создание сервера l2tp

Я спрашивал о форуме только для VPN, как ты и сказал, эта информация разбросана по всему интернету. Я нашел несколько хороших видео и несколько таких, которые, похоже, просто оправдание, чтобы выложить чей-то личный музыкальный плейлист.

Привет всем, я немного поиграл с сервером L2TP на своем домашнем роутере и заставил VPN-туннель работать. Единственное, что меня немного беспокоит, так это то, что я не вижу никаких срабатываний этого правила файрвола, когда клиенты подключаются: /ip firewall filter add chain=input action=accept protocol=ipsec-esp. Я что-то упускаю, это правило вообще нужно (если да, то в каких ситуациях)? (если это имеет значение - подключающиеся клиенты были на iOS и macOS устройствах с их встроенным VPN-клиентом).

Вы можете установить allow-fast-path здесь, но в этом случае не сможете применять специальные правила брандмауэра к этим пакетам. Возможно, ваше WAN-соединение настолько медленное, что использование fast path не даст реальных преимуществ. Иногда лучше не использовать fast path. Это то, чего я не знал. Здорово! Если хотите, вы также можете использовать фиксированные удаленные IP-адреса вместо пула. /ppp secret add name=user1 password=password1 profile=ipsec_vpn_maybe_your_default remote-address=192.168.5.121 service=l2tp Это дает другой способ создания правил брандмауэра для каждого пользователя (например, фильтрация по фиксированному удаленному IP вместо имени интерфейса). L2TP-сервер в routeros может использовать стандартную конфигурацию ipsec. Это «все или ничего». Это означает, что вы либо используете настройки ipsec по умолчанию и позволяете L2TP-серверу генерировать политики для вас, либо вы можете создать свой ipsec-туннель поверх l2tp вручную. Первое легче настроить, но менее гибко. Второе более гибкое (например, вы можете создавать различные профили/алгоритмы для разных пиров), но для его настройки потребуется больше времени и усилий. Если вы решите использовать стандартный профиль и предложение ipsec, то нужно настроить его так, чтобы каждый клиент l2tp мог его использовать. Есть компромисс: некоторые клиенты не могут использовать самые безопасные алгоритмы, поддерживаемые ROS. Поэтому, прежде чем настраивать предложение/профиль ipsec по умолчанию, вам нужно знать, какие клиенты будут подключаться и какие алгоритмы они поддерживают. Список поддерживаемых алгоритмов здесь: https://wiki.mikrotik.com/wiki/Manual:IP/IPsec#Windows_client_configuration https://wiki.mikrotik.com/wiki/Manual:IP/IPsec#macOS_client_configuration https://wiki.mikrotik.com/wiki/Manual:IP/IPsec#iOS_client_configuration https://wiki.mikrotik.com/wiki/Manual:IP/IPsec#Android_.28strongSwan.29_client_configuration https://wiki.mikrotik.com/wiki/Manual:IP/IPsec#Linux_.28strongSwan.29_client_configuration Например, Windows 10 не поддерживает никакой хеш-алгоритм, кроме SHA1 на второй фазе. Это означает, что если вы не разрешите SHA1 для второй фазы, клиенты Windows 10 не смогут подключиться. Да, L2TP-сервер использует стандартные настройки, и вы не можете это изменить. Если вам действительно нужно тонко настроить параметры ipsec, то нужно отключить ipsec на L2TP-сервере и вручную настроить ipsec (политики, пиры, идентификации, профиль и предложение).

Находится ли ваш L2TP сервер или клиент L2TP за NAT? Когда участник находится за NAT, IPSec использует так называемый "NAT Traversal". Это изменяет ESP-пакеты так, чтобы они выглядели как обычные UDP-пакеты на порту 4500. В результате они могут проходить через NAT-файрволы, которые в противном случае заблокировали бы соединения IPSec-ESP. (ESP-пакеты не имеют понятия "порта", поэтому NAT на них применить невозможно.) Если ваше правило "accept ipsec-esp" не срабатывает, это может быть связано с тем, что эти пакеты приходят как UDP-пакеты на порту 4500, затем декапсулируются в ESP и дальше декапсулируются и расшифровываются. Вы можете найти детали о NAT Traversal здесь: https://en.wikipedia.org/wiki/NAT_traversal. Вы можете проверить, используют ли ваши политики NAT-T следующим образом: "/ip ipsec active-peers print" и посмотрите на флажок "N".