Mikrotik.moscow [тема: Маршрутизация по политикам — L2TP и несколько WAN-соединений]

Маршрутизация по политикам — L2TP и несколько WAN-соединений

Tue, 04 Feb 2020 20:36:00 -0500

Маршрутизация по политикам — L2TP и несколько WAN-соединений RouterOS в форуме RouterOS.
Вы говорите, что это исправлено в версии 6.13, но у меня похожая проблема в 2020 с версией 6.44.5. Сразу после добавления второго WAN IP, даже без маршрута на этом интерфейсе, у меня начинаются ошибки на L2TP MT-to-MT VPN.

feb/03 16:30:33 ipsec,info respond new phase 1 (Identity Protection): new.ip.address[500]<=>established.client.ip[500]
feb/03 16:30:33 ipsec,error established.client.ip[ parsing packet failed, possible cause: wrong password
feb/03 16:30:41 ipsec,error established.client.ip[ parsing packet failed, possible cause: wrong password
feb/03 16:31:30 ipsec,info respond new phase 1 (Identity Protection): new.ip.address[500]<=>established.client.ip[[500]
feb/03 16:31:30 ipsec,error established.client.ip[ parsing packet failed, possible cause: wrong password
feb/03 16:31:33 ipsec,error phase1 negotiation failed due to time up new.ip.address[[500]<=>established.client.ip[500]
6ea2c2cb849a1a03:e6932771a8929d28
04.02.2020 20:36:00, screamingservers.

Маршрутизация по политикам — L2TP и несколько WAN-соединений

Sat, 18 May 2013 08:36:00 -0400

Маршрутизация по политикам — L2TP и несколько WAN-соединений RouterOS в форуме RouterOS.
Это известная проблема с L2TP. Тикет#2013020866000414. «Мы в курсе этой проблемы с L2TP. Сообщили разработчикам, и её исправят в будущем в соответствии с приоритетами.» Как исправить:
/ip firewall nat
add action=dst-nat chain=dstnat comment="Исправление бага с исходящим адресом у L2TP" dst-address="Адрес, к которому должен подключаться ваш L2TP-клиент" dst-port=1701 protocol=udp to-addresses="исходящий адрес, с которого L2TP отправляет неверные пакеты"
18.05.2013 08:36:00, tomaskir.

Маршрутизация по политикам — L2TP и несколько WAN-соединений

Wed, 15 May 2013 11:22:00 -0400

Маршрутизация по политикам — L2TP и несколько WAN-соединений RouterOS в форуме RouterOS.
Да. У нас версия 6.0rc14, и проблема всё ещё сохраняется. Особенно это заметно, когда используешь L2TP/IPsec и пытаешься подключиться с LAN стороны к внешнему WAN IP-адресу. Так что Mikrotik, вам стыдно за такую затянувшуюся и легко устранимую ошибку.
15.05.2013 11:22:00, ayufan.

Маршрутизация по политикам — L2TP и несколько WAN-соединений

Wed, 09 Nov 2011 15:09:00 -0500

Маршрутизация по политикам — L2TP и несколько WAN-соединений RouterOS в форуме RouterOS.
Насколько я понимаю, это не баг в L2TP, а проблема с тем, как у вас прописаны правила. Проверьте, попробовав подключиться по SSH, PPTP или WinBox к MikroTik через любой из WAN IP. Скорее всего, одна из IP-адресов работает, а другая — нет. Когда пакет собирается уйти, даже если он знает, что нужно использовать IP от ISP2, если правила маршрутизации говорят ему выходить через ISP1, он пойдет именно туда. Если посмотреть на часть диаграммы Packet Flow на уровне Layer3, то увидите, что Local Process OUT идет сразу в Routing Decision, минуя prerouting, поэтому все ваши mangle-правила и пометки пакетов на него не влияют. Ни в одном из ваших правил не сказано, что исходящий IP ISP1 всегда должен выходить через ISP1, а исходящий IP ISP2 — через ISP2. Я успешно использую двойной WAN с L2TP на обоих интерфейсах начиная с версии 5.4 (примерно с тех пор, как начал работать с PCC). Свой конфиг я выкладывал в этой теме: http://forum.mikrotik.com/t/l2tp-tunnels-with-multiple-internet-connections-issues/49379/1 Надеюсь, это поможет.
09.11.2011 15:09:00, CCDKP.

Маршрутизация по политикам — L2TP и несколько WAN-соединений

Fri, 04 Nov 2011 14:01:00 -0400

Маршрутизация по политикам — L2TP и несколько WAN-соединений RouterOS в форуме RouterOS.
У меня тоже возникала эта проблема. Использую версию 5.7. Есть ли у кого советы, как временно обойти эту проблему, пока её не исправят?
04.11.2011 14:01:00, samct.

Маршрутизация по политикам — L2TP и несколько WAN-соединений

Mon, 30 May 2011 15:14:00 -0400

Маршрутизация по политикам — L2TP и несколько WAN-соединений RouterOS в форуме RouterOS.
У меня та же проблема. Похоже, что в Mikrotik 5.4 она так и не исправлена. А прошло уже целый год с момента обсуждения этой темы… Что тут скажешь… Mikrotik, возможно, одна из лучших операционных систем для маршрутизаторов, но у неё просто дурацкие баги, и из них даже патч не можешь получить… обидно.
30.05.2011 15:14:00, Cha0s.

Маршрутизация по политикам — L2TP и несколько WAN-соединений

Fri, 19 Nov 2010 01:08:00 -0500

Маршрутизация по политикам — L2TP и несколько WAN-соединений RouterOS в форуме RouterOS.
Несколько моментов. Я тоже заметил проблему с L2TP в версии 4.13. В общем, всё как ты описал: через policy based routing можно зайти в Winbox по тому IP из вторичной таблицы маршрутизации, а вот L2TP не работает. Пока не удалось проверить v5rc3, но сделаю это, если клиент даст добро. Возможно, в пятой версии это уже исправлено, но пока не знаю, также информацию отправил в MT. Полные BGP-таблицы работают без проблем. У меня много роутеров в сети с полными таблицами. Что касается Xeon и гигабайтов оперативки, MT не использует больше 2 ГБ RAM, так что это не имеет значения. И просто потому, что у тебя Xeon, не значит, что это подходящее железо для этой задачи.
19.11.2010 01:08:00, gmsmstr.

Маршрутизация по политикам — L2TP и несколько WAN-соединений

Thu, 17 Jun 2010 12:06:00 -0400

Маршрутизация по политикам — L2TP и несколько WAN-соединений RouterOS в форуме RouterOS.
Могу подтвердить: баг в L2TP-сервере. Он отправляет пакеты без указания IP-адреса отправителя. Пакеты потом маршрутизируются и оказываются на исходящем интерфейсе… и вот ЗДЕСЬ присваивается исходный IP. То, что вы видите в сети — это IP исходящего интерфейса. Конечно, это неправильно. Внешний L2TP-клиент может отправить запрос на IP-адрес назначения, но получить ответы с другого IP. Из-за этого L2TP несовместим с наличием нескольких WAN-подключений. Это фактически нарушение RFC1122, пункт 3.3.4.2 Требования к мультихомингу: «(1) Если дейтаграмма отправляется в ответ на полученную дейтаграмму, исходный адрес в ответе ДОЛЖЕН быть адресом конкретного назначения запроса.»

Я долго переписывался с поддержкой MikroTik (Янис, тикет 2010030966000498, для версии V4.6): сначала они утверждали, что для поддержки двух WAN-соединений нужна политическая маршрутизация, но на самом деле казалось, что они даже толком не читали мои письма и доказательства. В итоге предположили, что эта «функция» может заработать в бета-версии 5.0… В большинстве случаев баг — это отсутствие вызова bind() на UDP-сокете сервера для установки IP отправителя, это не что-то сложное или редкое (особенно на роутере).

Сейчас у меня настроен L2TP на двух MikroTik-роутерах, по одному на каждом WAN. Мне приходится постоянно обходить эту проблему, она задаёт структуру сети и в других местах тоже. Собственно… я все равно пока не могу полноценно использовать оба WAN-подключения, потому что BGP в MikroTik не справляется с полной таблицей маршрутизации… Это ещё один баг, хотя по форуму складывается впечатление, что проблемы нет. «Это работает» — но, скорее всего, только если арендованные линии медленные. В моём случае с двумя 100 Мбит/с WAN-подключениями включение BGP загружает роутер (x86 Xeon, много оперативной памяти) — WinBox постоянно отключается. Только если ограничить BGP-трафик до 2 Мбит/с, роутер остаётся отзывчивым. Похоже, проблема проявляется и при количестве префиксов свыше 70 000. SNMP нет, NAT нет.
17.06.2010 12:06:00, azg.

Маршрутизация по политикам — L2TP и несколько WAN-соединений

Mon, 19 May 2014 06:55:00 -0400

Маршрутизация по политикам — L2TP и несколько WAN-соединений RouterOS в форуме RouterOS.
Проблема была решена в версии 6.13. Спасибо!!!
19.05.2014 06:55:00, vovanfz.

Маршрутизация по политикам — L2TP и несколько WAN-соединений

Sun, 11 May 2014 13:51:00 -0400

Маршрутизация по политикам — L2TP и несколько WAN-соединений RouterOS в форуме RouterOS.
+1 ВСЁ ещё жду решения. Не уверен, есть ли смысл открывать новый тикет, но проблема сохраняется в RouterOS 6.12.
11.05.2014 13:51:00, Jivo.

Маршрутизация по политикам — L2TP и несколько WAN-соединений

Mon, 28 Apr 2014 06:28:00 -0400

Маршрутизация по политикам — L2TP и несколько WAN-соединений RouterOS в форуме RouterOS.
+1 Жду решений.
28.04.2014 06:28:00, vovanfz.

Маршрутизация по политикам — L2TP и несколько WAN-соединений

Sat, 18 May 2013 13:19:00 -0400

Маршрутизация по политикам — L2TP и несколько WAN-соединений RouterOS в форуме RouterOS.
ИЗМЕНЕНИЕ: Объединил с предыдущим сообщением.
18.05.2013 13:19:00, tomaskir.

Маршрутизация по политикам — L2TP и несколько WAN-соединений

Thu, 08 Apr 2010 21:31:00 -0400

Маршрутизация по политикам — L2TP и несколько WAN-соединений RouterOS в форуме RouterOS.
Я знаком с политической маршрутизацией уже много лет и хорошо её понимаю. Сегодня я провёл два часа, бьюсь головой, пытаясь понять — то ли я туплю, то ли что-то просто не работает как должно. У меня есть два роутера в интернете. Один — L2TP сервер, другой — клиент. У сервера несколько WAN-интерфейсов, поэтому я настроил connection mark, packet mark и route marks. Всё отлично работает, кроме L2TP, когда речь про сам роутер. Я вижу, что ответы на установку туннеля L2TP уходят через неправильный интерфейс с неправильным IP, и что ещё страннее — в таблице отслеживания соединений (connection-tracking) даже нет никакого следа от этих пакетов. Кто-нибудь сталкивался с такой же проблемой? На картинке ниже показано, что клиент подключается через 3-development (второй WAN), а ответные пакеты сразу отправляются обратно через дефолтный шлюз и с некорректным IP-адресом. Вот настройка mangling, которая отлично работает для всего остального: Я также публикую таблицу маршрутизации, которая используется для route mark, надеюсь, проблема где-то тут. Счётчик connection mark растёт, значит пакеты маркируются, но я не могу найти их НИГДЕ в connection tracking, даже через CLI при поиске. Счётчики packet marks и route marking тоже увеличиваются. SSH-соединения, идущие по тому же маршруту, работают, так что проблема, видимо, связана именно с L2TP сервером, с тем, что это UDP, и возможно тем, что ядро обрабатывает это выше уровнем? Пожалуйста, кто-нибудь, остановите моё бесконечное биться головой Сам
08.04.2010 21:31:00, changeip.