http://mikrotik.moscow Новое в теме Используйте конкретный IP в внутренней сети через L2TP. форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Fri, 31 Jul 2026 13:42:24 -0400 Используйте конкретный IP в внутренней сети через L2TP. RouterOS в форуме RouterOS.
Привет, спасибо за помощь. Я выяснил, в чем была проблема, во многом благодаря нашему разговору. Proxy-ARP действительно должен быть включён на root-bridge, но «проблема» была в том, что все руководства логично предполагают базовые настройки. Однако у меня ещё был VLAN-интерфейс в цепочке, где тоже нужно было включить proxy-ARP (VLAN находится в той же подсети, что и адреса, которые я назначал для L2TP). Ещё раз спасибо!
01.07.2024 10:17:00, Rohllik28.]]> http://mikrotik.moscow/forum/forum57/85417-ispolzuyte-konkretnyy-ip-v-vnutrenney-seti-cherez-l2tp./message396205 http://mikrotik.moscow/forum/forum57/85417-ispolzuyte-konkretnyy-ip-v-vnutrenney-seti-cherez-l2tp./message396205 Mon, 01 Jul 2024 10:17:00 -0400 RouterOS Используйте конкретный IP в внутренней сети через L2TP. RouterOS в форуме RouterOS.
Если клиент подключается через IP / VPN уровня 3 и его адрес попадает в подсеть, используемую в локальной Ethernet / сети уровня 2, требуется использование proxy-ARP. Обратите внимание, что название L2TP может вводить в заблуждение — оно относится к туннелированию PPP-пакетов на уровне 2, а не к самим IP-данным клиента.
22.05.2024 11:26:00, tdw.]]> http://mikrotik.moscow/forum/forum57/85417-ispolzuyte-konkretnyy-ip-v-vnutrenney-seti-cherez-l2tp./message396204 http://mikrotik.moscow/forum/forum57/85417-ispolzuyte-konkretnyy-ip-v-vnutrenney-seti-cherez-l2tp./message396204 Wed, 22 May 2024 11:26:00 -0400 RouterOS Используйте конкретный IP в внутренней сети через L2TP. RouterOS в форуме RouterOS.
Уф, спасибо за объяснение, это настоящий уровень мастерства Wireshark. Теперь, оставив анализ трафика в стороне и вернувшись к исходной проблеме и её решению, не могли бы кто-нибудь объяснить, почему соединение работает как надо только тогда, когда пул IP-адресов L2TP полностью выходит за пределы моего внутреннего диапазона сети? И вообще, считается ли это лучшей практикой? Я нашёл кучу руководств по настройке: в одних используют подсеть внутри остальной сети, в других — совершенно другую. Проблема в том, что на самом деле оба варианта работают, но не под мои конкретные требования. Спасибо!
22.05.2024 10:07:00, Rohllik28.]]> http://mikrotik.moscow/forum/forum57/85417-ispolzuyte-konkretnyy-ip-v-vnutrenney-seti-cherez-l2tp./message396203 http://mikrotik.moscow/forum/forum57/85417-ispolzuyte-konkretnyy-ip-v-vnutrenney-seti-cherez-l2tp./message396203 Wed, 22 May 2024 10:07:00 -0400 RouterOS Используйте конкретный IP в внутренней сети через L2TP. RouterOS в форуме RouterOS.
Многое из вывода Wireshark может сбивать с толку, пока не разберёшься, как он работает «под капотом». Сниффер пакетов на роутере использует старый формат PCAP, а не более современный PCAPNG, поэтому в файле нет информации о том, на каком интерфейсе был захвачен конкретный пакет или кадр. Кроме того, если ваш L2TP-трафик шифруется с помощью IPsec и в самих PPP-транспортных пакетах нет MPPE (а это правильный подход, ведь при наличии IPsec нет смысла применять слабое MPPE), Wireshark может анализировать PPP-транспортные пакеты вплоть до полезной нагрузки. Поскольку в списке пакетов он показывает самый внутренний протокол, то отображает открытые PPP-транспортные пакеты как TCP, и передаёт их обработку TCP-диссекторам так же, как любые другие TCP-пакеты. Чтобы запутать ситуацию ещё больше, если вы сниффите на интерфейсе, через который проходят IPsec-транспортные пакеты, в сниффе появляется их открытая версия полезной нагрузки; при этом в обратном направлении такого нет — открытые пакеты, IPsec-зашифрованные версии которых уходят через этот же интерфейс, не отображаются. Ещё важно, что TCP-диссектор Wireshark вообще не обращает внимания на ID интерфейса, даже если он есть, а ориентируется только на IP-адреса и номера портов при сопоставлении пакета с конкретной TCP-сессией. Поэтому, если в файле захвата есть несколько копий одного и того же пакета, снятых на разных интерфейсах, он воспринимает вторую и последующие как повторные передачи первого.
12.05.2024 08:25:00, sindy.]]> http://mikrotik.moscow/forum/forum57/85417-ispolzuyte-konkretnyy-ip-v-vnutrenney-seti-cherez-l2tp./message396202 http://mikrotik.moscow/forum/forum57/85417-ispolzuyte-konkretnyy-ip-v-vnutrenney-seti-cherez-l2tp./message396202 Sun, 12 May 2024 08:25:00 -0400 RouterOS Используйте конкретный IP в внутренней сети через L2TP. RouterOS в форуме RouterOS.
Спасибо за ответ, LdB. Я не до конца понял, что ты имел в виду. Мне казалось, что нужно добавить в правила маскарадинга, чтобы IP-адреса из списка, совпадающего с пулом для адресов L2TP, не транслировались. Я так сделал, но, к сожалению, безуспешно. Вторую часть про «обратное для ВМ» я вообще не понял.

Тем не менее, мне удалось добиться нужного результата. Я создал новый PPP-профиль и в нём задал пул удалённых адресов в другом диапазоне, отличном от внутренней сети (которая у меня на VLAN, если это важно). Теперь я могу подключаться к ВМ без того, чтобы в правилах входящего трафика был разрешён доступ к роутеру.

В итоге работает, но мне хотелось бы понять, почему изначально это не сработало — исправлять что-то, не понимая как, на будущее бесполезно. В Wireshark я увидел, что ACK-ы дублировались: один ACK шёл с адреса интерфейса L2TP, другой — с роутера. Потом были какие-то странные ретрансляции, и в итоге соединение установилось через роутер. Что это значит?

Это было записано при активном правиле loopback. Второй захват Wireshark — без loopback, там пакеты просто ретранслировались или отбрасывались. Я подозревал, что проблема связана с MTU или MSS, так как в IP-заголовке стояла опция «не фрагментировать», но дело оказалось не в этом. Также заметил появление VLAN-заголовков, хотя их там не должно быть, да?

Обе записи сделаны с помощью сниффера пакетов на роутере, а не на конечном устройстве.
09.05.2024 07:27:00, Rohllik28.]]> http://mikrotik.moscow/forum/forum57/85417-ispolzuyte-konkretnyy-ip-v-vnutrenney-seti-cherez-l2tp./message396201 http://mikrotik.moscow/forum/forum57/85417-ispolzuyte-konkretnyy-ip-v-vnutrenney-seti-cherez-l2tp./message396201 Thu, 09 May 2024 07:27:00 -0400 RouterOS Используйте конкретный IP в внутренней сети через L2TP. RouterOS в форуме RouterOS.
Привет, я настраиваю брандмауэр Windows на виртуальных машинах и, среди прочего, ограничиваю диапазон адресов, которые могут подключаться по RDP. Столкнулся с проблемой: при использовании L2TP я не могу подключиться к ВМ, если не добавить IP-адрес самого роутера в разрешённый диапазон, хотя в секретах указан конкретный адрес для L2TP. Создаётся ощущение, что я подключаюсь к RDP через L2TP не из внутренней сети, а как будто снаружи. В чём тут причина?
18.04.2024 14:36:00, Rohllik28.]]> http://mikrotik.moscow/forum/forum57/85417-ispolzuyte-konkretnyy-ip-v-vnutrenney-seti-cherez-l2tp./message396200 http://mikrotik.moscow/forum/forum57/85417-ispolzuyte-konkretnyy-ip-v-vnutrenney-seti-cherez-l2tp./message396200 Thu, 18 Apr 2024 14:36:00 -0400 RouterOS