Isakmp sa deleted mikrotik как решить проблему
Обнаружена блокировка рекламы: Наш сайт существует благодаря показу онлайн-рекламы нашим посетителям. Пожалуйста, подумайте о поддержке нас, отключив блокировщик рекламы на нашем веб-сайте.
Клиенты L2TP + IPSec отключают друг друга
Раздел для тех, кто начинает знакомиться с MikroTik
Правила форума
Как правильно оформить вопрос.
Прежде чем начать настройку роутера, представьте, как это работает. Попробуйте почитать статьи об устройстве интернет-сетей. Убедитесь, что всё, что Вы задумали выполнимо вообще и на данном оборудовании в частности.
Не нужно изначально строить Наполеоновских планов. Попробуйте настроить простейшую конфигурацию, а усложнения добавлять в случае успеха постепенно.
Пожалуйста, не игнорируйте правила русского языка. Отсутствие знаков препинания и неграмотность автора топика для многих гуру достаточный повод проигнорировать топик вообще.
1. Назовите технологию подключения (динамический DHCP, L2TP, PPTP или что-то иное)
2. Изучите темку «Действия до настройки роутера».
viewtopic.php?f=15&t=2083
3. Настройте согласно выбранного Вами мануала
4. Дочитайте мануал до конца и без пропусков, в 70% случаев люди просто не до конца читают статью и пропускают важные моменты.
5. Если не получается, в Winbox открываем терминал и вбиваем там /export hide-sensitive. Результат в топик под кат, интимные подробности типа личных IP изменить на другие, пароль забить звездочками.
6. Нарисуйте Вашу сеть, рисунок (схему) сюда. На словах может быть одно, в действительности другое.
4 сообщения • Страница 1 из 1
eldar Сообщения: 5 Зарегистрирован: 15 ноя 2019, 10:34
Добрый день.
Всегда настраивал на Mikrotik L2TP + IPSec примерно по одним и тем же инструкциям из интернета и недавно обнаружил такую особенность: если два клиента находятся за NAT на одном внешнем IP они отключают друг друга при подключении. Т.е. первый клиент подключается, спокойно работает. Стоит второму клиенту подключиться и у первого виснет соединение.
В логах в этот момент:
08:17:48 l2tp,ppp,info : authenticated 08:17:49 l2tp,ppp,info : connected 08:28:47 ipsec,info respond new phase 1 (Identity Protection): IP1[500]IP2[500] 08:28:47 ipsec,info ISAKMP-SA established IP1[4500]-IP2[1024] spi:7a0efeffc201e0d6:15eb41def26c3399 08:28:49 ipsec,info purging ISAKMP-SA IP1[4500]IP2[1024] spi=7a0efeffc201e0d6:15eb41def26c3399. 08:28:49 ipsec,info ISAKMP-SA deleted IP1[4500]-IP2[1024] spi:7a0efeffc201e0d6:15eb41def26c3399 rekey:1 08:28:52 ipsec,info respond new phase 1 (Identity Protection): IP1[500]IP2[500] 08:28:52 ipsec,info ISAKMP-SA established IP1[4500]-IP2[1024] spi:4bd8c2d865706f5b:1b860fd467a5917a 08:28:53 l2tp,info first L2TP UDP packet received from IP2 08:28:53 l2tp,ppp,info,account user02 logged in, 192.168.100.236 08:28:53 l2tp,ppp,info : authenticated 08:28:53 l2tp,ppp,info : connected 08:30:09 l2tp,ppp,info : terminating. - hungup 08:30:09 l2tp,ppp,info,account user01 logged out, 740 264859 647868 2552 3202 08:30:09 l2tp,ppp,info : disconnected Гугл выдал вот такую статью https://forum.mikrotik.com/viewtopic.php?t=115592, суть которой сводится к тому чтобы использовать другое решение. В моем случае это не желательно, т.к. грозит перенастройкой нескольких десятков пользователей и роутеров.
Кто нибудь может мне помочь решить эту проблему?
Конфиг одного роутера (2011UiAS):
> ip address print
Flags: X — disabled, I — invalid, D — dynamic
# ADDRESS NETWORK INTERFACE
0 192.168.100.2/24 192.168.100.0 bridge
> ip pool print
# NAME RANGES
0 office-pool 192.168.100.101-192.168.100.200
1 vpn-pool 192.168.100.200-192.168.100.250
> ppp profile print
Flags: * — default
0 * name=»default» use-mpls=default use-compression=default use-encryption=default only-one=default change-tcp-mss=yes use-upnp=default address-list=»» on-up=»» on-down=»»
1 name=»l2tp» local-address=192.168.100.2 remote-address=vpn-pool use-mpls=default use-compression=default use-encryption=default only-one=default change-tcp-mss=yes use-upnp=default address-list=»» dns-server=192.168.100.1,192.168.100.8 wins-server=192.168.100.1,192.168.100.8 on-up=»» on-down=»»
> ppp secret print
Flags: X — disabled
# NAME SERVICE CALLER-ID PASSWORD PROFILE REMOTE-ADDRESS
0 user01 l2tp password l2tp
1 user02 l2tp password l2tp
/ip ipsec peer> print
Flags: X — disabled, D — dynamic, R — responder
0 DR name=»peer3″ passive=yes profile=default exchange-mode=main send-initial-contact=yes
1 R ;;; This entry is unreachable
name=»peer1″ passive=yes profile=default exchange-mode=main send-initial-contact=yes
/ip ipsec> proposal print
Flags: X — disabled, * — default
0 * name=»default» auth-algorithms=sha1 enc-algorithms=aes-256-cbc,aes-256-ctr,3des lifetime=30m pfs-group=modp1024
> interface l2tp-server server print
enabled: yes
max-mtu: 1450
max-mru: 1450
mrru: disabled
authentication: mschap2
keepalive-timeout: 30
max-sessions: unlimited
default-profile: l2tp
use-ipsec: yes
ipsec-secret: SECRET
caller-id-type: ip-address
one-session-per-host: no
allow-fast-path: no
Как подключится к VPN L2TP серверу (Mikrotik) за NAT если все порты открыты?
Всем доброго!
Есть у меня Mikrotik Cloud Hosted Router, но к сожелению он за NAT. Все порты проброшены на mikrotik. На Mikrotik настроен L2TP/IpSec сервер, и вот интересно, что с mac OS и IOS подключения проходит на ура, а вот с Windows проблемы, не подключатся ни в какую 🙁
В процесе подключения с Винды, вижу на mikrotik, что все же ipsec подключается (в пирах) но потом соединения разрывается, вот лог:
ISAKMP-SA established 172.21.xx[4500]-clientIP[4500] spi:a841776. purging ISAKMP-SA 172.21.xx[4500]clientIP[4500] spi=a841776. ISAKMP-SA deleted 172.21.xx[4500]-clientIP[4500] spi:a841776 rekey:1В windows получаю ошибку 809, нагуглил что это проблема связана с тем что сервер VPN находится за NAT и должно это личися правкой реестра HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PolicyAgent , а именно добавлениям туда параметра AssumeUDPEncapsulationContextOnSendRule со значениям 1 или 2, но все без результатно 🙁
Подскажите пожалуйста, как можно победить эту проблему
- Вопрос задан более трёх лет назад
- 7504 просмотра
3 комментария
Простой 3 комментария
Mikrotik L2TP/IPSEC и Windows клиент в чем проблема?
Какой день уже бьюсь над проблемой подключения к VPN из под windows. С MacOS, Andriod все прекрасно подключается.
В интернете толком никакой информации не нашел, что прям точно есть какая-то проблема, у всех все прекрасно работает. Пробовал подключиться с разных компьютером под управлением Windows 10, 8.
Версия RouterOS 6.47.1.
В логах такой результат при попытке подключиться из под windows:
respond new phase 1 (Identity Protection): [500][500]
ISAKMP-SA established [4500]-[4500] spe
это все дело висит секунд 30 и потом
purging ISAKMP-SA established [4500]-[4500] spe
ISAKMP-SA deleted [4500]-[4500] spe
- Вопрос задан более трёх лет назад
- 2843 просмотра
1 комментарий
Простой 1 комментарий
Почему валится IPSEC?
Эта тема была удалена. Только пользователи с правом управления темами могут её видеть.
hexdimko
отредактировано
два удаленных офиса соединены по ipsec. На обоих хостах в качестве шлюзов стоит pfSense 2.0 вот что в логах на стороне сервере с адресом xxx.xxx.xxx.xxx: Mar 30 11:27:43 racoon: []: [yyy.yyy.yyy.yyy] INFO: DPD: remote (ISAKMP-SA spi=478eaf47f5047d98:e2f3f9e537a29a00) seems to be dead.
Mar 30 11:27:43 racoon: INFO: purging ISAKMP-SA spi=478eaf47f5047d98:e2f3f9e537a29a00.
Mar 30 11:27:43 racoon: INFO: purged IPsec-SA spi=263056510.
Mar 30 11:27:43 racoon: INFO: purged IPsec-SA spi=201106602.
Mar 30 11:27:43 racoon: INFO: purged ISAKMP-SA spi=478eaf47f5047d98:e2f3f9e537a29a00.
Mar 30 11:27:43 racoon: []: INFO: ISAKMP-SA deleted xxx.xxx.xxx.xxx[500]-yyy.yyy.yyy.yyy[500] spi:478eaf47f5047d98:e2f3f9e537a29a00
Mar 30 11:27:46 racoon: []: INFO: IPsec-SA request for yyy.yyy.yyy.yyy queued due to no phase1 found.
Mar 30 11:27:46 racoon: []: INFO: initiate new phase 1 negotiation: xxx.xxx.xxx.xxx[500]yyy.yyy.yyy.yyy[500]
Mar 30 11:27:46 racoon: INFO: begin Identity Protection mode.
Mar 30 11:27:46 racoon: ERROR: phase1 negotiation failed due to send error. 623a619e0ce5e44a:0000000000000000
Mar 30 11:27:46 racoon: ERROR: failed to begin ipsec sa negotication.
Mar 30 11:28:29 racoon: []: INFO: IPsec-SA request for yyy.yyy.yyy.yyy queued due to no phase1 found. На стороне с адресом yyy.yyy.yyy.yyy: Mar 30 11:27:42 racoon: INFO: purged ISAKMP-SA spi=478eaf47f5047d98:e2f3f9e537a29a00.
Mar 30 11:27:42 racoon: []: INFO: ISAKMP-SA deleted yyy.yyy.yyy.yyy[500]-xxx.xxx.xxx.xxx[500] spi:478eaf47f5047d98:e2f3f9e537a29a00
Mar 30 11:28:32 racoon: []: INFO: IPsec-SA request for xxx.xxx.xxx.xxx queued due to no phase1 found.
Mar 30 11:28:32 racoon: []: INFO: initiate new phase 1 negotiation: yyy.yyy.yyy.yyy[500]xxx.xxx.xxx.xxx[500]
Mar 30 11:28:32 racoon: INFO: begin Identity Protection mode.
Mar 30 11:29:03 racoon: []: [xxx.xxx.xxx.xxx] ERROR: phase2 negotiation failed due to time up waiting for phase1 [Remote Side not responding]. ESP xxx.xxx.xxx.xxx[0]->yyy.yyy.yyy.yyy[0]
Mar 30 11:29:03 racoon: INFO: delete phase 2 handler.
Mar 30 11:29:19 racoon: []: [xxx.xxx.xxx.xxx] INFO: request for establishing IPsec-SA was queued due to no phase1 found.
Mar 30 11:29:22 racoon: ERROR: phase1 negotiation failed due to time up. 68083f38f762421a:0000000000000000
hexdimko