+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Использование порта, отличного от 1701, для L2TP

Использование порта, отличного от 1701, для L2TP, RouterOS

ivanperino

Guest

01.06.2009 21:28:00

Скажем так, есть сеть с очень ограниченным количеством открытых портов, всего 22, 21, 80 и, возможно, 8080. Я хочу установить какой-то вид VPN между двумя роутерами. Но, например, при использовании L2TP нет возможности подключить L2TP-сервер на 1701 порту!! Что мне делать, чтобы изменить порт назначения в L2TP-клиенте? dst-nat не вносит никаких изменений в цепочку output или postrouting. Может быть, есть другое решение? Клиентский RouterBoard не имеет публичного IP, находится за NAT и строгим файрволом. Большое спасибо, Иван Перино.

trebew

Guest

31.05.2018 03:23:00

Привет, этот пост очень старый, но мне нужна точно такая же конфигурация. У меня нет публичного IP, мой интернет от маленького местного провайдера, у которого мало публичных IP, и они создают что-то вроде частной сети для своих клиентов, вроде CGNAT, я так думаю. Я поговорил с ними, и они могут открыть для меня несколько портов, но я не могу указать номер порта, так что… мне нужно запустить VPN L2TP/IPSec на других портах, а это возможно?

UnLe

Guest

26.08.2018 06:07:00

Привет, я еще не пробовал это (но точно попробую), но есть хорошее решение для изменения порта DNS, которое может подойти и здесь. Открой эту ссылку и найди сообщение от "Sob", которое основано на идее "Sindy" (им огромная благодарность): viewtopic.php?t=116211. Я сейчас использую это решение для разделения внешних DNS серверов по зонам.

sindy

Guest

26.08.2018 06:49:00

Просто подумай обо всех нюансах инкапсуляции. У тебя есть обычный L2TP (не рекомендуется из-за недостающей безопасности), обычный IPsec (с его очень специфическим подходом к маршрутизации), L2TP, туннелированный внутри IPsec (стандартный вариант), и некоторые люди используют IPsec, туннелированный внутри L2TP. И нужно перенаправлять только порты для внешнего туннеля, потому что межсетевой экран провайдера не может затрагивать пакеты во внутреннем туннеле. Итак: в случае необычной конфигурации, когда IPsec туннелируется через L2TP (или если ты используешь L2TP отдельно), достаточно сделать dst-nat для UDP порта 1701 на выходе обоих клиентов (что требует обходных путей локального туннеля) и на входе сервера. В случае стандартной конфигурации, когда L2TP туннелируется через IPsec, достаточно сделать dst-nat для UDP портов 500 и 4500 на выходе клиентов и на входе сервера. Если ты настраиваешь уровень IPsec вручную, возможно установить альтернативный удаленный порт 500, но не локальный порт 500 и не порт 4500 ни на одной из сторон, так что, вероятно, будет менее запутанно обрабатывать оба порта на обеих сторонах, используя dst-nat. Но здесь есть еще одно предостережение: если случайно как клиент, так и сервер работают на публичных IP-адресах, уровень IPsec выберет обычный ESP в качестве транспорта, и если межсетевой экран провайдера такой строгий, как ты описываешь, пакеты ESP, скорее всего, тоже будут отброшены. Если это так, нужно принудительно использовать src-nat на одной из сторон, чтобы стек IPsec решил туннелировать ESP через UDP на порту 4500.

telecomadmin

Guest

09.04.2023 07:53:00

Используйте 39900 для подключения к L2TP серверу (RouterOS 7.9rc2 Тест пройден) L2TP Сервер /ip firewall nat add action=redirect chain=dstnat dst-port=39900 protocol=udp to-ports=1701 /interface l2tp-server server set enabled=yes /ppp secret add service=l2tp profile=default-encryption name=in1 password=in1 local-address=10.2.0.1 remote-address=10.2.0.2 L2TP Клиент /ip firewall nat add action=src-nat chain=srcnat protocol=udp src-port=1701 to-ports=39900 add action=dst-nat chain=output protocol=udp dst-port=1701 to-ports=39900 /interface l2tp-client add disabled=no name=l2tp-out1 user=in1 password=in1 connect-to=172.16.0.1.

Chupaka Guest	#6 0 12.04.2023 08:46:00 Ранее (RouterOS v6) на маршрутизируемых соединениях не было возможности делать dst-nat. Это изменилось?

israelrmm

Guest

27.06.2025 15:14:00

Я делюсь тем, что сработало для меня. Хочу уточнить, что я протестировал это только на RouterOS V7. Если вы создаете соединение L2TP-CLIENT, как мы знаем, мы не можем напрямую изменить стандартный DST-PORT, который составляет 1701. Допустим, на стороне L2TP-сервера у нас есть машина DEBIAN с сервисом xl2tpd, который слушает на порту 27101 вместо порта 1701. Команды на стороне маршрутизатора MikroTik Client будут следующими: /ip firewall nat add chain=srcnat out-interface-list=WAN protocol=udp src-port=27101 action=src-nat to-ports=1701 comment="WIFITIKET ONLINE VPN" place-before=2; /ip firewall nat add chain=output dst-port=1701 out-interface-list=WAN protocol=udp action=dst-nat to-ports=27101 comment="WIFITIKET ONLINE VPN" place-before=2; /ip firewall nat add chain=dstnat in-interface-list=WAN dst-port=27101 protocol=udp action=dst-nat to-ports=1701 comment="WIFITIKET ONLINE VPN" place-before=2; /ip firewall filter add chain=input dst-port=1701 protocol=udp action=accept comment="WIFITIKET ONLINE VPN" place-before=2;

lurker888 Guest	#8 0 27.06.2025 15:18:00 В версии 7 были добавлены цепочки NAT для ввода/вывода, так что теперь вы можете делать эти вещи. Их нет в официальных диаграммах потока пакетов, но они полностью функциональны.

israelrmm Guest	#9 0 27.06.2025 16:32:00 Как я могу сделать то же самое в V6? Пожалуйста, добавьте любой пример кода.

lurker888 Guest	#10 0 27.06.2025 19:20:00 Эти fw-цепочки недоступны даже в самых последних версиях v6, так что подобное решение, по крайней мере, на сколько мне известно, просто недоступно.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры