http://mikrotik.moscow Новое в теме Pulse VPN отключается после повторной инициализации ESP: как настроить NAT "Endpoint Independent"? форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Wed, 12 Aug 2026 14:28:05 -0400 Pulse VPN отключается после повторной инициализации ESP: как настроить NAT "Endpoint Independent"? RouterOS в форуме RouterOS.
Привет, извиняюсь, что поднимаю эту старую тему, но у меня всё та же проблема. В Pulse необходимое поведение (в терминологии D-Link) описывается так: настройка D-Link «Endpoint Independent» позволяет NAT перенаправлять любой запрос на подключение с тем же портом к VPN туннельному приложению, независимо от того, используется ли уже UDP порт 4500 или поступает ли запрос с другого IP (запрос на подключение приходит с внутреннего IP SA SSL VPN вместо внешне разрешённого IP). В RouterOS есть какая-то дефолтная конфигурационная политика, которую нужно отключить, или нужно добавить новое правило, чтобы добиться такого же результата? Большое спасибо.
27.08.2018 16:27:00, sb56637.]]> http://mikrotik.moscow/forum/forum57/85716-pulse-vpn-otklyuchaetsya-posle-povtornoy-initsializatsii-esp_-kak-nastroit-nat-_endpoint-independent_/message399226 http://mikrotik.moscow/forum/forum57/85716-pulse-vpn-otklyuchaetsya-posle-povtornoy-initsializatsii-esp_-kak-nastroit-nat-_endpoint-independent_/message399226 Mon, 27 Aug 2018 16:27:00 -0400 RouterOS Pulse VPN отключается после повторной инициализации ESP: как настроить NAT "Endpoint Independent"? RouterOS в форуме RouterOS.
Поскольку и отвеченные пакеты, и неотвеченные (начиная с пакета 443) от клиента приходят с одного и того же IP-адреса и с одного и того же UDP-порта, нет никакой возможности, чтобы NAT на Mikrotik (или любом другом роутере) увидел в них какую-то разницу. Поэтому он обрабатывает их абсолютно одинаково. Значит, проблема должна быть где-то в другом месте.
28.08.2018 09:09:00, sindy.]]> http://mikrotik.moscow/forum/forum57/85716-pulse-vpn-otklyuchaetsya-posle-povtornoy-initsializatsii-esp_-kak-nastroit-nat-_endpoint-independent_/message399225 http://mikrotik.moscow/forum/forum57/85716-pulse-vpn-otklyuchaetsya-posle-povtornoy-initsializatsii-esp_-kak-nastroit-nat-_endpoint-independent_/message399225 Tue, 28 Aug 2018 09:09:00 -0400 RouterOS Pulse VPN отключается после повторной инициализации ESP: как настроить NAT "Endpoint Independent"? RouterOS в форуме RouterOS.
Хорошо, я сделал перехват пакетов. Похоже, что все запросы идут с одного и того же адреса, в этом анонимном примере — «99.99.99.99». Файл во вложении. UDP-4500_20180827_anon.pcapng.txt (34 КБ)
28.08.2018 01:21:00, sb56637.]]> http://mikrotik.moscow/forum/forum57/85716-pulse-vpn-otklyuchaetsya-posle-povtornoy-initsializatsii-esp_-kak-nastroit-nat-_endpoint-independent_/message399224 http://mikrotik.moscow/forum/forum57/85716-pulse-vpn-otklyuchaetsya-posle-povtornoy-initsializatsii-esp_-kak-nastroit-nat-_endpoint-independent_/message399224 Tue, 28 Aug 2018 01:21:00 -0400 RouterOS Pulse VPN отключается после повторной инициализации ESP: как настроить NAT "Endpoint Independent"? RouterOS в форуме RouterOS.
Если это их собственный клиент (приложение, предоставленное ими), оно может работать очень криво, в том числе, теоретически, пытаться установить новое IPsec-соединение вместо того, чтобы просто обновить ключи в старом, и при этом создавать это новое соединение с другого исходного адреса, не из LAN-машины. Но в таком случае я не понимаю, как RouterOS сможет обратно маршрутизировать пакеты ESP over UDP, если этот адрес окажется вне подсети LAN. Поэтому я бы предложил сконфигурировать /tool sniffer на Mikrotik так, чтобы снимать трафик в файл с фильтром filter-ip-address=the.ip.of.the.vpn.server filter-interface=the-LAN-interface-name filter-port=4500 filter-ip-protocol=udp filter-operator-between-entries=and, запустить сниффер, начать VPN-подключение, не передавать данные через это соединение, чтобы диск Mikrotik не взорвался, и остановить сниффер, когда связь упадет через 20 минут. А потом посмотреть в Wireshark, действительно ли пакеты на vpn.server.ip:4500 после первых 20 минут начинают приходить с других исходных адресов.
27.08.2018 17:17:00, sindy.]]> http://mikrotik.moscow/forum/forum57/85716-pulse-vpn-otklyuchaetsya-posle-povtornoy-initsializatsii-esp_-kak-nastroit-nat-_endpoint-independent_/message399223 http://mikrotik.moscow/forum/forum57/85716-pulse-vpn-otklyuchaetsya-posle-povtornoy-initsializatsii-esp_-kak-nastroit-nat-_endpoint-independent_/message399223 Mon, 27 Aug 2018 17:17:00 -0400 RouterOS Pulse VPN отключается после повторной инициализации ESP: как настроить NAT "Endpoint Independent"? RouterOS в форуме RouterOS.
@sindy: Большое спасибо за ответ. Клиент VPN запущен внутри виртуальной машины на ПК в локальной сети.
27.08.2018 16:46:00, sb56637.]]> http://mikrotik.moscow/forum/forum57/85716-pulse-vpn-otklyuchaetsya-posle-povtornoy-initsializatsii-esp_-kak-nastroit-nat-_endpoint-independent_/message399222 http://mikrotik.moscow/forum/forum57/85716-pulse-vpn-otklyuchaetsya-posle-povtornoy-initsializatsii-esp_-kak-nastroit-nat-_endpoint-independent_/message399222 Mon, 27 Aug 2018 16:46:00 -0400 RouterOS Pulse VPN отключается после повторной инициализации ESP: как настроить NAT "Endpoint Independent"? RouterOS в форуме RouterOS.
Я бы предположил, что проблема не связана с настройками NAT, так как процесс обновления ключей происходит внутри одного и того же «соединения» на фаерволе. Клиент IPsec — это сам Mikrotik или какой-то компьютер в локальной сети Mikrotik?
27.08.2018 16:41:00, sindy.]]> http://mikrotik.moscow/forum/forum57/85716-pulse-vpn-otklyuchaetsya-posle-povtornoy-initsializatsii-esp_-kak-nastroit-nat-_endpoint-independent_/message399221 http://mikrotik.moscow/forum/forum57/85716-pulse-vpn-otklyuchaetsya-posle-povtornoy-initsializatsii-esp_-kak-nastroit-nat-_endpoint-independent_/message399221 Mon, 27 Aug 2018 16:41:00 -0400 RouterOS Pulse VPN отключается после повторной инициализации ESP: как настроить NAT "Endpoint Independent"? RouterOS в форуме RouterOS.
Всем привет! У меня стоит последняя версия ROS 6.41rc, которая устанавливает PPPoE-соединение через ONT роутер/модем, который мне выдает мой оптоволоконный провайдер. Для подключения к VPN я использую PulseSecure. Административного доступа к VPN у меня нет, но он хорошо обслуживается, и у большинства пользователей проблем нет. Однако у меня VPN-соединение падает ровно каждые 20 минут, когда обе стороны пытаются провести обмен ключами ESP (UDP порт 4500). Логи это четко показывают: интервал переустановки ключей установлен на 1200 секунд (и я не могу его изменить), и как только это время приходит, логи показывают, что переустановка ключа не удалась. Затем происходит попытка переключиться на NCP (SSL), но в итоге VPN-соединение фактически мертво, хотя в интерфейсе оно еще отображается как подключенное. Эта проблема похожа на описанную здесь: https://kb.pulsesecure.net/articles/Pulse_Secure_Article/KB19900/?l=en_US&fs=RelatedArticle Каким будет эквивалент в ROS для упомянутой настройки D-Link NAT «Endpoint Independent»? Я пробовал отключить: /ip firewall service-port disable sip, но это не помогло. Большое спасибо!
09.09.2017 18:18:00, sb56637.]]> http://mikrotik.moscow/forum/forum57/85716-pulse-vpn-otklyuchaetsya-posle-povtornoy-initsializatsii-esp_-kak-nastroit-nat-_endpoint-independent_/message399220 http://mikrotik.moscow/forum/forum57/85716-pulse-vpn-otklyuchaetsya-posle-povtornoy-initsializatsii-esp_-kak-nastroit-nat-_endpoint-independent_/message399220 Sat, 09 Sep 2017 18:18:00 -0400 RouterOS