+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Огромная проблема с IPSec.

Огромная проблема с IPSec., RouterOS

wonderlan

Guest

14.10.2005 01:56:00

У меня просто кошмар с IPSec здесь. Мои IPSec-туннели поднимаются, то есть политика генерируется и устанавливается SA как для входящего, так и для исходящего трафика, но из моей локальной сети на Mikrotik я не могу пинговать или общаться с удаленными сетями вообще. Интересно, что из удаленных сетей они могут пинговать мою локальную сеть Mikrotik… Более того, когда я смотрю статистику IPSec-политики, при входящих пингах из удаленной сети я вижу зашифрованный пакет ответа, а когда я пытаюсь пинговать из моей локальной сети в удаленную, ничего не шифруется! Есть ли какие-нибудь лучшие инструменты для того, чтобы понять, что, черт возьми, происходит? Это сводит меня с ума, помогите, пожалуйста. Связаться со мной можно здесь или по адресу jtaylor AT wonderlan.net. Похоже, что я не один с такими проблемами… Что, в конце концов, происходит?

:: Интерфейсы ::
[admin@MikroTik] interface> print detail
Флаги: X - отключен, D - динамический, R - работает
0 R name="C1_P1_T1_Uplink" mtu=1500 type=ether rx-rate=0 tx-rate=0
1 R name="C1_P2_Client_WAN" mtu=1500 type=ether rx-rate=0 tx-rate=0
2 R name="C1_P3_WLC_DMZ" mtu=1500 type=ether rx-rate=0 tx-rate=0
3 R name="C1_P4_LAN" mtu=1500 type=ether rx-rate=0 tx-rate=0
4 R name="T1 Bridge" mtu=1500 type=bridge rx-rate=0 tx-rate=0
[admin@MikroTik] interface> eth
[admin@MikroTik] interface ethernet> print detail
Флаги: X - отключен, R - работает
0 R name="C1_P1_T1_Uplink" mtu=1500 mac-address=00:0C:42:02:2C:E2 arp=enabled disable-running-check=yes auto-negotiation=yes full-duplex=yes cable-settings=default speed=100Mbps
1 R name="C1_P2_Client_WAN" mtu=1500 mac-address=00:0C:42:02:2C:E3 arp=enabled disable-running-check=yes auto-negotiation=yes full-duplex=yes cable-settings=default speed=100Mbps
2 R name="C1_P3_WLC_DMZ" mtu=1500 mac-address=00:0C:42:02:2C:E4 arp=enabled disable-running-check=yes auto-negotiation=yes full-duplex=yes cable-settings=default speed=100Mbps
3 R name="C1_P4_LAN" mtu=1500 mac-address=00:0C:42:02:2C:E5 arp=enabled disable-running-check=yes auto-negotiation=yes full-duplex=yes cable-settings=default speed=100Mbps

:: IPSec ::
[admin@MikroTik] ip ipsec policy> print
Флаги: X - отключен, D - динамический, I - недействителен
0 D src-address=192.168.168.0/24:any dst-address=10.208.1.0/24:any protocol=all action=encrypt level=require ipsec-protocols=esp tunnel=yes sa-src-address=12.145.155.2 sa-dst-address=69.17.100.66 proposal=default dont-fragment=clear

[admin@MikroTik] ip ipsec installed-sa> print
Флаги: A - AH, E - ESP, P - pfs, M - manual
0 E spi=0x8A605102 direction=in src-address=69.17.100.66 dst-address=12.145.155.2 auth-algorithm=md5 enc-algorithm=3des replay=4 state=mature auth-key="472bfcf8c52525fbc5c2bc8d0f4924c8" enc-key="c18aec37ddb7b4ce96d7e6fb33271032f6dc28519d3b4532" add-lifetime=6h24m/8h use-lifetime=0s/0s lifebytes=0/0 current-addtime=oct/14/2005 00:30:14 current-usetime=oct/14/2005 00:30:25 current-bytes=72
1 E spi=0xB6AB6B3B direction=out src-address=12.145.155.2 dst-address=69.17.100.66 auth-algorithm=md5 enc-algorithm=3des replay=4 state=mature auth-key="6403fdad483708ff8e8985d214bc49f7" enc-key="d8ffd5d5c5b217598ba3c0323b97b8ae1647ac446061c793" add-lifetime=6h24m/8h use-lifetime=0s/0s lifebytes=0/0 current-addtime=oct/14/2005 00:30:14 current-usetime=oct/14/2005 00:30:25 current-bytes=72

:: NAT Rules ::
[admin@MikroTik] ip firewall nat> print
Флаги: X - отключен, I - недействителен, D - динамический
0 chain=srcnat src-address=192.168.168.0/24 packet-mark=!VPN action=masquerade

:::: Marking Rules :::
Флаги: X - отключен, I - недействителен, D - динамический
0 chain=forward dst-address=10.13.11.0/24 action=mark-packet new-packet-mark=VPN passthrough=yes
1 chain=prerouting dst-address=10.208.1.0/24 action=mark-packet new-packet-mark=VPN passthrough=yes
2 chain=prerouting dst-address=192.168.0.0/24 action=mark-packet new-packet-mark=VPN passthrough=yes
3 chain=prerouting dst-address=10.13.8.0/24 action=mark-packet new-packet-mark=VPN passthrough=yes
… и многое другое, связанное с NETBios, HTTP, HTTPS и т.д.

wonderlan

Guest

15.10.2005 19:35:00

Ладно, так вот, мне пришло письмо от Mikrotik уже 3 раза, и я потратил бесчисленное количество часов во всех своих офисах, разбираясь с этой ерундой. Я попробую полностью переустановить на 2.96 с нуля, если это не поможет, то вернусь к 2.8. Не могу поверить, что Mikrotik даже не удосужился ответить. Это полная фигня, и блин, Mikrotik, как ты мог выпустить продукт с багами? Я бы с удовольствием заплатил несколько сотен долларов больше за действительно корпоративный продукт, который работает как положено и предоставляет техническую поддержку. Просто чтобы вы знали, после всех настроек я выяснил, что могу поднять IPSec-туннели, если отключать и включать политики раз за разом, в конце концов Mikrotik их поднимет… отличный продукт, да? Вот же полная ерунда.

csickles

Guest

17.10.2005 21:06:00

Я использую IPSec “Routing” для соединения 3 площадок. Я не вижу необходимости в правилах брандмауэра для передачи пакета от одного роутера к другому (чтобы пропустить трафик по трубе). Напишите мне, и я свяжу вас с инженером, который помог мне настроить мою многосайтовую систему. Я знаю, как это делается, но не раскрываю, так как это не моя разработка. Напишите мне на sales@pc-routers.com, и я свяжу вас с ним. Крейг.

wonderlan Guest	#4 0 17.10.2005 21:57:00 Я в полном замешательстве, работало всё отлично в 2.82, а перестроил всё с нуля в 2.96 – и те же самые странные ошибки.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры