+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

NordVPN

NordVPN, RouterOS

WojtusW5 Guest	#1 0 18.04.2019 13:54:00 Привет, эта тема обсуждалась много раз. После недавних изменений в IPSEC MT теперь может подключаться к NordVPN (IKEv2 с EAP). И второй вопрос: кто-то пытался подключить OpenVPN к NordVPN? Спасибо заранее!

eworm Guest	#2 0 18.07.2019 15:00:00 Спасибо за объяснение, emils! Значит, всё-таки нельзя настроить IKEv2 без PFS. Это хорошие новости.

Mizm Guest	#3 0 14.07.2019 14:51:00 можно подтвердить, что повторная инициализация не работает в 6.45.1stable, единственное решение, чтобы не терять соединение — установить PFS Group на: none в предложении IPsec

eworm Guest	#4 0 17.07.2019 11:16:00 Кто-нибудь сообщал о проблеме с перекодировкой PFS в Mikrotik? Есть какие-то новости по этому поводу?

eworm

Guest

23.05.2019 13:09:00

IKEv2 от NordVPN должен работать с последними тестовыми версиями, в которых была добавлена поддержка методов аутентификации EAP. Посмотрите этот пост для деталей: http://forum.mikrotik.com/t/help-with-ikev2-ipsec-client-configuration/112751/1 Я не могу протестировать, так как у меня нет аккаунта NordVPN.

611

Guest

29.05.2019 21:32:00

Подтверждено, что работает с 6.45beta54. Вы можете создать учетную запись с помощью GUI (нужно выбрать любой сертификат в качестве клиентского сертификата, чтобы сохранить запись), а затем изменить метод EAP на MSCHAPv2 в командной строке: set certificate=“” eap-methods=eap-mschapv2. Предложение может быть до auth-algorithms=sha512 enc-algorithms=aes-256-cbc pfs-group=ecp521. Только AES-CBC поддерживается NordVPN.

611 Guest	#7 0 22.06.2019 17:48:00 Phase2 перегенерация ключей не работает, но увеличение срока действия SA до 365 дней в предложении может служить обходным решением.

eworm Guest	#8 0 17.07.2019 11:37:00 Только что включил логи ipsec, чтобы посмотреть, что происходит. Много отладочных сообщений, в том числе: 13:33:33 ipsec получил ошибку: NO_PROPOSAL_CHOSEN Возможно, он не находит свое предложение при обновлении ключей…

emils

Guest

17.07.2019 12:06:00

Нормально оставлять pfs-group на ‘none’ для IKEv2. На самом деле он использует группу из первой фазы (профиля) для создания дочернего SA, если она установлена на ‘none’ и при повторной настройке. В IKEv2 первый дочерний SA создается во время создания IKE SA, что означает, что он также использует ту же группу PFS. И не все реализации поддерживают разные группы PFS между первым дочерним SA и последующими (повторно настроенными) дочерними SA. Даже RFC по IKEv2 не очень четко объясняет, как это должно работать.

eworm

Guest

#10

17.07.2019 12:26:00

С "группой из фазы 1" ты имеешь в виду dh-group? Понял… Однако это может вызвать много путаницы… Выбор "none" выглядит как отключение функции. Имеет ли смысл иметь значения "inherit" или "dh-group" здесь? Наверное, это только добавляет путаницы… Всё еще интересно, почему повторная настройка не дает сбой для моих других ikev2 соединений. И если dh-group и pfs-group одинаковы, отличается ли это от pfs-group=none?

eworm

Guest

#11

17.07.2019 15:21:00

emils, я с этим не согласен. Я установил pfs-group=none для своих личных соединений IKEv2 site-to-site на инициаторе. У этих соединений теперь начинаются проблемы с повторной генерацией ключей. Или мне также нужно установить pfs-group=none на ответчике? Является ли явная и неявная настройка pfs одним и тем же?

emils

Guest

#12

18.07.2019 06:09:00

Между двумя устройствами RouterOS группа PFS должна совпадать с обеих сторон. Нельзя установить «none» с одной стороны и другую группу PFS с другой (независимо от того, соответствует ли она группе, настроенной в меню Profile). Если хотите узнать, как это работает внутренне, я бы рекомендовал почитать IKEv2 RFC (rfc7296) и некоторые документы о статическом шифровании. В основном, PFS генерирует ключ сессии. Если группа PFS установлена на «none», используется тот же ключ (сгенерированный при создании фазы 1) для всех повторных вызовов Child SAs. Когда вы устанавливаете другую группу PFS, новый ключ сессии будет сгенерирован при повторном вызове, и, очевидно, он не совпадет с ключом на другой стороне, что приведет к сбою повторного вызова.

ZeratuLx

Guest

#13

18.07.2019 06:10:00

У меня другая проблема. Подключаясь к Интернету через PPPoE (с серым IP), настроенному через IKEv2 с NordVPN согласно вики, я ввёл нужный локальный IP-адрес в адресный список, пинги проходят через nordvpn, а сайты не открываются. Я пытался настроить это на hap ac (RB962UiGS-5HacT2HnT), я знаю о нехватке блока шифрования в нём. Всё работает через USB модем (но я проверял это на hap ac square).

emils

Guest

#14

18.07.2019 06:19:00

Сначала проверьте, не проходят ли пакеты по технологии FastTrack. Вы можете легко проверить это, взглянув на таблицу соединений в разделе IP Firewall. Если у конкретного соединения установлен флаг “F”, вам нужно либо полностью отключить FastTrack, либо исключить этот трафик из FastTrack. Если FastTrack не является проблемой, возможно, вам придется вручную уменьшить TCP MSS. Вы можете сделать это с помощью опции change-mss в Mangle Firewall (проверьте документацию).

shrekkd Guest	#15 0 06.11.2019 10:45:00 Недавно произошла хакерская атака на NordVPN. Я видел много утечек пользовательских аккаунтов на пастебинах и форумах. Я бы посоветовал пользователям на время отказаться от этого провайдера.

msatter Guest	#16 0 06.11.2019 13:34:00 Информация об этом взломе со стороны NordVPN: https://nordvpn.com/blog/official-response-datacenter-breach/

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры