Mikrotik.moscow [тема: L2TP IPSec VPN — не работает.]

L2TP IPSec VPN — не работает.

Sat, 30 Jan 2016 06:33:00 -0500

L2TP IPSec VPN — не работает. RouterOS в форуме RouterOS.
https://www.nasa-security.net/mikrotik/mikrotik-l2tp-with-ipsec/
30.01.2016 06:33:00, MadEngineer.

L2TP IPSec VPN — не работает.

Sat, 30 Jan 2016 06:17:00 -0500

L2TP IPSec VPN — не работает. RouterOS в форуме RouterOS.
/ip firewall filter> pr Флаги: X - отключено, I - недействительно, D - динамически создано ;;; Цепочка L2TP=input действие=accept протокол=udp исходящий-порт=500,1701,4500 лог=нет префикс-лога=“” это работает так же хорошо, как три отдельных правила, по одному для каждого порта.
30.01.2016 06:17:00, jaytcsd.

L2TP IPSec VPN — не работает.

Thu, 28 Jan 2016 21:00:00 -0500

L2TP IPSec VPN — не работает. RouterOS в форуме RouterOS.
Привет! Если я правильно тебя понял, ты говоришь, что решил проблему, объединив спецификацию для всех трёх портов в одно правило? Мне это не очень понятно. Кто-то ещё решал эту проблему так же? У меня тоже есть 3 отдельных правила — я считаю это хорошей практикой, так как трафик считается по отдельности. После перезагрузки роутера всё работает, потом IPSec-туннель через некоторое время падает, а после следующей перезагрузки снова работает. Если бы правила были неправильными, они ведь были бы неправильными всегда, не так ли?
28.01.2016 21:00:00, Jivo.

L2TP IPSec VPN — не работает.

Mon, 31 Aug 2015 11:31:00 -0400

L2TP IPSec VPN — не работает. RouterOS в форуме RouterOS.
Я нашёл свою проблему и исправил её. Ошибка была в правилах фаервола — я добавил три фильтра для UDP 4500, UDP 500 и UDP 1701. Но нужно было добавить один фильтр для всех портов вместе в одном правиле. И теперь VPN работает.
31.08.2015 11:31:00, Hell0Kitty.

L2TP IPSec VPN — не работает.

Wed, 05 Aug 2015 03:37:00 -0400

L2TP IPSec VPN — не работает. RouterOS в форуме RouterOS.
У меня такая же проблема, как и у автора: ipsec, ошибка phase1 negotiation failed из-за таймаута и тот же случайный IP после моего внешнего IP. Может, это из-за проблемы с фильтром?
05.08.2015 03:37:00, mikelynchgames.

L2TP IPSec VPN — не работает.

Fri, 05 Jun 2015 12:51:00 -0400

L2TP IPSec VPN — не работает. RouterOS в форуме RouterOS.
IPSec_log_.txt
Я не могу подключиться к своему VPN (L2TP IPSec) с iPhone. Соединение не удаётся после этого:

Jun/04/2015 21:49:54 ipsec, ошибка phase1 negotiation failed из-за таймаута “Мой внешний статический IP (WAN)”[500]<=>“Случайный динамический IP, с которого может пытаться подключиться любое устройство”[1197] 86dd3e3d2affc4f8:67c23982425b761b

Как будто аутентификация по IPSec не проходит, чтобы продолжить создание L2TP-туннеля. Время на роутере и на том же iPhone совпадает.

В статистике IPSec Peer Connected видно, что есть подключение к моему внешнему адресу с другого адреса (3G сотовый). Пароли для L2TP и IPSec я просто установил для теста. Правила в Firewall настроены на пакеты, проходящие по порту 500 UDP. Также разрешены UDP-пакеты на портах 1701 и 4500, а также ipsec-esp.

Лог IPSec во вложении.
Пробовал отключать и включать туннель, использовать чистый aes256 и ставить заново. NAT-T включён и выключен — без разницы. Что делать дальше?

Логи не очень понятны, как будто чего-то не видно. Пара вопросов по условиям, которые должны быть для доступа в LAN любого (с неизвестным IP):

WAN — XXXX — белый статический IP;
Bridge-local — локальная сеть 192.168.1.0/24;
DHCP — 192.168.1.2-254.

Local Address — что это? Это локальный адрес роутера? Нужно ли его указывать? Что именно вводить?

Remote Address — что это? Адрес, который должен получить устройство, подключающееся к VPN? Нужно ли вводить? Что именно?

Можно ли указывать DHCP-пул, если много устройств, или обязательно статический IP из подсети 192.168.1.0/24?

Local Address — что это? Нужно ли указывать? Что именно?

Remote Address — что это? Нужно ли указывать? Что именно?

Address — IP-адрес устройства, которому вы хотите дать доступ и завести в туннель? То есть 0.0.0.0/0, если может подключиться любое неизвестное устройство?

Local Address — что это? Нужно ли указывать? Что именно?

Src. Address — что это? Нужно ли указывать? Что именно?

::/0 — оставить по умолчанию?

Dst. Address — что это? Нужно ли указывать? Что именно?

::/0 — оставить по умолчанию?

SA Src. Address — что это? Нужно ли указывать? Что именно?

0.0.0.0 — оставить по умолчанию?

SA Dst. Address — что это? Нужно ли указывать? Что именно?

0.0.0.0 — оставить по умолчанию?

Я перелопатил кучу статей, вики, гайдов по настройке L2TP-IPSec — везде одно и то же. Видимо, очень мало где описаны те «тонкие настройки», которые просто забывают упомянуть в инструкциях.

И из-за этого у меня ничего не работает.

P.S. Я использую вот этот и вот этот гайд.
05.06.2015 12:51:00, Hell0Kitty.