http://mikrotik.moscow Новое в теме [ОШИБКА] EoIP с автоматическим IPSec бесполезен и устарел после смены IP форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Thu, 13 Aug 2026 05:56:22 -0400 [ОШИБКА] EoIP с автоматическим IPSec бесполезен и устарел после смены IP RouterOS в форуме RouterOS.
На самом деле для туннелей это можно легко привязать к самому туннельному соединению, как сейчас с remote-address. Если туннель отключается, ROS должен разрешать имена, создавать политики и пытаться подключиться, так же как он делает с remote-address. Если соединение всё ещё живо (а это гарантируется проверкой ping на маршруте), нет необходимости обновлять ни один из адресов.
07.05.2017 17:15:00, kiler129.]]> http://mikrotik.moscow/forum/forum57/88290-oshibka_-eoip-s-avtomaticheskim-ipsec-bespolezen-i-ustarel-posle-smeny-ip/message425399 http://mikrotik.moscow/forum/forum57/88290-oshibka_-eoip-s-avtomaticheskim-ipsec-bespolezen-i-ustarel-posle-smeny-ip/message425399 Sun, 07 May 2017 17:15:00 -0400 RouterOS [ОШИБКА] EoIP с автоматическим IPSec бесполезен и устарел после смены IP RouterOS в форуме RouterOS.
Адреса могут меняться без наступления этих двух событий, так что всё равно придётся проверять их периодически. Учитывая это, кажется бессмысленным отслеживать именно эти события. Просто полагайтесь на периодическую проверку. Так что, как часто вы собираетесь проверять?
01.05.2017 09:40:00, sid5632.]]> http://mikrotik.moscow/forum/forum57/88290-oshibka_-eoip-s-avtomaticheskim-ipsec-bespolezen-i-ustarel-posle-smeny-ip/message425398 http://mikrotik.moscow/forum/forum57/88290-oshibka_-eoip-s-avtomaticheskim-ipsec-bespolezen-i-ustarel-posle-smeny-ip/message425398 Mon, 01 May 2017 09:40:00 -0400 RouterOS [ОШИБКА] EoIP с автоматическим IPSec бесполезен и устарел после смены IP RouterOS в форуме RouterOS.
Согласен с тобой, что было бы здорово иметь возможность использовать символы, ссылающиеся на динамические адреса, во всех местах, где сейчас нужно настраивать фиксированные адреса. Когда адрес меняется, соответствующий элемент автоматически перенастраивается. Это могло бы срабатывать, например, когда DHCP-клиент получает новый адрес или когда PPP-соединение получает новый адрес.
01.05.2017 08:02:00, pe1chl.]]> http://mikrotik.moscow/forum/forum57/88290-oshibka_-eoip-s-avtomaticheskim-ipsec-bespolezen-i-ustarel-posle-smeny-ip/message425397 http://mikrotik.moscow/forum/forum57/88290-oshibka_-eoip-s-avtomaticheskim-ipsec-bespolezen-i-ustarel-posle-smeny-ip/message425397 Mon, 01 May 2017 08:02:00 -0400 RouterOS [ОШИБКА] EoIP с автоматическим IPSec бесполезен и устарел после смены IP RouterOS в форуме RouterOS.
Сгенерировано. В принципе, это не такая уж большая проблема — работать с динамическими адресными соединениями и так настоящее испытание, и всем нужно понимать, что тут придется идти на компромиссы. В версии 6.38 проблема вроде частично решилась — раньше ни перезапуск интерфейса, ни даже полный ребут роутера не помогали. Почему я говорю, что это лишь частичное исправление? Да потому что в скриптах нельзя отследить никакие события, и я не могу нормально проверить появление нового IP при подключении. Может, ты как-то приоткроешь секрет, почему автоматическое определение remote-address не вызывает проблем, а для local-address нужно все чинить отдельно, да и определить его до начала подключения нельзя?
01.05.2017 05:44:00, kiler129.]]> http://mikrotik.moscow/forum/forum57/88290-oshibka_-eoip-s-avtomaticheskim-ipsec-bespolezen-i-ustarel-posle-smeny-ip/message425396 http://mikrotik.moscow/forum/forum57/88290-oshibka_-eoip-s-avtomaticheskim-ipsec-bespolezen-i-ustarel-posle-smeny-ip/message425396 Mon, 01 May 2017 05:44:00 -0400 RouterOS [ОШИБКА] EoIP с автоматическим IPSec бесполезен и устарел после смены IP RouterOS в форуме RouterOS.
Попробуйте отключить и снова включить eoip-туннель после изменения локального адреса.
06.03.2017 10:52:00, mrz.]]> http://mikrotik.moscow/forum/forum57/88290-oshibka_-eoip-s-avtomaticheskim-ipsec-bespolezen-i-ustarel-posle-smeny-ip/message425395 http://mikrotik.moscow/forum/forum57/88290-oshibka_-eoip-s-avtomaticheskim-ipsec-bespolezen-i-ustarel-posle-smeny-ip/message425395 Mon, 06 Mar 2017 10:52:00 -0500 RouterOS [ОШИБКА] EoIP с автоматическим IPSec бесполезен и устарел после смены IP RouterOS в форуме RouterOS.
Политика IPsec создаётся автоматически из EoIP или вы настроили её вручную? Думаю, скрипт решил бы вашу проблему, но соединение на несколько секунд прервётся.
04.03.2017 21:03:00, y64xkuo.]]> http://mikrotik.moscow/forum/forum57/88290-oshibka_-eoip-s-avtomaticheskim-ipsec-bespolezen-i-ustarel-posle-smeny-ip/message425394 http://mikrotik.moscow/forum/forum57/88290-oshibka_-eoip-s-avtomaticheskim-ipsec-bespolezen-i-ustarel-posle-smeny-ip/message425394 Sat, 04 Mar 2017 21:03:00 -0500 RouterOS [ОШИБКА] EoIP с автоматическим IPSec бесполезен и устарел после смены IP RouterOS в форуме RouterOS.
Хотелось бы, чтобы это было возможно! Скрипт — не проблема, но если изменить локальный IP на EoIP, политики IPSec не обновляются и их нельзя изменить, так как они динамические…
02.03.2017 07:27:00, kiler129.]]> http://mikrotik.moscow/forum/forum57/88290-oshibka_-eoip-s-avtomaticheskim-ipsec-bespolezen-i-ustarel-posle-smeny-ip/message425393 http://mikrotik.moscow/forum/forum57/88290-oshibka_-eoip-s-avtomaticheskim-ipsec-bespolezen-i-ustarel-posle-smeny-ip/message425393 Thu, 02 Mar 2017 07:27:00 -0500 RouterOS [ОШИБКА] EoIP с автоматическим IPSec бесполезен и устарел после смены IP RouterOS в форуме RouterOS.
Существует ряд ограничений у базового кода IPsec — он в основном рассчитан на статические адреса. Однако всегда можно написать скрипт, который будет менять статическую конфигурацию, если ваш WAN-адрес изменится.
28.01.2017 10:02:00, pe1chl.]]> http://mikrotik.moscow/forum/forum57/88290-oshibka_-eoip-s-avtomaticheskim-ipsec-bespolezen-i-ustarel-posle-smeny-ip/message425392 http://mikrotik.moscow/forum/forum57/88290-oshibka_-eoip-s-avtomaticheskim-ipsec-bespolezen-i-ustarel-posle-smeny-ip/message425392 Sat, 28 Jan 2017 10:02:00 -0500 RouterOS [ОШИБКА] EoIP с автоматическим IPSec бесполезен и устарел после смены IP RouterOS в форуме RouterOS.
@pe1chl: Дело в том, что ни один VPN не предлагает такую гибкость, а возиться с VPN+EoIP — просто ужас. Я просто не понимаю, почему статический IP реализован только для удалённого подключения? Проверка происходит до попытки соединения — не вижу проблемы сделать то же самое с локальным IP. Наверное, это не реализовано из-за бага — даже если меняешь IP, всё остаётся на старом без возможности изменить его…
28.01.2017 04:42:00, kiler129.]]> http://mikrotik.moscow/forum/forum57/88290-oshibka_-eoip-s-avtomaticheskim-ipsec-bespolezen-i-ustarel-posle-smeny-ip/message425391 http://mikrotik.moscow/forum/forum57/88290-oshibka_-eoip-s-avtomaticheskim-ipsec-bespolezen-i-ustarel-posle-smeny-ip/message425391 Sat, 28 Jan 2017 04:42:00 -0500 RouterOS [ОШИБКА] EoIP с автоматическим IPSec бесполезен и устарел после смены IP RouterOS в форуме RouterOS.
Сейчас у меня настроен EoIP между двумя локациями, одна из которых имеет динамический IP (и шансов получить статический — ровно 0%). Конфигурация EoIP на стороне со статическим IP такая:

/interface eoip add  
 allow-fast-path=no  
 arp=proxy-arp  
 ipsec-secret=[SHARED_KEY]
 keepalive=2s,2  
 local-address=[STATIC_WAN_IP]
 mac-address=00:00:5E:80:20:05  
 name=eoip-remote-location  
 remote-address=remote.location.domain.com  
 tunnel-id=2

На другой стороне, где IP динамический, конфигурация выглядит так:

/interface eoip add  
 allow-fast-path=no  
 arp=proxy-arp  
 ipsec-secret=[SHARED_KEY]
 keepalive=2s,2  
 local-address=[DYNAMIC_WAN_IP]
 mac-address=00:00:5E:80:20:06  
 name=eoip-home-location  
 remote-address=home.location.domain.com  
 tunnel-id=2

Есть две проблемы: локальный адрес не может быть доменом — можно вписать, но он будет разрешён только один раз. Для удалённого адреса же это почему-то работает нормально (wtf?).  

Более серьёзная проблема возникает, когда WAN IP меняется, и нужно обновить конфигурацию на удалённой стороне. Если изменить адрес, он меняется только в интерфейсе, а вся IPSec-конфигурация, как например политики, остаётся с прежним IP. Поскольку элементы IPSec создаются динамически, их нельзя изменить. Это на практике делает невозможным поменять IP или, например, использовать скрипт для этого.  

Хуже всего то, что единственный способ изменить IP — полностью удалить интерфейс и добавить заново (что, разумеется, приводит к огромному беспорядку в других местах, например в настройках фаервола).  

Все тесты я делал на версии 6.37.3, так как 6.38 пока не стабильна для продакшена.  

Есть идеи или советы?
08.01.2017 07:11:00, kiler129.]]> http://mikrotik.moscow/forum/forum57/88290-oshibka_-eoip-s-avtomaticheskim-ipsec-bespolezen-i-ustarel-posle-smeny-ip/message425390 http://mikrotik.moscow/forum/forum57/88290-oshibka_-eoip-s-avtomaticheskim-ipsec-bespolezen-i-ustarel-posle-smeny-ip/message425390 Sun, 08 Jan 2017 07:11:00 -0500 RouterOS