+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

После обновления с версии 6.49.1 до 7.1 ipsec Site-Site перестал работать.

После обновления с версии 6.49.1 до 7.1 ipsec Site-Site перестал работать., RouterOS

trolrolo

Guest

07.12.2021 12:55:00

Недавно я купил CCR2004 с прошивкой 7.1. Настроил IPsec Site-to-Site туннель по инструкциям с разных сайтов. Туннель установлен между CCR2004 с прошивкой 7.1 и RB3011 с прошивкой 6.49.1, например вот здесь: https://www.informaticar.net/how-to-establish-site-to-site-vpn-with-mikrotik-routers/. Туннель есть, но передачи данных между сайтами нет. Конечно, в NAT есть правило (на первом месте), которое разрешает пакетам с сайтов не проходить через NAT. Я поставил такую же конфигурацию на роутер RB4011 с прошивкой 6.49.1. Туннель между RB4011 (6.49.1) и RB3011 (6.49.1) был установлен, и всё отлично работало, связь между сайтами была нормальной. После обновления RB4011 с 6.49.1 до 7.1 связь перестала работать. Пакеты через IPsec-туннель не передаются. Сам туннель установлен, но пакеты между сайтами не идут... Есть ли что-то особенное, что нужно настроить в прошивке 7.1, или это просто баг прошивки 7.1 (я пробовал 7.1 rc7, проблема осталась). У меня нет доступа к старым версиям 7-й прошивки...

Моя конфигурация IPsec-туннеля простая:

IPSEC Конфигурация для RB4011/CCR2004 v7.1 OS
LAN IP SRC RB4011/CCR2004 v7.1 OS: 192.168.10.1/24
LAN IP RB3011 (Poznan) v6.49.1 OS: 192.168.29.1/24

/ip ipsec profile add dh-group=modp1024 enc-algorithm=3des name=Phase2
/ip ipsec peer add address=111.111.111.22/32 name=Poznan profile=Phase2
/ip ipsec proposal add enc-algorithms=3des lifetime=1h name=Phase1
/ip ipsec identity add peer=Poznan remote-id=ignore secret=PoznanPassword
/ip ipsec add dst-address=192.168.29.0/24 peer=Poznan proposal=Phase1 src-address=192.168.10.0/24 tunnel=yes

IP NAT (в начале правил)
/ip firewall nat add action=accept chain=srcnat dst-address=192.168.10.0/24 src-address=192.168.29.0/24
/ip firewall nat add action=accept chain=srcnat dst-address=192.168.29.0/24 src-address=192.168.10.0/24

bbartlomiej

Guest

21.12.2021 14:29:00

У меня туннель работал, но я столкнулся с огромными потерями пакетов. Wireshark показывал много TCP DUP и повторных передач. После того как я поменял уровень IPSec на WireGuard, всё стало гладко. Сверху у меня GRE-туннель с OSPF. Теперь никаких DUP и повторных передач.

mabooshi

Guest

23.12.2021 21:35:00

Я пару дней назад тестировал версию 7.x, с ней было много проблем, например, с маршрутизацией туннелей и так далее. Серьёзно, советую всем не использовать версию 7.x в боевых условиях, а работать только с стабильными версиями.

Andreywys Guest	#4 0 26.12.2021 19:41:00 trolrolo, попробуй заменить алгоритм 3des на aes-128 cbc.

talavs

Guest

27.12.2021 17:43:00

+1 Подтверждаю эту проблему. IPSEC-туннель и подключения к удалённым компьютерам через RDP работали на версии 6.49.1. После обновления до 7.1 туннель IPSEC устанавливается без ошибок, но доступ к удалённым ресурсам невозможен. Во вкладке «Активные пиры» IPSEC значения Rx Bytes/пакетов равны нулю.

trolrolo Guest	#6 0 28.12.2021 08:46:00 Туннель нормально работает с 3des, шифрование туннеля не должно влиять на маршрутизацию. У меня на другой стороне есть старые роутеры, и мне нужно использовать 3des вместо aes-128.

usego

Guest

29.12.2021 10:01:00

(Нужно перестать экспериментировать с новыми «стабильными» релизами в праздники!) Та же история — туннели работают 5-10 секунд после перезагрузки роутера с версией 7.1.1, а потом перестают. Я «починил» это, выставив Check Gateway = none в маршрутах.

atakacs Guest	#8 0 13.01.2022 16:22:00 Был какой-то результат по этому поводу? Всё ещё примерно та же самая проблема.

temnikiov

Guest

21.01.2022 14:24:00

У нас была такая же проблема на RB1100AHx4 после обновления с v6.49.2 на v7.1.1. IPSec VPN туннель устанавливается нормально, но пакеты не маршрутизировались в туннель. Подключение через RDC к клиентскому хосту перестало работать после обновления. Пришлось откатиться обратно на v6. Во время отката обнаружил несколько багов. Все найденные баги были связаны с отображением полей IP\Firewall\Mangle.

temnikiov

Guest

#10

21.01.2022 14:55:00

Больше подробностей. Мы используем 2 WAN и соответственно имеем несколько настроек IP\Firewall\mangle. При даунгрейде я столкнулся с ошибками в сопоставлении полей. Поля [New] Connection mark и [New] Routing mark заполнялись неправильно. Я даже потерял связь с офисной сетью и пришлось просить коллег помочь. Я пока не готов проверять это на боевом роутере, но предполагаю, что при обновлении с V6 на V7 такая же ошибка с сопоставлением полей. Возможно, именно из-за этого маршрутизация и не работает.

breal

Guest

#11

24.01.2022 18:16:00

Та же проблема и у меня. Сессии http/https не работают. ICMP проходит через туннель. Не могу снова запустить свои hex-s. Откат на версию 6.49 не решил проблему, даже после полной чистой установки с помощью netinstall. Это меня сводит с ума.

Andreywys Guest	#12 0 27.01.2022 14:01:00 IPsec на RB2011 с прошивкой 7.1 работает отлично, а вот эта проблема у меня возникает на CCR.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры