+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

VPN (IPSEC) между 2.7.2 и 2.8.12

VPN (IPSEC) между 2.7.2 и 2.8.12, RouterOS

tpatel

Guest

24.08.2004 18:27:00

Неужели возможно, что IPSEC между 2.7.2 и 2.8.12 не совместим? Я могу настроить IPSEC между двумя 2.7.2 без проблем, но когда один конец 2.8.12 – при той же самой настройке ничего не получается. Кто-нибудь из Mikrotik знает, это проблема или код изменился? Tushar

lastguru Guest	#2 0 24.08.2004 19:37:00 Не должно быть несовместимо… Пожалуйста, выложи сюда точную конфигурацию (/ip ipsec export) или, лучше, напиши в support@mikrotik.com с файлами отладки поддержки.

tpatel

Guest

24.08.2004 22:52:00

Я выложил xxx на реальный IP-адрес. Вот конфигурация:

2.8.12 / ip ipsec policy add src-address=10.10.11.0/24:any dst-address=10.10.10.0/24:any protocol=all action=encrypt level=require ipsec-protocols=esp tunnel=yes sa-src-address=216.141.xxx.xxx sa-dst-address=24.173.xxx.xxx proposal=default manual-sa=none dont-fragment=clear disabled=no
/ ip ipsec peer add address=24.173.xxx.xxx/32:500 secret=“xxxxx” generate-policy=no exchange-mode=aggressive send-initial-contact=yes proposal-check=obey hash-algorithm=md5 enc-algorithm=3des dh-group=modp1024 lifetime=1d lifebytes=0 disabled=no
/ ip ipsec proposal add name=“default” auth-algorithms=sha1 enc-algorithms=3des lifetime=30m lifebytes=0 pfs-group=modp1024 disabled=no

Правила брандмауэра:
[admin@MikroTik] > ip firewall src-nat export aug/24/2004 17:37:20 by RouterOS 2.8.12 software id = 69VD-7NT
/ ip firewall src-nat add src-address=10.10.11.0/24 dst-address=10.10.10.0/24 action=accept comment=“” disabled=no add out-interface=public action=masquerade comment=“” disabled=no

Конфигурация роутера 2:
[admin@MikroTik] > ip ipsec export aug/25/2004 06:35:00 by RouterOS 2.7.2 software id = DJCH-17N
/ ip ipsec policy add src-address=10.10.10.0/24:any dst-address=10.10.11.0/24:any protocol=all action=encrypt level=require ipsec-protocols=esp tunnel=yes sa-src-address=24.173.xxx.xxx sa-dst-address=216.141.xxx.xxx proposal=default manual-sa=none dont-fragment=clear disabled=no
add src-address=10.10.10.0/24:any dst-address=10.1.9.0/24:any protocol=all action=encrypt level=require ipsec-protocols=esp tunnel=yes sa-src-address=24.173.xxx.xxx sa-dst-address=216.141.xxx.xxx proposal=default manual-sa=none dont-fragment=clear disabled=no
/ ip ipsec peer add address=216.141.xxx.xxx/32:500 secret=“xxxxx” generate-policy=no exchange-mode=aggressive send-initial-contact=yes proposal-check=obey hash-algorithm=md5 enc-algorithm=3des dh-group=modp1024 lifetime=1d lifebytes=0 disabled=no
add address=216.141.xxx.xxx/32:500 secret=“xxxxx” generate-policy=no exchange-mode=aggressive send-initial-contact=yes proposal-check=obey hash-algorithm=md5 enc-algorithm=3des dh-group=modp1024 lifetime=1d lifebytes=0 disabled=no
/ ip ipsec proposal add name=“default” auth-algorithms=sha1 enc-algorithms=3des lifetime=30m lifebytes=0 pfs-group=modp1024 disabled=no

Правила брандмауэра:
[admin@MikroTik] > ip firewall src-nat export aug/25/2004 06:38:56 by RouterOS 2.7.2 software id = DJCH-17N
/ ip firewall src-nat add src-address=10.10.10.0/24:0-65535 dst-address=10.10.11.0/24:0-65535 out-interface=all protocol=all icmp-options=any:any flow=“” connection=“” content=“” limit-count=0 limit-burst=0 limit-time=0s action=accept to-src-address=0.0.0.0 to-src-port=0-65535 comment=“” disabled=no
add src-address=10.10.10.0/24:0-65535 dst-address=10.1.9.0/24:0-65535 out-interface=all protocol=all icmp-options=any:any flow=“” connection=“” content=“” limit-count=0 limit-burst=0 limit-time=0s action=accept to-src-address=0.0.0.0 to-src-port=0-65535 comment=“” disabled=no
add src-address=0.0.0.0/0:0-65535 dst-address=0.0.0.0/0:0-65535 out-interface=public protocol=all icmp-options=any:any flow=“” connection=“” content=“” limit-count=0 limit-burst=0 limit-time=0s action=masquerade to-src-address=0.0.0.0 to-src-port=0-65535 comment=“” disabled=no

Eugene Guest	#4 0 25.08.2004 09:30:00 Не мог бы ты изменить настройку exchange-mode в /ip ipsec peer на main и проверить соединение?

tpatel Guest	#5 0 25.08.2004 18:04:00 Отлично, это сработало. Теперь работает. Итак, чтобы подытожить решение: 2.7.2 <------> 2.7.2 (установка параметра exchange-mode для ip ipsec peer в значение aggressive работает). 2.7.2 <---------> 2.8.12 (для ip ipsec peer параметр exchange-mode нужно установить в значение main). Спасибо за решение! Tushar

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры