VPN не сработал после теста скорости.

Привет! Я столкнулся с такой же проблемой. VPN-туннель с iPhone на MT отлично работает по L2TP. «Обычный» трафик идет нормально в обе стороны (например, просмотр сайтов, почта, файлообмен). Но если проверить скорость на iPhone, то проявляется эта проблема. Загрузка работает нормально, а как только начинается выгрузка (с iPhone на MT) и идет 1-2 секунды, соединение «падает». Трафика больше нет. Единственное решение — отключить VPN на iPhone и заново подключиться. Похоже, что VPN-туннель где-то застревает. Есть идеи, где искать причину? Спасибо!

После обновления Router OS с версии 7.8 до 7.9 перестал нормально работать site-to-site VPN iKE. Туннель был поднят, но почти никакой скорости через него не было. Поддержка не смогла решить проблему. Решение нашли в этой ветке, большое спасибо! https://saputra.org/threads/mikrotik-fasttrack-with-ipsec.34/ (Копия из оригинальной темы:) Fasttrack — новая функция, появившаяся в RouterOS v6.29, которая позволяет пересылать пакеты так, что они не обрабатываются ядром Linux, что существенно повышает пропускную способность роутера и снижает нагрузку на процессор. Fasttrack пропускает все пакеты со статусом Established или Related мимо ядра и напрямую отправляет их получателю. То есть, как только соединение помечается как установленное или связанное, оно не проходит через файервол и обработку, а сразу направляется адресату. Конечно, соединение получает статус established или related только после прохождения через файервол, так что безопасность остаётся на месте. Но есть известная проблема: Fasttrack не работает с IPsec, из-за чего возникают сбои или очень нестабильные IPsec-соединения. Если у вас есть IPsec-соединения на MikroTik, но хочется пользоваться преимуществами Fasttrack, вот решение для вас!

Я встроил обход fasttrack в свою конфигурацию, но столкнулся с некоторыми проблемами (не уверен, связаны ли они между собой). Иногда состояние PH2 у IPsec-пиров застревает на «ready to send», из-за чего возникают проблемы с загрузкой у VPN-клиентов. Это происходит не постоянно, но мне удалось (пусть и нерегулярно) воспроизвести проблему, используя профили vpn_public и vpn_mgmt. Я заметил, что Sebgva жаловался на проблемы с загрузкой на высокой скорости во время тестов через VPN-соединения: скорость падала до нуля, а потом связь обрывалась. Я твёрдо уверен, что существует связь между состоянием PH2 «established» и успешным прохождением теста скорости. Проблемы с загрузкой возникают именно тогда, когда состояние PH2 остаётся в «ready to send». Config.txt (13.4 KB)

Ты забиваешь туннель, вот в чём дело. Для всего остального просто ничего не остаётся. Сделай тест скорости с ограничением по пропускной способности, оставь не меньше 5% на управляющее соединение (много, но так надёжнее). Потом проверь снова.

Для корректной работы трафика рекомендуется сначала указывать входящий трафик (Input) в правилах фаервола, а уже потом Forward, а не смешивать всё вместе. Порядок правил фаервола важен, потому что они выполняются сверху вниз.

Цепочка INPUT —> На маршрутизатор или сервисы маршрутизатора. Направление потока: WAN → маршрутизатор и LAN → маршрутизатор.  
Цепочка FORWARD —> Через маршрутизатор. Направление потока: LAN → LAN, LAN → WAN, WAN → LAN.  
Цепочка OUTPUT —> От маршрутизатора. Направление потока: маршрутизатор → WAN.

Разрешать порт dns53 во внешний мир через фаервол — очень плохая идея. Мы даём разрешения только локальной LAN.  
Я приведу для вас пример, которым можно уверенно пользоваться и добавлять нужные записи.

```
/ip firewall filter
add action=accept chain=input connection-state=established,related,untracked
add action=drop chain=input connection-state=invalid
add action=accept chain=input protocol=icmp
add action=accept chain=input dst-address=127.0.0.1
add action=accept chain=input comment="WG handshake" dst-port=13232 protocol=udp
add action=accept chain=input comment="admin access" in-interface-list=LAN src-address-list=Authorized
add action=accept chain=input comment="users services" in-interface-list=LAN dst-port=53 protocol=udp
add action=accept chain=input comment="users services" in-interface-list=LAN dst-port=53 protocol=tcp
add action=accept chain=input comment=L2TP dst-port=500,1701,4500 \
   in-interface-list=WAN protocol=udp
add action=accept chain=input comment="IKE IPSec" in-interface-list=WAN \
   protocol=ipsec-esp
add action=drop chain=input comment="drop all else"
add action=accept chain=forward comment="defconf: accept in ipsec policy" \
ipsec-policy=in,ipsec
add action=accept chain=forward comment="defconf: accept out ipsec policy" \
ipsec-policy=out,ipsec
add action=fasttrack-connection chain=forward connection-state=established,related disabled=no hw-offload=yes connection-mark=no-mark
add action=accept chain=forward connection-state=established,related,untracked
add action=drop chain=forward connection-state=invalid
add action=accept chain=forward comment="internet traffic" in-interface-list=LAN out-interface-list=WAN
add action=accept chain=forward comment="Wg to LAN" in-interface=wireguard1 dst-address=192.168.88.0/24
add action=accept chain=forward comment="port forwarding" connection-nat-state=dstnat disabled=yes { enable or remove as required }
add action=drop chain=forward comment="drop all else"
```