http://mikrotik.moscow Новое в теме Странные ошибки IPsec при попытке подключения L2TP/IPsec с Draytek форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Wed, 12 Aug 2026 17:57:35 -0400 Странные ошибки IPsec при попытке подключения L2TP/IPsec с Draytek RouterOS в форуме RouterOS.
Проблема была решена в версии 6.43rc56. Так что, когда выйдет стабильная версия 6.43, мы её установим и сможем использовать этот протокол на роутерах Draytek.
15.08.2018 11:15:00, pe1chl.]]> http://mikrotik.moscow/forum/forum57/90737-strannye-oshibki-ipsec-pri-popytke-podklyucheniya-l2tp_ipsec-s-draytek/message444033 http://mikrotik.moscow/forum/forum57/90737-strannye-oshibki-ipsec-pri-popytke-podklyucheniya-l2tp_ipsec-s-draytek/message444033 Wed, 15 Aug 2018 11:15:00 -0400 RouterOS Странные ошибки IPsec при попытке подключения L2TP/IPsec с Draytek RouterOS в форуме RouterOS.
Ок, спасибо. Я подумал, что поля в пакете NAT-OA могут быть частью неполного решения, чтобы обойти эту проблему.
16.07.2018 08:13:00, pe1chl.]]> http://mikrotik.moscow/forum/forum57/90737-strannye-oshibki-ipsec-pri-popytke-podklyucheniya-l2tp_ipsec-s-draytek/message444032 http://mikrotik.moscow/forum/forum57/90737-strannye-oshibki-ipsec-pri-popytke-podklyucheniya-l2tp_ipsec-s-draytek/message444032 Mon, 16 Jul 2018 08:13:00 -0400 RouterOS Странные ошибки IPsec при попытке подключения L2TP/IPsec с Draytek RouterOS в форуме RouterOS.
Нестандартное население NAT-OA ISAKMP полезной нагрузки не связано с проблемой «множественных клиентов L2TP/IPsec за одним NAT». Корень этой проблемы и работающее решение описаны здесь.
16.07.2018 08:01:00, sindy.]]> http://mikrotik.moscow/forum/forum57/90737-strannye-oshibki-ipsec-pri-popytke-podklyucheniya-l2tp_ipsec-s-draytek/message444031 http://mikrotik.moscow/forum/forum57/90737-strannye-oshibki-ipsec-pri-popytke-podklyucheniya-l2tp_ipsec-s-draytek/message444031 Mon, 16 Jul 2018 08:01:00 -0400 RouterOS Странные ошибки IPsec при попытке подключения L2TP/IPsec с Draytek RouterOS в форуме RouterOS.
Создан тикет #2018071422001752 по этой проблеме. Конечно, есть ещё один нюанс: реализация MikroTik не позволяет обслуживать больше одного L2TP/IPsec клиента за NAT с одинаковым удалённым IP. Это частая жалоба, особенно когда пытаются настроить VPN с нескольких мобильных устройств, подключающихся через одного мобильного провайдера с CGNAT. Я также заметил, что стандартная настройка сервера с IPsec в режиме «порт строгий» некорректно работает при двух уровнях NAT в цепочке. Настройка индивидуального IPsec пира с «перезаписью порта» решает эту проблему. Возможно, это связано, и/или решение этой проблемы поможет и с этим.
16.07.2018 07:48:00, pe1chl.]]> http://mikrotik.moscow/forum/forum57/90737-strannye-oshibki-ipsec-pri-popytke-podklyucheniya-l2tp_ipsec-s-draytek/message444030 http://mikrotik.moscow/forum/forum57/90737-strannye-oshibki-ipsec-pri-popytke-podklyucheniya-l2tp_ipsec-s-draytek/message444030 Mon, 16 Jul 2018 07:48:00 -0400 RouterOS Странные ошибки IPsec при попытке подключения L2TP/IPsec с Draytek RouterOS в форуме RouterOS.
Если подумать, это могло быть хитрым способом сказать удалённой стороне, на каком порту я слушаю, используя, казалось бы, незанятое место в существующем параметре, а Draytek всё испортил, проверяя эти нули.
16.07.2018 06:45:00, sindy.]]> http://mikrotik.moscow/forum/forum57/90737-strannye-oshibki-ipsec-pri-popytke-podklyucheniya-l2tp_ipsec-s-draytek/message444029 http://mikrotik.moscow/forum/forum57/90737-strannye-oshibki-ipsec-pri-popytke-podklyucheniya-l2tp_ipsec-s-draytek/message444029 Mon, 16 Jul 2018 06:45:00 -0400 RouterOS Странные ошибки IPsec при попытке подключения L2TP/IPsec с Draytek RouterOS в форуме RouterOS.
Даже диссектор ISAKMP в Wireshark не утруждает себя проверкой того, что содержимое зарезервированных байтов (RESERVED) в NAT-OA полезной нагрузке равно 0x00 0x0000. Используйте «Import from Hex Dump» с приведёнными данными и UDP-заголовком-затычкой с исходным портом 500:

0000 cf 79 93 70 33 48 f6 07 b9 3a 53 64 df f8 e5 c1  
0010 08 10 20 00 d0 7a f8 56 00 00 00 bc 01 00 00 18  
0020 bb dc 22 3a 45 e4 40 a6 08 cd c9 f9 f7 63 30 d8  
0030 7d d3 4e e3 0a 00 00 34 00 00 00 01 00 00 00 01  
0040 00 00 00 28 01 03 04 01 05 13 62 b2 00 00 00 1c  
0050 03 0c 00 00 80 01 00 01 80 02 07 08 80 04 00 04  
0060 80 06 01 00 80 05 00 02 05 00 00 1c d6 3a 6d 7e  
0070 34 48 22 07 48 54 d9 1a cd 39 39 fc 5b 8f 2c ee  
0080 06 9b bc a6 05 00 00 0c 01 11 06 a5 c0 a8 05 ad  
0090 15 00 00 0c 01 11 06 a5 c0 a8 0a 58 15 00 00 0c  
00a0 01 00 11 94 0a 00 00 05 00 00 00 0c 01 00 11 94  
00b0 c0 a8 0a 58 61 b3 4e 5d 7b 4c 7d 07
15.07.2018 19:27:00, sindy.]]> http://mikrotik.moscow/forum/forum57/90737-strannye-oshibki-ipsec-pri-popytke-podklyucheniya-l2tp_ipsec-s-draytek/message444028 http://mikrotik.moscow/forum/forum57/90737-strannye-oshibki-ipsec-pri-popytke-podklyucheniya-l2tp_ipsec-s-draytek/message444028 Sun, 15 Jul 2018 19:27:00 -0400 RouterOS Странные ошибки IPsec при попытке подключения L2TP/IPsec с Draytek RouterOS в форуме RouterOS.
Я сообщил в поддержку по этой теме. Посмотрим, что из этого выйдет... У меня примерно такая же ситуация: я отлаживаю это для нескольких людей, которые хотят подключиться к моему серверу, и достал свой старый Draytek из коробки с хламом ради этого. Когда стоишь за другим роутером (MikroTik) с NAT — не работает, но потом я вспомнил про 4G SIM-карту и USB-модем, которые выдают прямой IP-адрес, и с таким подключением на Draytek удалось соединиться (без NAT-T). Значит, остальные части IPsec и L2TP между собой взаимодействуют нормально.
14.07.2018 17:01:00, pe1chl.]]> http://mikrotik.moscow/forum/forum57/90737-strannye-oshibki-ipsec-pri-popytke-podklyucheniya-l2tp_ipsec-s-draytek/message444027 http://mikrotik.moscow/forum/forum57/90737-strannye-oshibki-ipsec-pri-popytke-podklyucheniya-l2tp_ipsec-s-draytek/message444027 Sat, 14 Jul 2018 17:01:00 -0400 RouterOS Странные ошибки IPsec при попытке подключения L2TP/IPsec с Draytek RouterOS в форуме RouterOS.
Я бы скорее сказал «основано на старой версии», учитывая, как быстро тамошние ребята отреагировали на некоторые мои недавние утверждения, но боюсь, что единственный логичный следующий шаг — отправить это в службу поддержки. Вас это касается — вы и отправляйте. Все Draytek, с которыми я встречался, были удалёнными, так что я не смог бы проверить предложенное решение лично.
14.07.2018 16:57:00, sindy.]]> http://mikrotik.moscow/forum/forum57/90737-strannye-oshibki-ipsec-pri-popytke-podklyucheniya-l2tp_ipsec-s-draytek/message444026 http://mikrotik.moscow/forum/forum57/90737-strannye-oshibki-ipsec-pri-popytke-podklyucheniya-l2tp_ipsec-s-draytek/message444026 Sat, 14 Jul 2018 16:57:00 -0400 RouterOS Странные ошибки IPsec при попытке подключения L2TP/IPsec с Draytek RouterOS в форуме RouterOS.
Спасибо за отладку. Значит, это действительно то, что нужно исправить на стороне MikroTik, чтобы соответствовать стандартам. Похоже, что используемый IPsec-код не проверяет это условие. Возможно, это причина других проблем с L2TP/IPsec… По моим поискам, кажется, что Strongswan когда-то сталкивался с этой проблемой и уже исправил её, но, возможно, MikroTik использует устаревшую версию? Я сообщил об этом в службу поддержки.
14.07.2018 16:39:00, pe1chl.]]> http://mikrotik.moscow/forum/forum57/90737-strannye-oshibki-ipsec-pri-popytke-podklyucheniya-l2tp_ipsec-s-draytek/message444025 http://mikrotik.moscow/forum/forum57/90737-strannye-oshibki-ipsec-pri-popytke-podklyucheniya-l2tp_ipsec-s-draytek/message444025 Sat, 14 Jul 2018 16:39:00 -0400 RouterOS Странные ошибки IPsec при попытке подключения L2TP/IPsec с Draytek RouterOS в форуме RouterOS.
Из RFC 3947: Формат пакета NAT-OA следующий:  
1 2 3 4 5 6 7 8 1 2 3 4 5 6 7 8 1 2 3 4 5 6 7 8 1 2 3 4 5 6 7 8  
      +---------------+---------------+---------------+---------------+  
      | Next Payload  | RESERVED      | Длина полезной нагрузки       |  
      +---------------+---------------+---------------+---------------+  
      | Тип идентификатора | RESERVED  | RESERVED                      |  
      +---------------+---------------+---------------+---------------+  
      |           IPv4 (4 октета) или IPv6-адрес (16 октетов)          |  
      +---------------+---------------+---------------+---------------+  

Тип полезной нагрузки для NAT original address payload — 21. Тип идентификатора определён в [RFC2407]. Разрешены только типы ID_IPV4_ADDR и ID_IPV6_ADDR. Два зарезервированных поля после типа идентификатора должны быть равны нулю.

Я взял лог ipsec на клиенте Mikrotik ipsec-l2tp, который находится за NAT (потому что NAT-OA полезная нагрузка уже передаётся на зашифрованном этапе Фазы 1, а лог показывает расшифрованное содержимое только для принимаемых пакетов), и сервер Mikrotik отправляет следующее:  
1500000c 011106a5 c0a80a58  
1500000c 01001194 0a000005  
0000000c 01001194 c0a80a58  

0x15 = тип полезной нагрузки, 21  
0x00 = зарезервировано, правильно  
0x000c = длина записи, правильно  
0x01 = IPv4  
0x001194 явно не 0x000000.  

Однако RFC2407, на который ссылается RFC3947, подразумевает другой формат полезной нагрузки, который содержит ссылку на тип ID — это Identification Payload:

0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1 2 3 4 5 6 7 8 9 0 1  
  +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+  
  | Next Payload  |   RESERVED    |        Payload Length         |  
  +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+  
  |   ID Type     |  Protocol ID  |             Port              |  
  +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+  
  ~                     Identification Data                       ~  
  +-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+-+  

Если интерпретировать 0x1106a5 таким образом, то:  
0x0 = IPv6 HOPOPT, вероятно, неактуально  
0x1194 = 4500 = альтернативный (NAT-T) ISAKMP порт  

Для меня это явный баг у Mikrotik, где ребята повторно используют уже подготовленное содержимое полезной нагрузки (поскольку в обоих случаях IP-адрес занимает последние 4 байта полезной нагрузки), но забывают применить маску с ID type перед отправкой с 0xFF000000.  

Единственный недостаток — я провёл тест на версии 6.42.1, запущенной на сервере, но думаю, что это не будет большой проблемой, когда вы отправите это на support@mikrotik.com.
14.07.2018 15:53:00, sindy.]]> http://mikrotik.moscow/forum/forum57/90737-strannye-oshibki-ipsec-pri-popytke-podklyucheniya-l2tp_ipsec-s-draytek/message444024 http://mikrotik.moscow/forum/forum57/90737-strannye-oshibki-ipsec-pri-popytke-podklyucheniya-l2tp_ipsec-s-draytek/message444024 Sat, 14 Jul 2018 15:53:00 -0400 RouterOS Странные ошибки IPsec при попытке подключения L2TP/IPsec с Draytek RouterOS в форуме RouterOS.
Это в журнале Draytek. Это происходит только при работе через NAT. MikroTik считает, что всё в порядке, и записывает в лог «пакет повторно отправлен x.x.x.x[4500]». Мне удалось подключить Draytek к публичному IP, и теперь я могу настроить рабочее L2TP/IPsec-соединение с MikroTik! Но я думаю, что Draytek обычно поддерживает NAT-T, по крайней мере, он пытается использовать UDP порт 4500 и так далее. Значит, есть какая-то несовместимость.
14.07.2018 13:02:00, pe1chl.]]> http://mikrotik.moscow/forum/forum57/90737-strannye-oshibki-ipsec-pri-popytke-podklyucheniya-l2tp_ipsec-s-draytek/message444023 http://mikrotik.moscow/forum/forum57/90737-strannye-oshibki-ipsec-pri-popytke-podklyucheniya-l2tp_ipsec-s-draytek/message444023 Sat, 14 Jul 2018 13:02:00 -0400 RouterOS Странные ошибки IPsec при попытке подключения L2TP/IPsec с Draytek RouterOS в форуме RouterOS.
Это сообщение из лога Draytek или Mikrotik?
14.07.2018 12:15:00, sindy.]]> http://mikrotik.moscow/forum/forum57/90737-strannye-oshibki-ipsec-pri-popytke-podklyucheniya-l2tp_ipsec-s-draytek/message444022 http://mikrotik.moscow/forum/forum57/90737-strannye-oshibki-ipsec-pri-popytke-podklyucheniya-l2tp_ipsec-s-draytek/message444022 Sat, 14 Jul 2018 12:15:00 -0400 RouterOS Странные ошибки IPsec при попытке подключения L2TP/IPsec с Draytek RouterOS в форуме RouterOS.
Я обновил прошивку Draytek до версии 3.8.9.1 и RouterOS до 6.42.5, но ситуация осталась прежней. Седьмой байт полезной нагрузки ISAKMP NAT-OA должен быть равен нулю, но это не так. Это что-то, что MikroTik может исправить?
14.07.2018 11:47:00, pe1chl.]]> http://mikrotik.moscow/forum/forum57/90737-strannye-oshibki-ipsec-pri-popytke-podklyucheniya-l2tp_ipsec-s-draytek/message444021 http://mikrotik.moscow/forum/forum57/90737-strannye-oshibki-ipsec-pri-popytke-podklyucheniya-l2tp_ipsec-s-draytek/message444021 Sat, 14 Jul 2018 11:47:00 -0400 RouterOS Странные ошибки IPsec при попытке подключения L2TP/IPsec с Draytek RouterOS в форуме RouterOS.
Нет, я ещё не решил эту проблему. Думаю, с NAT-T это не сработает, а удобно протестировать я могу только с роутером Draytek за NAT. Draytek это поддерживает, но, по всей видимости, где-то есть баг. Простая IPsec туннель здесь не подходит, потому что удалённая сторона с динамическим адресом.
03.02.2018 21:58:00, pe1chl.]]> http://mikrotik.moscow/forum/forum57/90737-strannye-oshibki-ipsec-pri-popytke-podklyucheniya-l2tp_ipsec-s-draytek/message444020 http://mikrotik.moscow/forum/forum57/90737-strannye-oshibki-ipsec-pri-popytke-podklyucheniya-l2tp_ipsec-s-draytek/message444020 Sat, 03 Feb 2018 21:58:00 -0500 RouterOS Странные ошибки IPsec при попытке подключения L2TP/IPsec с Draytek RouterOS в форуме RouterOS.
Если можно обойтись без L2TP и использовать чистый IPsec с политиками, этот способ точно работает и с Mikrotik, и с Draytek по публичному IP. Те Draytek, с которыми мне приходилось иметь дело, не поддерживали NAT-T.
03.02.2018 21:49:00, sindy.]]> http://mikrotik.moscow/forum/forum57/90737-strannye-oshibki-ipsec-pri-popytke-podklyucheniya-l2tp_ipsec-s-draytek/message444019 http://mikrotik.moscow/forum/forum57/90737-strannye-oshibki-ipsec-pri-popytke-podklyucheniya-l2tp_ipsec-s-draytek/message444019 Sat, 03 Feb 2018 21:49:00 -0500 RouterOS Странные ошибки IPsec при попытке подключения L2TP/IPsec с Draytek RouterOS в форуме RouterOS.
Привет, у меня такая же проблема — не появляется Phase 2, туннель работает нормально, если не использовать шифрование. Я настроил L2TP с телефона и ноутбука, и шифрование тут запускается без проблем. Ты случайно не нашёл решение? Спасибо!
31.01.2018 12:46:00, GeorgeHibberd.]]> http://mikrotik.moscow/forum/forum57/90737-strannye-oshibki-ipsec-pri-popytke-podklyucheniya-l2tp_ipsec-s-draytek/message444018 http://mikrotik.moscow/forum/forum57/90737-strannye-oshibki-ipsec-pri-popytke-podklyucheniya-l2tp_ipsec-s-draytek/message444018 Wed, 31 Jan 2018 12:46:00 -0500 RouterOS Странные ошибки IPsec при попытке подключения L2TP/IPsec с Draytek RouterOS в форуме RouterOS.
Привет, у меня такая же проблема с Mikrotik и DrayTek. Ты случайно не нашёл решение?
30.01.2018 22:56:00, GeorgeHibberd.]]> http://mikrotik.moscow/forum/forum57/90737-strannye-oshibki-ipsec-pri-popytke-podklyucheniya-l2tp_ipsec-s-draytek/message444017 http://mikrotik.moscow/forum/forum57/90737-strannye-oshibki-ipsec-pri-popytke-podklyucheniya-l2tp_ipsec-s-draytek/message444017 Tue, 30 Jan 2018 22:56:00 -0500 RouterOS Странные ошибки IPsec при попытке подключения L2TP/IPsec с Draytek RouterOS в форуме RouterOS.
После того, как один из пользователей нашей сети пожаловался, что не может подключиться, несмотря на все попытки, используя роутер Draytek для настройки L2TP/IPsec, я решил достать из закромов свой старый роутер Draytek и попробовать сам. На роутере MikroTik я настроил сервис L2TP/IPsec с практически всеми параметрами по умолчанию. Множество пользователей подключаются через L2TP клиент с IPsec секретом (и логином/паролем) с роутеров MikroTik, и из опыта знаю, что такая же конфигурация работает и на Android и других устройствах. Поэтому я установил последнюю прошивку на свой Draytek 2860n+ и настроил “LAN2LAN VPN” с L2TP/IPsec.

По умолчанию это вообще не работает, но после того, как в расширенных настройках поставил AES128_SHA1_G2 для фазы 1 и AES128_SHA1 для фазы 2, хотя бы устанавливается фаза 1. На стороне MikroTik фаза 2 SA принимается (судя по отладочному логу), и сессия застревает в состоянии «msg1 sent», после чего в логах появляются сообщения о повторной отправке пакетов. В логе Draytek появляется следующее сообщение (с исправленной орфографией):

[IPSEC/IKE][L2L][profilename][remote IP] malformed payload: Parse error: byte 7 of ISAKMP NAT-OA Payload must be zero, but is not

Интересно, что Google выдаёт несколько упоминаний такой ошибки в совершенно других условиях (без MikroTik или Draytek, но с программой Strongswan). Некоторые сообщения довольно старые, но я так и не нашёл подсказок, что именно вызывает проблему и на чьей стороне она… (то есть байт не нулевой на стороне отправителя, в нашем случае MikroTik, и получатель правильно жалуется, или получателю просто стоило бы игнорировать этот ненулевой байт? Может, это вызвано ошибкой в настройках?)

Есть кто с опытом решения подобных проблем?
15.12.2017 19:41:00, pe1chl.]]> http://mikrotik.moscow/forum/forum57/90737-strannye-oshibki-ipsec-pri-popytke-podklyucheniya-l2tp_ipsec-s-draytek/message444016 http://mikrotik.moscow/forum/forum57/90737-strannye-oshibki-ipsec-pri-popytke-podklyucheniya-l2tp_ipsec-s-draytek/message444016 Fri, 15 Dec 2017 19:41:00 -0500 RouterOS