Mikrotik.moscow [тема: Конечная точка L2TP внутри интрасети]

Конечная точка L2TP внутри интрасети

Mon, 03 Apr 2017 20:17:00 -0400

Конечная точка L2TP внутри интрасети RouterOS в форуме RouterOS.
Спасибо еще раз, idlemind. Отвечаю на оба твоих последних сообщения: серверная часть в порядке. RouterOS «позволяет» мне так сделать (на самом деле маршруты динамические, поэтому RouterOS сформировал их самостоятельно), потому что маршрут более специфичный (см. «/32»), а для остального трафика должен использоваться менее конкретный маршрут («/24»). Давай не будем переживать за серверную сторону. Чтобы доказать, что сервер в порядке без изменений на нем, я добился нужного результата, заменив L2TP клиент RB433AH на Mac Pro, как описано выше в предыдущем сообщении.

Почему я настаиваю на политике VPN на основе правил? Сервер L2TP вообще не обязан знать IP-адреса клиентов. Пока у них есть имя пользователя, пароль и общий секрет — они могут подключиться. Такая настройка отлично подходит для мобильных пользователей (Mac OS X-ноутбуки, в которых уже есть встроенный L2TP клиент, и только L2TP, ничего лишнего). У них никаких проблем нет. Эта схема уже работает.

Согласен, есть много разных решений, но я спрашиваю именно про это.

Наконец, я сделал то изменение, которое ты предлагал — раньше пробовал, но безрезультатно. Вот оно (маршруты остались, изменились только правила файрвола):

[admin@rtr-c] > /ip firewall filter print
Flags: X - отключено, I - некорректно, D - динамическое
0 chain=input protocol=udp port=1701,500,4500

1 chain=input protocol=ipsec-esp

2 chain=forward action=accept src-address=192.168.3.0/24
dst-address=192.168.2.0/24 in-interface=ether1
out-interface=l2tp-out-a log=no

3 chain=forward action=accept src-address=192.168.2.0/24
dst-address=192.168.3.0/24 in-interface=l2tp-out-a
out-interface=ether1 log=no
03.04.2017 20:17:00, jordans.

Конечная точка L2TP внутри интрасети

Mon, 03 Apr 2017 19:06:00 -0400

Конечная точка L2TP внутри интрасети RouterOS в форуме RouterOS.
2 ADC 192.168.2.0/24 192.168.2.1 ether1 0
3 ADC 192.168.2.253/32 192.168.2.1 0

Кстати, эти два интерфейса нужно объединить в мост или включить proxy-arp. У тебя ведь два выхода в одну и ту же сеть. Удивительно, что RouterOS вообще позволяет так сделать. Во всяком случае, это полный бред. На самом деле, нужен ли доступ к сети 192.168.2.0/24 сразу из двух мест по требованиям приложения? Если да, попробуй что-то вроде EoIP с VRRP для этого сегмента.
03.04.2017 19:06:00, idlemind.

Конечная точка L2TP внутри интрасети

Mon, 03 Apr 2017 19:00:00 -0400

Конечная точка L2TP внутри интрасети RouterOS в форуме RouterOS.
/ip firewall nat print Флаги: X - отключено, I - недействительно, D - динамическое
0 chain=srcnat action=masquerade src-address=192.168.4.0/24 log=no

Попробуйте добавить правило для src-address 192.168.3.0/24… или просто будьте разумны и перейдите на маршрутизируемый VPN site-to-site, перестав заморачиваться с правилами NAT и другой политически навязанной ерундой.

Альтернативный вариант — объяснить, почему вы настаиваете на использовании VPN с политикой, основанной на правилах.

В вашей конфигурации всё равно нужно будет добавлять правила в таблицы NAT для конкретных сетей, так же, как и в маршрутизируемой сети.

За исключением того, что можно настроить протокол маршрутизации, использовать GRE + IPSec и забыть обо всём этом.

Если хотите конфигурацию с минимальным количеством указаний на конкретные сети — вот такой вариант я бы выбрал.
03.04.2017 19:00:00, idlemind.

Конечная точка L2TP внутри интрасети

Mon, 03 Apr 2017 18:27:00 -0400

Конечная точка L2TP внутри интрасети RouterOS в форуме RouterOS.
Окей, вот оно (я подредактировал реальные адреса на A.B.C.D, пароли и имена серверов):

Сервер L2TP (игнорируйте pppoe к 10.1.1.1 — так он получает интернет от провайдера). Обратите внимание, что ни “192.168.4”, ни “192.168.3” нигде не встречаются в конфигурации этого роутера, значит проблема не здесь:

[admin@rtr-a] > /ip route print
Флаги: X - отключено, A - активно, D - динамический,
C - подключено, S - статический, r - rip, b - bgp, o - ospf, m - mme,
B - blackhole, U - недоступно, P - запрещено
# DST-ADDRESS PREF-SRC GATEWAY DISTANCE
0 ADS 0.0.0.0/0 10.1.1.1 0
1 ADC 10.1.1.1/32 A.B.C.D pppoe-out1 0
2 ADC 192.168.2.0/24 192.168.2.1 ether1 0
3 ADC 192.168.2.253/32 192.168.2.1 0

[admin@rtr-a] > /interface l2tp-server server print
enabled: yes
max-mtu: 1460
max-mru: 1460
mrru: disabled
authentication: pap, chap, mschap1, mschap2
keepalive-timeout: 30
max-sessions: unlimited
default-profile: default-encryption
use-ipsec: yes
ipsec-secret: TheSecret
allow-fast-path: no

[admin@rtr-a] > /ppp secret print detail
Флаги: X - отключено
0 name="me" service=any caller-id="" password="ThePassword"
profile=default routes="" limit-bytes-in=0 limit-bytes-out=0
last-logged-out=апр/03/2017 10:29:46

[admin@rtr-a] > /ip dhcp print detail
Флаги: X - отключено, I - недействительно
0 name="dhcp1" interface=ether1 lease-time=10m address-pool=dhcp_pool1
bootp-support=static authoritative=after-2sec-delay lease-script=""

[admin@rtr-a] > /ip pool print
# NAME RANGES
0 dhcp_pool1 192.168.2.2-192.168.2.127
1 vpn-pool 192.168.2.128-192.168.2.254

[admin@rtr-a] /ip firewall> /ip firewall filter print
Флаги: X - отключено, I - недействительно, D - динамический
0 chain=input action=accept protocol=udp port=1701,500,4500 log=no
log-prefix=""

1 chain=input action=accept protocol=ipsec-esp log=no log-prefix=""

[admin@rtr-a] /ip firewall> /ip firewall nat print
Флаги: X - отключено, I - недействительно, D - динамический
0 chain=srcnat action=masquerade src-address=192.168.2.0/24 log=no
log-prefix=""

Клиент L2TP (игнорируйте входящие правила GRE+IPSEC фаервола, потому что этот роутер — L2TP сервер, не связанный с этой проблемой):

[admin@rtr-c] > /ip route print
Флаги: X - отключено, A - активно, D - динамический,
C - подключено, S - статический, r - rip, b - bgp, o - ospf, m - mme,
B - blackhole, U - недоступно, P - запрещено
# DST-ADDRESS PREF-SRC GATEWAY DISTANCE
0 ADS 0.0.0.0/0 192.168.3.1 0
1 ADC 192.168.3.0/24 192.168.3.5 ether1 0
2 ADC 192.168.4.0/24 192.168.4.1 LAN 0
3 A S 192.168.2.0/24 l2tp-out-a 1
4 ADC 192.168.2.1/32 192.168.2.253 l2tp-out-a 0

[admin@rtr-c] > /interface l2tp-client print detail
Флаги: X - отключено, R - работает
0 R name="l2tp-out-a" max-mtu=1460 max-mru=1460 mrru=disabled
connect-to=A.B.C.D user="me" password="ThePassword"
profile=default keepalive-timeout=disabled use-ipsec=yes
ipsec-secret="TheSecret" allow-fast-path=no
add-default-route=no dial-on-demand=yes allow=pap,chap,mschap1,mschap2

[admin@rtr-c] > /ip firewall filter print
Флаги: X - отключено, I - недействительно, D - динамический
0 chain=input protocol=udp port=1701,500,4500

1 chain=input protocol=ipsec-esp

[admin@rtr-c] > /ip firewall nat print
Флаги: X - отключено, I - недействительно, D - динамический
0 chain=srcnat action=masquerade src-address=192.168.4.0/24 log=no
03.04.2017 18:27:00, jordans.

Конечная точка L2TP внутри интрасети

Mon, 03 Apr 2017 14:01:00 -0400

Конечная точка L2TP внутри интрасети RouterOS в форуме RouterOS.
[admin@rtr-a] > interface l2tp-server server print
включено: да
max-mtu: 1450
max-mru: 1450
mrru: отключено
аутентификация: pap, chap, mschap1, mschap2
тайм-аут keepalive: 30
макс. сессий: неограничено
профиль по умолчанию: default-encryption
использовать ipsec: да
ipsec-секрет: Encryption123!
разрешить fast-path: нет
[admin@rtr-a] > ip ipsec installed-sa print
Флаги: A - AH, E - ESP
0 E spi=0x7B7B1 src-address=192.168.2.2:4500 dst-address=192.168.1.2:4500 состояние=mature auth-algorithm=sha1 enc-algorithm=aes-cbc enc-key-size=256 auth-key="27aa78904b61a7c2244c7a6f485c84ff0bb2f12a"
enc-key="9661d44f9044f6bd0580b145c5b1b38bfa444318e8ddc5bde9a5282f1707909d" addtime=apr/03/2017 13:51:16 expires-in=29m3s add-lifetime=24m/30m current-bytes=801 replay=128

1 E spi=0x213A8AC src-address=192.168.1.2:4500 dst-address=192.168.2.2:4500 состояние=mature auth-algorithm=sha1 enc-algorithm=aes-cbc enc-key-size=256 auth-key="da4b3312380ec8f0041c4024cd2428b48dbf33ed"
enc-key="cec45b3a947e7430b7ee23244a46c3f1f25a88a44795408ead486a0e8df6f501" addtime=apr/03/2017 13:51:16 expires-in=29m3s add-lifetime=24m/30m current-bytes=518 replay=128
[admin@rtr-c] > interface l2tp-client print detail
Флаги: X - отключено, R - работает
0 R имя="l2tp-out1" max-mtu=1450 max-mru=1450 mrru=отключено connect-to=192.168.1.2 пользователь="tun" пароль="123" профиль=default-encryption тайм-аут keepalive=60 использовать ipsec=да ipsec-секрет="Encryption123!" разрешить fast-path=нет
добавить маршрут по умолчанию=нет дозвон по требованию=нет разрешено=pap, chap, mschap1, mschap2
[admin@rtr-c] > ip ipsec installed-sa print
Флаги: A - AH, E - ESP
0 E spi=0x213A8AC src-address=192.168.1.2:4500 dst-address=10.1.3.2:4500 состояние=mature auth-algorithm=sha1 enc-algorithm=aes-cbc enc-key-size=256 auth-key="da4b3312380ec8f0041c4024cd2428b48dbf33ed"
enc-key="cec45b3a947e7430b7ee23244a46c3f1f25a88a44795408ead486a0e8df6f501" addtime=apr/03/2017 13:51:17 expires-in=29m11s add-lifetime=24m/30m current-bytes=518 replay=128

1 E spi=0x7B7B1 src-address=10.1.3.2:4500 dst-address=192.168.1.2:4500 состояние=mature auth-algorithm=sha1 enc-algorithm=aes-cbc enc-key-size=256 auth-key="27aa78904b61a7c2244c7a6f485c84ff0bb2f12a"
enc-key="9661d44f9044f6bd0580b145c5b1b38bfa444318e8ddc5bde9a5282f1707909d" addtime=apr/03/2017 13:51:17 expires-in=29m11s add-lifetime=24m/30m current-bytes=801 replay=128

Все пинги по-прежнему работают нормально. Я добавил маршруты динамически внутри PPP-секрета. Хотя мне бы больше нравился вариант с GRE внутри IPSec с протоколом маршрутизации.
[admin@rtr-a] > ppp secret print detail
Флаги: X - отключено
0 имя="tun" сервис=l2tp caller-id="" пароль="123" профиль=default local-address=172.16.1.1 remote-address=172.16.1.2 маршруты="10.1.3.0/24 172.16.1.2 1,10.1.4.0/24 172.16.1.2 1" ограничение-байт-вход=0 ограничение-байт-выход=0
последний выход=apr/03/2017 07:11:47

Похоже, пришло время экспортировать правила вашего файрвола.
03.04.2017 14:01:00, idlemind.

Конечная точка L2TP внутри интрасети

Mon, 03 Apr 2017 08:01:00 -0400

Конечная точка L2TP внутри интрасети RouterOS в форуме RouterOS.
Вау, idlemind, ты действительно постарался помочь — спасибо. Вижу, у тебя всё работает, а у меня нет. Давай посмотрим на различия:

L2TP сервер: у тебя есть маршруты обратно к L2TP клиенту, у меня то же самое с помощью маскарадинга (LAN и пул VPN в одном сегменте). Я не вижу ничего, что вправду меняет ситуацию.

L2TP клиент: у тебя стоит «use-ipsec=no», а я использую IPSEC. Не мог бы ты включить IPSEC и попробовать снова? Почему? — я подозреваю, что в реализации L2TP клиента на RouterOS они блокируют незащищённый доступ к VPN-узлу, чтобы случайно не пустить незашифрованный туннель, который «сливает инфу» в интернет. Если можешь, включи IPSEC и проверь.

Мы приближаемся к решению. Спасибо, J.
03.04.2017 08:01:00, jordans.

Конечная точка L2TP внутри интрасети

Mon, 03 Apr 2017 07:37:00 -0400

Конечная точка L2TP внутри интрасети RouterOS в форуме RouterOS.
Я только что поднял CHR в GNS3, и всё отлично работает с L2TP. IPSec я не включал, но это не должно никак влиять на трафик. Если вы подробнее выложите свои конфигурации, мы сможем посмотреть, что именно отличается. Вариант попроще — поднять CHR в какой-нибудь виртуальной среде: KVM, VMWare, GNS3 и так далее, и повторить вашу конфигурацию.

Что касается вашего вопроса, это полностью возможно и действительно работает. Ничего такого, что MikroTik делает по умолчанию, не должно блокировать трафик, как у вас. Хорошая отправная точка — проверить фильтры фаервола на вашем аналоге rtr-c.

3 экземпляра VPCS: A1 у головного узла (сервера), B1 посередине на стороне клиента и C1 за MikroTik, который играет роль клиента.

[admin@rtr-a] > ppp secret print detail
Flags: X - отключено
0 name="tun" service=l2tp caller-id="" password="123" profile=default local-address=172.16.1.1
remote-address=172.16.1.2 routes="10.1.3.0/24 172.16.1.2 1,10.1.4.0/24 172.16.1.2 1" limit-bytes-in=0
limit-bytes-out=0 last-logged-out=apr/03/2017 07:11:47

[admin@rtr-c] > interface l2tp-client print
Flags: X - отключено, R - запущено
0 R name="l2tp-out1" max-mtu=1450 max-mru=1450 mrru=disabled connect-to=192.168.1.2 user="tun" password="123"
profile=default-encryption keepalive-timeout=60 use-ipsec=no ipsec-secret="" allow-fast-path=no
add-default-route=no dial-on-demand=no allow=pap,chap,mschap1,mschap2
03.04.2017 07:37:00, idlemind.

Конечная точка L2TP внутри интрасети

Mon, 03 Apr 2017 06:28:00 -0400

Конечная точка L2TP внутри интрасети RouterOS в форуме RouterOS.
Спасибо за идею, idlemind, но: сервер L2TP — это динамически создаваемый интерфейс, удобная фишка RouterOS. Он выдаёт адреса из пула VPN каждому подключающемуся клиенту. У меня этот пул находится в той же сети класса C, что и LAN (со стороны сервера), и всё это работает через NAT. Это нормально для любого клиента, который подключается. При этом в настройках L2TP-сервера вообще нет упоминаний о 192.168.4.x или 192.168.3.x (и при этом он работает с 192.168.4.x, но не с 192.168.3.x). Ему всё равно, кто подключается — он просто маскирует входящее соединение и направляет обратно ответы. Поэтому я прихожу к выводу, что проблема не в маршрутах L2TP-сервера. Я даже сделал аналогичную настройку на Mac OS X, и всё работает как надо (заменил RB433AH/L2TP-клиент на Mac Pro с двумя Ethernet-портами, кстати, в Mac OS есть встроенный L2TP-клиент). Сеть клиента видна с обоих портов (с того, где L2TP-клиент, и с другого тоже). Это доказывает, что проблема специфична именно для RouterOS. Кто-нибудь из MikroTik может глянуть на это?
03.04.2017 06:28:00, jordans.

Конечная точка L2TP внутри интрасети

Mon, 03 Apr 2017 05:59:00 -0400

Конечная точка L2TP внутри интрасети RouterOS в форуме RouterOS.
Есть ли на сервере L2TP маршруты для 192.168.3.0/24? Возможно, нужно указать использовать интерфейс L2TP для трафика, направленного в 192.168.3.0/24. К тому же у тебя политика VPN основана на правилах. Может, стоит попробовать GRE в обёртке IPSec — мне так удобнее управлять путями трафика.
03.04.2017 05:59:00, idlemind.

Конечная точка L2TP внутри интрасети

Mon, 03 Apr 2017 05:31:00 -0400

Конечная точка L2TP внутри интрасети RouterOS в форуме RouterOS.
Спасибо, idlemind, но это уже сделано, и они всё равно не видят 192.168.2.x. Конкретно: L2TP-соединение уже установлено и работает. Конечные точки на рисунке выше. Клиенты, подключённые к 192.168.4.x с основным шлюзом 192.168.4.1, нормально пингуют 192.168.2.x. Всё работает как и ожидалось. Клиенты, подключённые к 192.168.3.x с основным шлюзом 192.168.3.5, не могут пинговать 192.168.2.x! Почему? Это неожиданно, учитывая маршруты, которые я указал в своём исходном посте. Подозреваю, что в реализации L2TP-клиента в RouterOS есть что-то встроенное, что не позволяет получить доступ к другой стороне туннеля с конечной точки. Можно ли это обойти и разрешить клиентам, подключённым к 192.168.3.x с основным шлюзом 192.168.3.5, иметь доступ к 192.168.2.x через туннель? Про IPv6, кстати, не нужно — меня такой обход не интересует. К слову, я пробую это на RB433AH, RouterOS версии 6.38.5, версия прошивки 3.24, но, думаю, вопрос общий для всех RouterOS. Это очень важный вопрос, потому что без решения невозможно построить WiFi-точку доступа, которая была бы L2TP-клиентом и работала бы и с проводными, и с беспроводными клиентами. В моём маршруте “3 A S 192.168.2.0/24 my-l2tp-client-interface 1” нет ничего, что разрешало бы клиентам из 192.168.4.x и запрещало клиентам из 192.168.3.x доступ к 192.168.2.0. Он должен разрешать всем доступ к 192.168.2.0! Мог бы кто-нибудь из MikroTik взглянуть на это? Это не ошибка в таблице маршрутизации. Я уверен, что это что-то специфичное с реализацией L2TP-клиента в RouterOS. Помогите, пожалуйста!
03.04.2017 05:31:00, jordans.

Конечная точка L2TP внутри интрасети

Mon, 03 Apr 2017 04:47:00 -0400

Конечная точка L2TP внутри интрасети RouterOS в форуме RouterOS.
Провайдеры с обеих сторон выдают вам глобальные уникаст IPv6? При этом вам, скорее всего, нужно настроить «глупый роутер» с адресом 192.168.3.1 так, чтобы он отправлял пакеты, предназначенные для сети 192.168.2.0/24, на ваш MikroTik по адресу 192.168.3.5. В качестве альтернативы можно настроить клиентов в сегменте 192.168.3.0/24 так, чтобы они использовали 192.168.3.5 для доступа к сети 192.168.2.0/24 — статические маршруты пригодятся, если вы не контролируете «глупый роутер».
03.04.2017 04:47:00, idlemind.

Конечная точка L2TP внутри интрасети

Sun, 19 Mar 2017 22:10:00 -0400

Конечная точка L2TP внутри интрасети RouterOS в форуме RouterOS.
Я пытаюсь настроить устройство MikroTik (433AH) как L2TP-клиент внутри своей интрасети. Мой интернет-провайдер уже предоставляет мне NAT-нутую локальную сеть, так что выбора нет (в противном случае я бы поставил устройство MikroTik в качестве файрвола). Вот схема, которая это показывает: Проблема в самом правом блоке на картинке. Я настроил L2TP-клиент, и он работает нормально (могу обращаться к 192.168.2.x с 192.168.4.x). Но при этом я не могу достучаться до 192.168.2.x с 192.168.3.x. В конфигурации этого Routerboard 433AH нет ничего, что специально запрещало бы доступ к интерфейсу L2TP-клиента с левой стороны, при этом разрешая с правой. В моих маршрутах есть только:

3 A S 192.168.2.0/24 my-l2tp-client-interface 1

Вот все мои маршруты (команда /ip route print):

DST-ADDRESS PREF-SRC GATEWAY DISTANCE
0 ADS 0.0.0.0/0 192.168.3.1 0
1 ADC 192.168.3.0/24 192.168.3.5 ether1 0
2 ADC 192.168.4.0/24 192.168.4.1 LAN 0
3 A S 192.168.2.0/24 my-l2tp-client-interface 1
4 ADC 192.168.2.1/32 192.168.2.253 my-l2tp-client-interface 0

Я предполагаю, что поскольку ether1 — это L2TP-конечная точка клиента, он не должен разрешать доступ к сети 192.168.2.0/24, но мне бы хотелось его разрешить. Ничто этого явно не запрещает, поэтому я полагаю, что в самом RouterOS в реализации L2TP есть что-то, что это блокирует. Если это так, можно ли это обойти и сделать так, чтобы мой L2TP-клиент был доступен внутри моей интрасети? Как этого добиться? Помогите, пожалуйста, Джордан.
19.03.2017 22:10:00, jordans.