+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

L2TP на нестандартном порту или другой тип туннеля

L2TP на нестандартном порту или другой тип туннеля, RouterOS

th0massin0

Guest

06.11.2022 09:59:00

Привет, не мог бы ты подсказать, как настроить L2TP-туннель (сервер и клиент) на нестандартном порту? Проблема в низкой производительности (hap lite) и отсутствии публичного IP с обеих сторон. Шифрование НЕ требуется, я просто хочу обойти NAT провайдера. Можешь помочь?

Filament

Guest

30.07.2023 18:47:00

Если кто-то попытается сделать это на паре Mikrotik HEX с заводской настройкой файрвола, предупреждаю — нужна дополнительная команда, иначе не заработает. Для клиента Mikrotik нужны две строки (обязательно переместите их в самый верх вкладки «NAT» в окне Firewall):

/ip firewall nat add action=masquerade chain=srcnat out-interface-list=WAN protocol=udp src-port=1701 to-ports=12345
/ip firewall nat add action=dst-nat chain=output dst-port=1701 out-interface-list=WAN protocol=udp to-ports=12345

Для сервера Mikrotik сначала нужна такая строка:
/ip firewall nat add action=dst-nat chain=dstnat dst-port=12345 in-interface-list=WAN protocol=udp to-ports=1701

Но она не заработает, пока не добавите дополнительную строку на сервере (и не переместите её в самый верх вкладки «Filter Rules» в окне Firewall):
/ip firewall filter add action=accept chain=input dst-port=1701 protocol=udp

Всем уважуха.
P.S. 1 августа 2023 я обновил этот пост, главным образом чтобы бороться с этими гнусными провайдерами, которые смотрят ещё на исходный порт и блокируют соединения с исходным UDP-портом 1701!

nichky Guest	#3 0 01.08.2023 04:59:00 Не могу заставить это работать, сервер — это выход, клиент — вход. Готов экспортировать конфигурацию, если кому-то интересно.

sindy

Guest

01.08.2023 07:30:00

Можешь переформулировать эти моменты? Помимо публикации конфигураций клиента и сервера, опиши или нарисуй, чего именно хочешь добиться. Изначальная тема была про то, как заставить RouterOS L2TP сервер слушать на порту отличном от 1701 (для этого нужна только одна dst-nat запись) и про то, как настроить RouterOS L2TP клиент подключаться к L2TP серверу, который слушает на порту, отличном от 1701 (с ROS 6 это было сложно, но с ROS 7, как отметил @Sob в своём посте, это сводится к одной dst-nat записи). Твоя проблема с «не работает» связана с тем же сценарием?

nichky

Guest

01.08.2023 10:05:00

@sindy, братан, может я неправильно понял, но вот моя теория и настройка: топология очень простая — R1 как VPN-сервер, а R2 как VPN-клиент. NAT на R1 выглядит так:
/ip firewall nat add chain=output dst-address=x.x.x.x protocol=udp dst-port=1701 action=dst-nat to-ports=12345

А на R2:
/ip firewall nat add chain=input dst-address=x.x.x.x protocol=udp src-port=12345 action=src-nat to-ports=1701
/interface l2tp-client add connect-to=x.x.y.y:12345 name=l2tp password=password user=user

Имеет ли это смысл, или я совсем неправ?

Filament

Guest

01.08.2023 14:13:00

Я изменил свой пост, чтобы показать одну неприятную реальность (на самом деле мошенничков среди провайдеров гораздо больше, чем вы думаете!). Сейчас всё отлично работает на четырёх Mikrotik, которые я настроил. Некоторые провайдеры — полумошенники: они не полностью блокируют соединения на UDP-порт 1701, но так сильно тормозят скорость, что пользоваться почти невозможно. Если поменять исходный и целевой порты, чтобы избежать 1701, то решаются и проблема блокировки, и проблема торможения!

sindy

Guest

01.08.2023 14:15:00

Вы перепутали логику. Клиент активно инициирует соединение, отправляя пакет запроса серверу, который пассивно слушает и отвечает, если запрос приходит. Поскольку правила NAT применяются только к первому пакету каждого соединения, а последующие пакеты этого соединения обрабатываются так же (или наоборот, для ответных пакетов), чтобы сервер слушал на нестандартном порте «снаружи», нужно создать правило dst-nat на сервере в prerouting (одинаково для ROS 6 и ROS 7). На клиенте, особенно для L2TP, нельзя настроить порт сервера в /interface l2tp-client. Поэтому порт нужно менять позже через файрвол. Поскольку в ROS 6 нельзя делать dst-nat исходящих пакетов или src-nat входящих, там приходится использовать хитрость с «hairpin tunnel», чтобы добиться нужного результата; в ROS 7 добавили возможность делать dst-nat исходящих пакетов в цепочке output (а также src-nat входящих в цепочке input — это не касается ситуации автора, но может пригодиться в других случаях). Если у провайдера автора блокируется UDP-порт 1701 в обе стороны (бывают странные вещи, см. замечание @Filament), тогда на стороне клиента нужен src-nat, потому что по стандарту L2TP и клиент, и сервер используют UDP 1701 в качестве локального порта. Но сервер L2TP лоялен и принимает запросы клиента с любого порта, отвечая именно на этот порт, так что создавать зеркальное правило в входящей цепочке сервера, чтобы «отменить» src-nat на клиенте, не нужно.

nichky Guest	#8 0 01.08.2023 23:17:00 Спасибо, Синди, всё понятно!

Filament Guest	#9 0 02.08.2023 19:39:00 Всем привет! Хотелось бы узнать, имеет ли смысл немного ужесточить правила сервера, чтобы избежать конфликтов с другими невинными приложениями, которые могут использовать порт 12345 (или любой другой, который мы выбрали вместо 1701). Как думаете, такая конфигурация на сервере будет лучше? /ip firewall filter add action=accept chain=input dst-port=1701 protocol=udp /ip firewall address-list add address=xxxxxxxxxxxx.sn.mynetname.net list=myclient /ip firewall nat add action=dst-nat chain=dstnat dst-port=12345 in-interface-list=WAN protocol=udp src-address-list=myclient to-ports=1701 Мне кажется, эти строки ограничат перенаправление порта 12345 только для нашего L2TP клиента. А остальные приложения, использующие этот порт, смогут спокойно работать. Правильно ли я понимаю?

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры