L2TP VPN на Mikrotik за NAT, но с FQDN. RouterOS в форуме RouterOS.
Привет, просто хотел узнать, возможно ли сейчас подключить обе стороны за NAT при использовании L2TP/IPSEC с Mikrotik, или появилась такая возможность создать VPN-соединение. Видел, что в последнее время появились некоторые изменения (например, галочка IPSEC на сервере L2TP).

С уважением.
27.11.2015 08:26:00, Unic.]]> http://mikrotik.moscow/forum/forum57/74421-ipsec_l2tp-vpn-na-mikrotik-za-nat_-no-s-fqdn./message301571 http://mikrotik.moscow/forum/forum57/74421-ipsec_l2tp-vpn-na-mikrotik-za-nat_-no-s-fqdn./message301571 Fri, 27 Nov 2015 08:26:00 -0500 RouterOS IPSec/L2TP VPN на Mikrotik за NAT, но с FQDN. RouterOS в форуме RouterOS.
Как я тут прочитал, это возможно, но я пытаюсь, и переговоры по IPSec начинаются, но не устанавливаются. Моя схема:

Private LAN
RB951G v6.7
ADSL ROUTER 192.168.0.1/24  -----> 192.168.0.220
192.168.1.220       192.168.1.1
213.56.122.xxx

ADSL Router default DMZ — 192.168.1.220. Я звоню 213.56.122.xxx с PC "road-warrior" используя PPTP mschapv2, и VPN работает отлично. Я пробую и пробую использовать L2TP с IPSec сервером на mkt, и, должно быть, что-то не так или это просто невозможно, т.к. проваливаются переговоры по IPSec. Создается: Динамическая политика в IP SEC: src-address=“Remote IP Public Address” src-port=any dst-address=213.56.122.xxx dst-port=any protocol=all action=encrypt level=require ipsec-protocols=esp tunnel=NO sa-src-address==“Remote IP Public Address” sa-dst-address=213.56.122.xxx proposal=default priority=2

Remote Peers:
Local Address: 192.168.1.220
Remote Address:=“Remote IP Public Address”
Side: Responder
Established: in time…
Installed SA:
Src Address: :=“Remote IP Public Address”
Dst Address: 192.168.1.220

…Можете ли вы сказать, будет ли это работать с предоставленной схемой? Спасибо заранее.
23.12.2013 16:43:00, Andoniiiiii.]]> http://mikrotik.moscow/forum/forum57/74421-ipsec_l2tp-vpn-na-mikrotik-za-nat_-no-s-fqdn./message301570 http://mikrotik.moscow/forum/forum57/74421-ipsec_l2tp-vpn-na-mikrotik-za-nat_-no-s-fqdn./message301570 Mon, 23 Dec 2013 16:43:00 -0500 RouterOS IPSec/L2TP VPN на Mikrotik за NAT, но с FQDN. RouterOS в форуме RouterOS.
У меня есть два Mikrotik устройства, x86 и RB1100AHX2, которые сейчас используют IPSEC Tunnel mode, оба за Cisco Firewalls и с nat с обеих сторон. То есть, это можно сделать на Mikrotik ROS 6.3 в tunnel mode. Пока ещё работаю над вариантом transport mode. Policy sa-src-address должна быть локальным исходящим адресом до nat, а sa-dst-address — адресом файрвола, который будет подвергнут нату. Nat traversal установлен. src-address=10.32.47.0/24 src-port=any dst-address=172.20.201.120/29 dst-port=any protocol=all action=encrypt level=require ipsec-protocols=esp tunnel=yes sa-src-address=192.168.210.50 sa-dst-address=(remote-firewall) proposal=default priority=0. Внешний, обращённый в интернет адрес (nat destination) — 192.168.210.50.
24.09.2013 01:57:00, K1w1user.]]> http://mikrotik.moscow/forum/forum57/74421-ipsec_l2tp-vpn-na-mikrotik-za-nat_-no-s-fqdn./message301569 http://mikrotik.moscow/forum/forum57/74421-ipsec_l2tp-vpn-na-mikrotik-za-nat_-no-s-fqdn./message301569 Tue, 24 Sep 2013 01:57:00 -0400 RouterOS IPSec/L2TP VPN на Mikrotik за NAT, но с FQDN. RouterOS в форуме RouterOS.
Привет, возможно ли настроить IPSec/L2TP VPN, когда Mikrotik роутер находится за NAT, но он доступен по FQDN (все протоколы и порты)? Я пытался добавить hostname в поле my-id-user-fqdn в конфигурации ipsec peer, но это все равно не работает.

/ppp profile
add change-tcp-mss=yes dns-server=192.168.101.1 local-address=192.168.101.1 name=VPN_server_profile
remote-address=vpn_pool_pokus

/ppp secret
add name=ppp_secret password=ppp_pass profile=VPN_server_profile service=l2tp

/ip ipsec peer
add exchange-mode=main-l2tp generate-policy=port-override hash-algorithm=sha1 my-id-user-fqdn=myrouter.mydomain.cz
nat-traversal=yes secret=VPN_secret

/ip firewall filter
add chain=input protocol=icmp
add chain=input connection-state=established
add chain=input connection-state=related
add chain=input protocol=ipsec-esp
add chain=input protocol=gre
add chain=input comment="L2TP VPN" dst-port=500,4500,1701 protocol=udp src-port=""
add action=drop chain=input in-interface=wan
/ip firewall nat
add action=masquerade chain=srcnat out-interface=wan

Спасибо за совет, Jan
27.04.2013 04:11:00, bitak.]]> http://mikrotik.moscow/forum/forum57/74421-ipsec_l2tp-vpn-na-mikrotik-za-nat_-no-s-fqdn./message301568 http://mikrotik.moscow/forum/forum57/74421-ipsec_l2tp-vpn-na-mikrotik-za-nat_-no-s-fqdn./message301568 Sat, 27 Apr 2013 04:11:00 -0400 RouterOS