http://mikrotik.moscow Новое в теме L2TP на нестандартном порту или другой тип туннеля форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Sat, 01 Aug 2026 07:40:08 -0400 L2TP на нестандартном порту или другой тип туннеля RouterOS в форуме RouterOS.
Всем привет! Хотелось бы узнать, имеет ли смысл немного ужесточить правила сервера, чтобы избежать конфликтов с другими невинными приложениями, которые могут использовать порт 12345 (или любой другой, который мы выбрали вместо 1701). Как думаете, такая конфигурация на сервере будет лучше?

/ip firewall filter add action=accept chain=input dst-port=1701 protocol=udp  
/ip firewall address-list add address=xxxxxxxxxxxx.sn.mynetname.net list=myclient  
/ip firewall nat add action=dst-nat chain=dstnat dst-port=12345 in-interface-list=WAN protocol=udp src-address-list=myclient to-ports=1701

Мне кажется, эти строки ограничат перенаправление порта 12345 только для нашего L2TP клиента. А остальные приложения, использующие этот порт, смогут спокойно работать. Правильно ли я понимаю?
02.08.2023 19:39:00, Filament.]]> http://mikrotik.moscow/forum/forum57/84115-l2tp-na-nestandartnom-portu-ili-drugoy-tip-tunnelya/message383349 http://mikrotik.moscow/forum/forum57/84115-l2tp-na-nestandartnom-portu-ili-drugoy-tip-tunnelya/message383349 Wed, 02 Aug 2023 19:39:00 -0400 RouterOS L2TP на нестандартном порту или другой тип туннеля RouterOS в форуме RouterOS.
Спасибо, Синди, всё понятно!
01.08.2023 23:17:00, nichky.]]> http://mikrotik.moscow/forum/forum57/84115-l2tp-na-nestandartnom-portu-ili-drugoy-tip-tunnelya/message383348 http://mikrotik.moscow/forum/forum57/84115-l2tp-na-nestandartnom-portu-ili-drugoy-tip-tunnelya/message383348 Tue, 01 Aug 2023 23:17:00 -0400 RouterOS L2TP на нестандартном порту или другой тип туннеля RouterOS в форуме RouterOS.
Вы перепутали логику. Клиент активно инициирует соединение, отправляя пакет запроса серверу, который пассивно слушает и отвечает, если запрос приходит. Поскольку правила NAT применяются только к первому пакету каждого соединения, а последующие пакеты этого соединения обрабатываются так же (или наоборот, для ответных пакетов), чтобы сервер слушал на нестандартном порте «снаружи», нужно создать правило dst-nat на сервере в prerouting (одинаково для ROS 6 и ROS 7). На клиенте, особенно для L2TP, нельзя настроить порт сервера в /interface l2tp-client. Поэтому порт нужно менять позже через файрвол. Поскольку в ROS 6 нельзя делать dst-nat исходящих пакетов или src-nat входящих, там приходится использовать хитрость с «hairpin tunnel», чтобы добиться нужного результата; в ROS 7 добавили возможность делать dst-nat исходящих пакетов в цепочке output (а также src-nat входящих в цепочке input — это не касается ситуации автора, но может пригодиться в других случаях). Если у провайдера автора блокируется UDP-порт 1701 в обе стороны (бывают странные вещи, см. замечание @Filament), тогда на стороне клиента нужен src-nat, потому что по стандарту L2TP и клиент, и сервер используют UDP 1701 в качестве локального порта. Но сервер L2TP лоялен и принимает запросы клиента с любого порта, отвечая именно на этот порт, так что создавать зеркальное правило в входящей цепочке сервера, чтобы «отменить» src-nat на клиенте, не нужно.
01.08.2023 14:15:00, sindy.]]> http://mikrotik.moscow/forum/forum57/84115-l2tp-na-nestandartnom-portu-ili-drugoy-tip-tunnelya/message383347 http://mikrotik.moscow/forum/forum57/84115-l2tp-na-nestandartnom-portu-ili-drugoy-tip-tunnelya/message383347 Tue, 01 Aug 2023 14:15:00 -0400 RouterOS L2TP на нестандартном порту или другой тип туннеля RouterOS в форуме RouterOS.
Я изменил свой пост, чтобы показать одну неприятную реальность (на самом деле мошенничков среди провайдеров гораздо больше, чем вы думаете!). Сейчас всё отлично работает на четырёх Mikrotik, которые я настроил. Некоторые провайдеры — полумошенники: они не полностью блокируют соединения на UDP-порт 1701, но так сильно тормозят скорость, что пользоваться почти невозможно. Если поменять исходный и целевой порты, чтобы избежать 1701, то решаются и проблема блокировки, и проблема торможения!
01.08.2023 14:13:00, Filament.]]> http://mikrotik.moscow/forum/forum57/84115-l2tp-na-nestandartnom-portu-ili-drugoy-tip-tunnelya/message383346 http://mikrotik.moscow/forum/forum57/84115-l2tp-na-nestandartnom-portu-ili-drugoy-tip-tunnelya/message383346 Tue, 01 Aug 2023 14:13:00 -0400 RouterOS L2TP на нестандартном порту или другой тип туннеля RouterOS в форуме RouterOS.
@sindy, братан, может я неправильно понял, но вот моя теория и настройка: топология очень простая — R1 как VPN-сервер, а R2 как VPN-клиент. NAT на R1 выглядит так:  
/ip firewall nat add chain=output dst-address=x.x.x.x protocol=udp dst-port=1701 action=dst-nat to-ports=12345  

А на R2:  
/ip firewall nat add chain=input dst-address=x.x.x.x protocol=udp src-port=12345 action=src-nat to-ports=1701  
/interface l2tp-client add connect-to=x.x.y.y:12345 name=l2tp password=password user=user  

Имеет ли это смысл, или я совсем неправ?
01.08.2023 10:05:00, nichky.]]> http://mikrotik.moscow/forum/forum57/84115-l2tp-na-nestandartnom-portu-ili-drugoy-tip-tunnelya/message383345 http://mikrotik.moscow/forum/forum57/84115-l2tp-na-nestandartnom-portu-ili-drugoy-tip-tunnelya/message383345 Tue, 01 Aug 2023 10:05:00 -0400 RouterOS L2TP на нестандартном порту или другой тип туннеля RouterOS в форуме RouterOS.
Можешь переформулировать эти моменты? Помимо публикации конфигураций клиента и сервера, опиши или нарисуй, чего именно хочешь добиться. Изначальная тема была про то, как заставить RouterOS L2TP сервер слушать на порту отличном от 1701 (для этого нужна только одна dst-nat запись) и про то, как настроить RouterOS L2TP клиент подключаться к L2TP серверу, который слушает на порту, отличном от 1701 (с ROS 6 это было сложно, но с ROS 7, как отметил @Sob в своём посте, это сводится к одной dst-nat записи). Твоя проблема с «не работает» связана с тем же сценарием?
01.08.2023 07:30:00, sindy.]]> http://mikrotik.moscow/forum/forum57/84115-l2tp-na-nestandartnom-portu-ili-drugoy-tip-tunnelya/message383344 http://mikrotik.moscow/forum/forum57/84115-l2tp-na-nestandartnom-portu-ili-drugoy-tip-tunnelya/message383344 Tue, 01 Aug 2023 07:30:00 -0400 RouterOS L2TP на нестандартном порту или другой тип туннеля RouterOS в форуме RouterOS.
Не могу заставить это работать, сервер — это выход, клиент — вход. Готов экспортировать конфигурацию, если кому-то интересно.
01.08.2023 04:59:00, nichky.]]> http://mikrotik.moscow/forum/forum57/84115-l2tp-na-nestandartnom-portu-ili-drugoy-tip-tunnelya/message383343 http://mikrotik.moscow/forum/forum57/84115-l2tp-na-nestandartnom-portu-ili-drugoy-tip-tunnelya/message383343 Tue, 01 Aug 2023 04:59:00 -0400 RouterOS L2TP на нестандартном порту или другой тип туннеля RouterOS в форуме RouterOS.
Если кто-то попытается сделать это на паре Mikrotik HEX с заводской настройкой файрвола, предупреждаю — нужна дополнительная команда, иначе не заработает. Для клиента Mikrotik нужны две строки (обязательно переместите их в самый верх вкладки «NAT» в окне Firewall):

/ip firewall nat add action=masquerade chain=srcnat out-interface-list=WAN protocol=udp src-port=1701 to-ports=12345  
/ip firewall nat add action=dst-nat chain=output dst-port=1701 out-interface-list=WAN protocol=udp to-ports=12345  

Для сервера Mikrotik сначала нужна такая строка:  
/ip firewall nat add action=dst-nat chain=dstnat dst-port=12345 in-interface-list=WAN protocol=udp to-ports=1701  

Но она не заработает, пока не добавите дополнительную строку на сервере (и не переместите её в самый верх вкладки «Filter Rules» в окне Firewall):  
/ip firewall filter add action=accept chain=input dst-port=1701 protocol=udp  

Всем уважуха.  
P.S. 1 августа 2023 я обновил этот пост, главным образом чтобы бороться с этими гнусными провайдерами, которые смотрят ещё на исходный порт и блокируют соединения с исходным UDP-портом 1701!
30.07.2023 18:47:00, Filament.]]> http://mikrotik.moscow/forum/forum57/84115-l2tp-na-nestandartnom-portu-ili-drugoy-tip-tunnelya/message383342 http://mikrotik.moscow/forum/forum57/84115-l2tp-na-nestandartnom-portu-ili-drugoy-tip-tunnelya/message383342 Sun, 30 Jul 2023 18:47:00 -0400 RouterOS L2TP на нестандартном порту или другой тип туннеля RouterOS в форуме RouterOS.
Привет, не мог бы ты подсказать, как настроить L2TP-туннель (сервер и клиент) на нестандартном порту? Проблема в низкой производительности (hap lite) и отсутствии публичного IP с обеих сторон. Шифрование НЕ требуется, я просто хочу обойти NAT провайдера. Можешь помочь?
06.11.2022 09:59:00, th0massin0.]]> http://mikrotik.moscow/forum/forum57/84115-l2tp-na-nestandartnom-portu-ili-drugoy-tip-tunnelya/message383341 http://mikrotik.moscow/forum/forum57/84115-l2tp-na-nestandartnom-portu-ili-drugoy-tip-tunnelya/message383341 Sun, 06 Nov 2022 09:59:00 -0500 RouterOS