[Router OS 7.6] Проблема с сервером OpenVPN

Извините, версия RouterOS, на которой работает сервер openvpn — это RouterOS 7.7, и я использую только openvpn-туннель в режиме TCP. Шифрование, как мне кажется, в порядке, потому что у меня около 50 туннелей работают без проблем.

Вам нужно предоставить больше информации, чтобы кто-то смог вам помочь. В частности, будет полезно, если вы приложите (очищенные) конфигурационные файлы с OpenVPN сервера MikroTik и с MikroTik клиента, у которого возникают проблемы. Также вы упомянули, что используете LTE — вы имеете в виду мобильное/сотовое интернет-соединение? Если да, то на каком конце оно используется?

– Резервные копии — ваши лучшие друзья. Всегда делайте бэкап!
/system backup save encryption=aes-sha256 name=MyBackup

Пожалуйста, экспортируйте и приложите текущую конфигурацию в ваш пост, если хотите получить помощь с настройками:
/export hide-sensitive file=MyConfig

Справедливое замечание. Я всё ещё работаю на ROS 6.48.6 long-term, поэтому не знал, что в MikroTik изменили команду в ROS 7. Тебе нравится моя исправленная подпись? Нужно ли обновить команду для бэкапа тоже?  
Бэкапы — ваши лучшие друзья. Всегда делайте резервную копию!  
/system backup save encryption=aes-sha256 name=MyBackup  
Пожалуйста, экспортируйте и приложите текущую конфигурацию к своему сообщению, если хотите получить помощь с настройками:  
RouterOS v6: /export hide-sensitive file=MyConfig  
RouterOS v7: /export file=MyConfig

[Конфигурация клиента]
/interface bridge  
add name=bridge1  
/interface ethernet  
set [ find default-name=ether2 ] poe-out=off
/interface list  
add name=WAN  
add name=LAN  
/interface lte apn  
set [ find default=yes ] ip-type=ipv4 use-network-apn=no
add apn=ibox.tim.it ip-type=ipv4  
/interface lte  
set [ find default-name=lte1 ] allow-roaming=no apn-profiles=ibox.tim.it band=""
/interface wireless security-profiles  
set [ find default=yes ] supplicant-identity=MikroTik
/interface ovpn-client  
add cipher=aes128-cbc connect-to=xxxxxx.xxxxx.com mac-address=xx:xx:xx:xx:xx:xx max-mtu=1460 name=ovpn-out1 port=10443 profile=default-encryption tls-version=only-1.2 use-peer-dns=no user=user1  
/interface sstp-client  
add authentication=mschap2 connect-to=xxx.xxx.xxx.xxx disabled=no http-proxy=0.0.0.0 name=sstp-out1 pfs=yes profile=default-encryption user=user1 verify-server-certificate=yes  
/routing bgp template  
set default disabled=no output.network=bgp-networks  
/routing ospf instance  
add disabled=no name=default-v2  
/routing ospf area  
add disabled=yes instance=default-v2 name=backbone-v2  
/interface bridge port  
add bridge=bridge1 ingress-filtering=no interface=ether1  
add bridge=bridge1 ingress-filtering=no interface=ether2  
/ip neighbor discovery-settings  
set discover-interface-list=!dynamic  
/ip settings  
set max-neighbor-entries=8192  
/ipv6 settings  
set disable-ipv6=yes max-neighbor-entries=8192  
/interface list member  
add interface=lte1 list=WAN  
add interface=bridge1 list=LAN  
/interface ovpn-server server  
set auth=sha1,md5  
/ip address  
add address=192.168.1.1/24 interface=bridge1 network=192.168.1.0  
/ip firewall filter  
add action=accept chain=input disabled=yes in-interface=ovpn-out1  
add action=accept chain=input in-interface=sstp-out1  
add action=accept chain=input in-interface=ovpn-out1  
add action=accept chain=input in-interface=bridge1  
add action=accept chain=input connection-state=established,related in-interface=lte1  
add action=drop chain=input  
/ip firewall nat  
add action=dst-nat chain=dstnat dst-port=8080 in-interface=sstp-out1 protocol=tcp to-addresses=192.168.1.2 to-ports=80  
add action=dst-nat chain=dstnat dst-port=18000 in-interface=sstp-out1 protocol=tcp to-addresses=192.168.1.2 to-ports=18000  
add action=dst-nat chain=dstnat dst-port=18000 in-interface=ovpn-out1 protocol=tcp to-addresses=192.168.1.2 to-ports=18000  
add action=dst-nat chain=dstnat dst-port=21 in-interface=sstp-out1 protocol=tcp to-addresses=192.168.1.3 to-ports=21  
add action=dst-nat chain=dstnat dst-port=80 in-interface=sstp-out1 protocol=tcp to-addresses=192.168.1.3 to-ports=80  
add action=dst-nat chain=dstnat dst-port=4000 in-interface=sstp-out1 protocol=tcp to-addresses=192.168.1.3 to-ports=4000  
add action=dst-nat chain=dstnat dst-port=8000 in-interface=sstp-out1 protocol=tcp to-addresses=192.168.1.3 to-ports=8000  
add action=dst-nat chain=dstnat dst-port=88 in-interface=sstp-out1 protocol=tcp to-addresses=192.168.1.4 to-ports=80  
add action=dst-nat chain=dstnat dst-port=9000 in-interface=sstp-out1 protocol=tcp to-addresses=192.168.1.4 to-ports=9000  
add action=masquerade chain=srcnat  
/ip route  
add disabled=no dst-address=172.18.0.0/24 gateway=sstp-out1  
/ip service  
set telnet disabled=yes  
set ftp disabled=yes  
set www disabled=yes  
set ssh disabled=yes  
set api disabled=yes  
set api-ssl disabled=yes  
/system clock  
set time-zone-name=Europe/Rome  
/system identity  
set name="USER1"  
/tool sms  
set port=lte1  

[КОНФИГУРАЦИЯ СЕРВЕРА]
/interface ethernet  
set [ find default-name=ether1 ] disable-running-check=no
set [ find default-name=ether2 ] disable-running-check=no
/disk  
set slot1-part1 parent=slot1 partition-offset="1 048 576" partition-size="4 292 870 144"  
/interface wireless security-profiles  
set [ find default=yes ] supplicant-identity=MikroTik
/port  
set 0 name=serial0  
set 1 name=serial1  
/ppp profile  
set *FFFFFFFE idle-timeout=1m only-one=no use-encryption=required use-ipv6=no  
/interface ovpn-server server  
set auth=sha1 certificate=cert.crt cipher=aes128,aes256 default-profile=default-encryption enabled=yes keepalive-timeout=10 port=10443 tls-version=only-1.2  
/ip dhcp-client  
add interface=ether1  
add interface=ether2  
/ip firewall nat  
add action=dst-nat chain=dstnat dst-port=22 in-interface=ether1 protocol=tcp to-addresses=10.0.1.4 to-ports=22  
add action=dst-nat chain=dstnat dst-port=18000 in-interface=ether1 protocol=tcp to-addresses=10.0.1.4 to-ports=18000  
add action=dst-nat chain=dstnat dst-port=80 in-interface=ether1 protocol=tcp to-addresses=10.0.1.4 to-ports=80  
add action=masquerade chain=srcnat src-address=10.0.1.0/24  
/ip service  
set telnet disabled=yes  
set ftp disabled=yes  
set www disabled=yes  
set ssh disabled=yes  
set www-ssl certificate=cert.crt disabled=no tls-version=only-1.2  
set api disabled=yes  
set api-ssl disabled=yes  
/ppp secret  
add local-address=172.19.0.1 name=user1 profile=default-encryption remote-address=172.19.0.42 service=ovpn  
add local-address=172.19.0.1 name=user2 profile=default-encryption remote-address=172.19.0.43 service=ovpn  
add local-address=172.19.0.1 name=user3 profile=default-encryption remote-address=172.19.0.44 service=ovpn  
/system clock  
set time-zone-name=Europe/Amsterdam  
/system identity  
set name=Mikrotik-GW  
/system ntp client  
set enabled=yes  
/system ntp client servers  
add address=0.pool.ntp.org  

Учтите, что клиент подключен одновременно к двум разным VPN-серверам (один использует протокол SSTP, другой — OVPN). Все работает корректно, но очень часто соединение с сервером OVPN пропадает. Когда оно пропадает, я заметил следующее: проверяя логи, я не вижу попыток переподключения — кажется, что клиент вообще не пытается восстановить связь. Если посмотреть интерфейс ovpn-out1, там нет статуса “R” (RUNNING), и у интерфейса нет IP-адреса. При этом статус соединения показывает “Connection established”. Чтобы перезапустить туннель, приходится вручную отключать и заново включать интерфейс ovpn-out1.

На самом деле, я попробовал использовать эту команду в RouterOS 7.9, и она всё ещё работает, выдавая точно такой же результат, как при просто использовании: /export file=MyConfig. Думаю, что она не документирована (не появляется при вводе табуляции для просмотра доступных команд) и запланирована к удалению в будущих версиях RouterOS.

Большое спасибо. Теперь я настроил тайм-аут простоя на стороне клиента. Я буду наблюдать за этим и сообщу вам результаты.

Ничего не поделаешь. Прикладываю ещё один скриншот пользователя “amur”. Как видишь, когда возникает проблема, интерфейс ovpn-out1 не пытается переподключиться к openvpn-серверу и остаётся в режиме НЕЗАРЕГИСТРИРОВАН (рис. 1) без IP-адреса, но если посмотреть детали, там указано «link established» (рис. 2). В логах записей, связанных с ovpn, нет, но если вручную отключить и снова включить интерфейс, он сразу же переподключается к серверу (рис. 3).

К сожалению, нет. Пока MikroTik не добавит возможность для клиента автоматически переподключаться и для сервера автоматически удалять неудавшиеся или мёртвые соединения, думаю, единственным способом решить вашу проблему останутся скрипты. Если у кого-то есть другие идеи, пожалуйста, дайте знать нам или мне. – Резервные копии — ваши лучшие помощники. Всегда делайте бэкап! /system backup save encryption=aes-sha256 name=MyBackup Пожалуйста, экспортируйте и прикрепите текущую конфигурацию к своему сообщению, если хотите получить помощь с настройками: /export hide-sensitive file=MyConfig /export file=MyConfig

Но я думаю… Может быть, это какие-то проблемы, связанные с отслеживанием IP-соединений, например, различные тайм-ауты TCP или «свободное» отслеживание TCP? Возможно ли, что если это баг (я видел много похожих проблем на этом форуме), то Mikrotik его так и не исправил?