http://mikrotik.moscow Новое в теме IPSec-VPN с динамическим IP форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Tue, 11 Aug 2026 09:06:26 -0400 IPSec-VPN с динамическим IP RouterOS в форуме RouterOS.
Я не разобрался! Получи статические IP-адреса (это всегда лучше) или используй другую систему роутеров.
06.03.2006 07:49:00, mag.]]> http://mikrotik.moscow/forum/forum57/71129-ipsec_vpn-s-dinamicheskim-ip/message283028 http://mikrotik.moscow/forum/forum57/71129-ipsec_vpn-s-dinamicheskim-ip/message283028 Mon, 06 Mar 2006 07:49:00 -0500 RouterOS IPSec-VPN с динамическим IP RouterOS в форуме RouterOS.
Привет, Маг! У меня та же проблема. Как ты её решил? Спасибо!
05.03.2006 23:00:00, viceft.]]> http://mikrotik.moscow/forum/forum57/71129-ipsec_vpn-s-dinamicheskim-ip/message283027 http://mikrotik.moscow/forum/forum57/71129-ipsec_vpn-s-dinamicheskim-ip/message283027 Sun, 05 Mar 2006 23:00:00 -0500 RouterOS IPSec-VPN с динамическим IP RouterOS в форуме RouterOS.
Сделал обе правки: exchange-mode=main и proposal-check=strict. Сейчас проверю с MTU, но раньше с этим никогда проблем не было. Спасибо.
01.03.2006 10:42:00, mag.]]> http://mikrotik.moscow/forum/forum57/71129-ipsec_vpn-s-dinamicheskim-ip/message283026 http://mikrotik.moscow/forum/forum57/71129-ipsec_vpn-s-dinamicheskim-ip/message283026 Wed, 01 Mar 2006 10:42:00 -0500 RouterOS IPSec-VPN с динамическим IP RouterOS в форуме RouterOS.
С этим в основном или в агрессивном режиме? Возможно, это проблема с MTU, и ты теряешь некоторые IKE-пакеты. С уважением, Andrew.
28.02.2006 17:26:00, andrewluck.]]> http://mikrotik.moscow/forum/forum57/71129-ipsec_vpn-s-dinamicheskim-ip/message283025 http://mikrotik.moscow/forum/forum57/71129-ipsec_vpn-s-dinamicheskim-ip/message283025 Tue, 28 Feb 2006 17:26:00 -0500 RouterOS IPSec-VPN с динамическим IP RouterOS в форуме RouterOS.
Спасибо за подсказки, но всё равно не работает. Те же записи в логах. Я немного в замешательстве из-за этой строки в логе: 10:03:57 ipsec,ike,info время ожидания согласования фазы 1 истекло на стороне клиента. Мне кажется, что клиент не получил правильный ответ даже на первом этапе.
28.02.2006 09:03:00, mag.]]> http://mikrotik.moscow/forum/forum57/71129-ipsec_vpn-s-dinamicheskim-ip/message283024 http://mikrotik.moscow/forum/forum57/71129-ipsec_vpn-s-dinamicheskim-ip/message283024 Tue, 28 Feb 2006 09:03:00 -0500 RouterOS IPSec-VPN с динамическим IP RouterOS в форуме RouterOS.
Не думаю, что режим "Агрессивный" поддерживается для этого типа доступа по выделенной линии. Попробуй использовать режим "Основной" вместо этого. Это обычно более безопасный вариант. Можно попробовать изменить проверку предложения с "Следовать" на "Строгая". Не уверен, почему это должно помочь, но я видел, как LastGuru делал это на MUM с неработающим VPN, и всё заработало. С уважением, Andrew.
27.02.2006 11:26:00, andrewluck.]]> http://mikrotik.moscow/forum/forum57/71129-ipsec_vpn-s-dinamicheskim-ip/message283023 http://mikrotik.moscow/forum/forum57/71129-ipsec_vpn-s-dinamicheskim-ip/message283023 Mon, 27 Feb 2006 11:26:00 -0500 RouterOS IPSec-VPN с динамическим IP RouterOS в форуме RouterOS.
Сценарий выглядит так: {10.10.1/24} - (R1) - статический IP - {Internet} - динамический IP - (R2) - {192.168.255/24} R1, R2: Роутер MT-ROS 2.9.14, R1 - VPN-сервер, R2 - VPN-клиент, конфигурация на удалённом сайте (статический IP-адрес) / ip ipsec policy
add src-address=192.168.255.0/24:any dst-address=10.10.1.0/24:any protocol=all action=encrypt level=require \
   ipsec-protocols=esp tunnel=yes sa-src-address=0.0.0.0 sa-dst-address=x.y.8.157 proposal=standard \
   manual-sa=none dont-fragment=clear disabled=no
/ ip ipsec peer
add address=x.y.8.157/32:500 secret="******" generate-policy=no exchange-mode=aggressive \
   send-initial-contact=yes proposal-check=obey hash-algorithm=sha1 enc-algorithm=aes-128 dh-group=modp1024 \
   lifetime=1d lifebytes=0 disabled=no конфигурация на центральном сайте (динамический IP-адрес) / ip ipsec peer
add address=0.0.0.0/0:500 secret="******" generate-policy=yes exchange-mode=aggressive \
   send-initial-contact=no proposal-check=obey hash-algorithm=sha1 enc-algorithm=aes-128 dh-group=modp1024 \
   lifetime=1d lifebytes=0 disabled=no журнал с удалённого роутера (инициирующего VPN): 07:12:40 ipsec,ike,info очередь запроса SA, фаза 1 с пиром 217.91.8.157 будет установлена первой
07:12:40 ipsec,ike,info инициация фазы 1, начало режима Aggressive (local 192.168.255.3:500) (remote
   unknown)
07:12:40 ipsec,info ipsec пакет отброшен: src=192.168.255.3 dst=10.10.1.4
07:12:41 ipsec,ike,info получен ISAKMP пакет от x.y.8.157:500, фаза 1, Aggressive
07:12:41 ipsec,ike,info ISAKMP SA установлен (local 192.168.255.3:500) (remote x.y.8.157:500)
07:12:41 ipsec,info ipsec пакет отброшен: src=192.168.255.3 dst=10.10.1.4
07:12:42 ipsec,info ipsec пакет отброшен: src=192.168.255.3 dst=10.10.1.4
07:12:43 ipsec,info ipsec пакет отброшен: src=192.168.255.3 dst=10.10.1.4
07:13:11 ipsec,ike,info снятие с очереди запроса SA к x.y.8.157, фаза 1 истекла по тайм-ауту журнал с центрального роутера: 07:12:40 ipsec,ike,info получен ISAKMP пакет от 80.131.198.24:500, фаза 1, Aggressive
07:12:40 ipsec,ike,info ответ на фазу 1, начало режима Aggressive (local x.y.8.157:500)
   (remote80.131.198.24:500)
07:12:41 ipsec,ike,info получен ISAKMP пакет от 80.131.198.24:500, фаза 1, Aggressive
07:12:41 ipsec,ike,info ISAKMP SA установлен (local x.y.8.157:500) (remote 80.131.198.24:500) удалённые пиры установлены, но не установлен SA.
27.02.2006 06:24:00, mag.]]> http://mikrotik.moscow/forum/forum57/71129-ipsec_vpn-s-dinamicheskim-ip/message283022 http://mikrotik.moscow/forum/forum57/71129-ipsec_vpn-s-dinamicheskim-ip/message283022 Mon, 27 Feb 2006 06:24:00 -0500 RouterOS IPSec-VPN с динамическим IP RouterOS в форуме RouterOS.
Выкладывайте новые логи IKE, теперь, когда вы исправили исходную проблему. С уважением, Andrew.
26.02.2006 20:29:00, andrewluck.]]> http://mikrotik.moscow/forum/forum57/71129-ipsec_vpn-s-dinamicheskim-ip/message283021 http://mikrotik.moscow/forum/forum57/71129-ipsec_vpn-s-dinamicheskim-ip/message283021 Sun, 26 Feb 2006 20:29:00 -0500 RouterOS IPSec-VPN с динамическим IP RouterOS в форуме RouterOS.
Хм… Я что-то перемудрил с описанием или никто не использует IPSec с динамическими адресами? (Это вполне возможно с помощью многих недорогих роутеров, так что я не поверю, что с MT это сделать нельзя.) Заранее спасибо.
26.02.2006 11:24:00, mag.]]> http://mikrotik.moscow/forum/forum57/71129-ipsec_vpn-s-dinamicheskim-ip/message283020 http://mikrotik.moscow/forum/forum57/71129-ipsec_vpn-s-dinamicheskim-ip/message283020 Sun, 26 Feb 2006 11:24:00 -0500 RouterOS IPSec-VPN с динамическим IP RouterOS в форуме RouterOS.
Большое спасибо. Это решает первую проблему, но я не могу найти эту подсказку нигде в руководстве, инструкции, FAQ и т.д. Может, её стоит добавить… Также невозможно установить netmask адреса партнёра в Winbox, очевидно, это баг. Теперь у меня проблема: IP-трафик не проходит через соединение. Похоже, фаза 2 не устанавливается. Удалённый партнёр (фаза 1) установлен. Я пытаюсь использовать соединение в tunnel-mode, сработает ли это? Поскольку, кажется, на VPN-сервере нет политики и, вероятно, используется default transport-mode. Любой пример работающего IPSec-соединения в tunnel-mode с динамическим IP-адресом с одной стороны был бы очень полезен (конечно, я выложу своё, если заработает . Моя схема выглядит так: {LAN1} - (R1) - статический IP - {Интернет} - dyn. IP - (R2) - {LAN2} R1, R2: MT-ROS 2.9.13 Роутеры, R1 - VPN-сервер, R2 - VPN-клиент.
25.02.2006 08:30:00, mag.]]> http://mikrotik.moscow/forum/forum57/71129-ipsec_vpn-s-dinamicheskim-ip/message283019 http://mikrotik.moscow/forum/forum57/71129-ipsec_vpn-s-dinamicheskim-ip/message283019 Sat, 25 Feb 2006 08:30:00 -0500 RouterOS IPSec-VPN с динамическим IP RouterOS в форуме RouterOS.
0.0.0.0/32 указано неверно. Должно быть 0.0.0.0/0.

С уважением,
Andrew
24.02.2006 18:36:00, andrewluck.]]> http://mikrotik.moscow/forum/forum57/71129-ipsec_vpn-s-dinamicheskim-ip/message283018 http://mikrotik.moscow/forum/forum57/71129-ipsec_vpn-s-dinamicheskim-ip/message283018 Fri, 24 Feb 2006 18:36:00 -0500 RouterOS IPSec-VPN с динамическим IP RouterOS в форуме RouterOS.
Пытаюсь настроить IPSec-туннель между двумя mt-роутерами (ROS 2.9.13). На роутере в центральном офисе есть статический публичный IP-адрес (x.91.97.147), а на роутере в удалённом офисе – динамический публичный адрес. Согласно документации, насколько я понимаю, конфигурация следующая:

центральный офис (y.z.45.51):
`/ ip ipsec peer`
`add address=0.0.0.0/32:500 secret="******" generate-policy=yes exchange-mode=aggressive \`
`    send-initial-contact=no proposal-check=obey hash-algorithm=sha1 enc-algorithm=aes-256 dh-group=modp1024 \`
`    lifetime=1d lifebytes=0 disabled=no`

удалённый офис (y.z.14.51/24):
`/ ip ipsec policy`
`add src-address=y.z.14.0/24:any dst-address=y.z.45.0/24:any protocol=all action=encrypt level=require \`
`    ipsec-protocols=esp tunnel=yes sa-src-address=0.0.0.0 sa-dst-address=x.91.97.147 proposal=default \`
`    manual-sa=none dont-fragment=clear disabled=no`

`/ ip ipsec peer`
`add address=x.91.97.147/32:500 secret="******" generate-policy=no exchange-mode=aggressive \`
`    send-initial-contact=yes proposal-check=obey hash-algorithm=sha1 enc-algorithm=aes-256 dh-group=modp1024 \`
`    lifetime=1d lifebytes=0 disabled=no`

Но пакеты отклоняются. Файл журнала на удалённом офисе:
`10:02:56 ipsec,ike,info queuing SA request, phase 1 with peer 217.91.97.147 will be established first`
`10:02:56 ipsec,ike,info initiating phase 1, starting mode Aggressive (local 84.57.7.20:500) (remote`
`    unknown)`
`10:02:56 ipsec,info ipsec packet discarded: src=53.109.14.51 dst=53.102.45.51`
`10:02:57 ipsec,info ipsec packet discarded: src=53.109.14.51 dst=53.102.45.51`
`10:02:58 ipsec,info ipsec packet discarded: src=53.109.14.51 dst=53.102.45.51`
`10:02:59 ipsec,info ipsec packet discarded: src=53.109.14.51 dst=53.102.45.51`
`10:03:00 ipsec,info ipsec packet discarded: src=53.109.14.51 dst=53.102.45.51`
`10:03:28 ipsec,ike,info dequeuing SA request to 217.91.97.147, phase 1 wait timed out`
`10:03:57 ipsec,ike,info phase 1 negotiation timed out`

и на центральном сайте:
`17:25:11 ipsec,ike,info received ISAKMP packet from 84.57.7.20:500, phase 1, Aggressive`
`17:25:11 ipsec,ike,info peer not configured`
`17:25:21 ipsec,ike,info received ISAKMP packet from 84.57.7.20:500, phase 1, Aggressive`
`17:25:21 ipsec,ike,info peer not configured`
`17:25:31 ipsec,ike,info received ISAKMP packet from 84.57.7.20:500, phase 1, Aggressive`
`17:25:31 ipsec,ike,info peer not configured`

Какие есть подсказки? Правильно ли использовать aggressive mode и установить для роутера в центральном офисе "generate-policy=yes"?
24.02.2006 17:27:00, mag.]]> http://mikrotik.moscow/forum/forum57/71129-ipsec_vpn-s-dinamicheskim-ip/message283017 http://mikrotik.moscow/forum/forum57/71129-ipsec_vpn-s-dinamicheskim-ip/message283017 Fri, 24 Feb 2006 17:27:00 -0500 RouterOS