Проблема с подключением Windows 7/10 и L2TP

Может, это я неправильно понял? Казалось, я достаточно подробно всё описал, но, видимо, нет... Общая схема такая:

        другой роутер/модем               Mikrotik  
       ,------------,                ,-------------,
etherE |  dst-nat  | etherI    etherW |  dst-nat  |
)---------O  e.e.e.e  O-------------O  i.i.i.i    |
)   e.e.e.e | → i.i.i.i |          i.i.i.i | → e.e.e.e  |
_)            ‘------------’                  |           |
             | |  O br-aux   | |  
             | | e.e.e.e/32 | '-------------'

Другой модем имеет публичный (внешний) адрес e.e.e.e от провайдера. По умолчанию он делает src-nat для всего, что приходит из его LAN (через etherI) на этот адрес, а вы вручную настраиваете dst-nat на адрес из внутренней сети Mikrotik — i.i.i.i. Этот dst-nat срабатывает либо выборочно для UDP порта 500, UDP порта 4500 и ESP, либо как DMZ (демилитаризованная зона, то есть независимо от протоколов и портов). За исключением ESP — это та же схема, что и без всяких хитростей на стороне Mikrotik.

Хитрость в том, что вы создаёте интерфейс-мост с именем br-aux, не подключаете к нему никакие порты и назначаете ему публичный адрес, который внешний роутер получил от провайдера — e.e.e.e/32. По сути, e.e.e.e/32 можно прямо навесить как вторичный адрес на WAN-интерфейс (etherW), но использование br-aux делает всё менее запутанным.

Далее вы настраиваете «обратное» правило dst-nat, которое восстанавливает адрес назначения i.i.i.i пакетов, полученных от внешнего роутера, обратно в e.e.e.e.

Если вы ожидаете, что Mikrotik когда-нибудь будет инициатором соединения, или что внешние инициаторы будут иметь публичные IP без NAT со своей стороны, тогда нужно добавить правила src-nat на Mikrotik, чтобы пакеты с исходным адресом e.e.e.e до выхода через etherW меняли источник на i.i.i.i, иначе внешний роутер эти пакеты отвергнет.

И, наконец, вы указываете IPsec-пиру на Mikrotik использовать адрес e.e.e.e, задаёте его как local-address и как pref-src (предпочтительный источник) в маршруте по умолчанию.

Привет! Я изучал Dirty Nat Trick, чтобы настроить L2TP/IPSec, когда мой VPN (сервер MikroTIk) находится за NAT (роутер провайдера). Пока что у меня не получилось сделать это работать, потому что я не понимаю, когда именно применять правило «Inverse» NAT для входящих пакетов i.i.i.i., чтобы их преобразовать в «Публичный IP адрес» или e.e.e.e. Я уже настроил IP-адрес e.e.e.e/32, связанный с интерфейсом br-aux, но когда хочу создать правило Bridge NAT в цепочке, выбираю dstnat, и дальше у меня ступор. К тому же, когда выбираю опцию (IP) в цепочке, она подсвечивается серым, и я не уверен, как правильно настроить правило Inverse NAT. Я новичок в сетях, но мне понятна сама идея этой хитрой штуковины — очень умно, честно говоря! Спасибо!

Достаточно ограничить правило dst-nat так, чтобы оно срабатывало только на протоколе UDP с портами назначения 500 и 4500, чтобы оно влияло только на входящие подключения IPsec. К тому же, я не понимаю, почему это должно создавать проблемы с доступом по SSH, даже если правило dst-nat не ограничено конкретным протоколом и портом, можешь объяснить?

Я нашёл следующее решение для сервера L2TP/IPSec за NAT: http://woshub.com/l2tp-ipsec-vpn-server-behind/

Ты прав, @sindy. Я не проверял ссылку в оригинальном сообщении. Проблема связана только с Windows. MikroTik, Linux и macOS (да и iOS) такой проблемы не имеют. Влияет ли этот грязный трюк на подключения с других ОС, кроме Windows 7/10? С другой стороны, согласен, что если это вызывает проблемы с SSH, то, возможно, дело в другой настройке (может, неправильное правило dst-nat?).