http://mikrotik.moscow Новое в теме ikev2 множественный клиент DHCP пул форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Tue, 04 Aug 2026 12:47:52 -0400 ikev2 множественный клиент DHCP пул RouterOS в форуме RouterOS.
+1 за атрибут mode-config RADIUS. С этим атрибутом IKEv2 VPN-сессии можно будет управлять так же, как PPP (атрибут MIKROTIK_GROUP). Конечно, поддержка Filter-Id тоже была бы очень кстати.
13.09.2021 21:08:00, RiFF.]]> http://mikrotik.moscow/forum/forum57/85782-ikev2-mnozhestvennyy-klient-dhcp-pul/message399872 http://mikrotik.moscow/forum/forum57/85782-ikev2-mnozhestvennyy-klient-dhcp-pul/message399872 Mon, 13 Sep 2021 21:08:00 -0400 RouterOS ikev2 множественный клиент DHCP пул RouterOS в форуме RouterOS.
Добрый день. Не подскажете ссылку на документацию, где объясняется, как использовать эти параметры для настройки?
27.04.2021 09:26:00, Aleks1079.]]> http://mikrotik.moscow/forum/forum57/85782-ikev2-mnozhestvennyy-klient-dhcp-pul/message399871 http://mikrotik.moscow/forum/forum57/85782-ikev2-mnozhestvennyy-klient-dhcp-pul/message399871 Tue, 27 Apr 2021 09:26:00 -0400 RouterOS ikev2 множественный клиент DHCP пул RouterOS в форуме RouterOS.
+1 за настройку режима
26.03.2020 07:47:00, h4x.]]> http://mikrotik.moscow/forum/forum57/85782-ikev2-mnozhestvennyy-klient-dhcp-pul/message399870 http://mikrotik.moscow/forum/forum57/85782-ikev2-mnozhestvennyy-klient-dhcp-pul/message399870 Thu, 26 Mar 2020 07:47:00 -0400 RouterOS ikev2 множественный клиент DHCP пул RouterOS в форуме RouterOS.
Filter-Id: тоже важный параметр
23.02.2020 19:24:00, mzahor123.]]> http://mikrotik.moscow/forum/forum57/85782-ikev2-mnozhestvennyy-klient-dhcp-pul/message399869 http://mikrotik.moscow/forum/forum57/85782-ikev2-mnozhestvennyy-klient-dhcp-pul/message399869 Sun, 23 Feb 2020 19:24:00 -0500 RouterOS ikev2 множественный клиент DHCP пул RouterOS в форуме RouterOS.
Режим конфигурации был бы кстати (включает пул адресов и другие настройки). Спасибо службе поддержки за информацию о том, что существуют некоторые radius-атрибуты для ipsec — в документации об этом ничего не было.
14.02.2020 19:49:00, mzahor123.]]> http://mikrotik.moscow/forum/forum57/85782-ikev2-mnozhestvennyy-klient-dhcp-pul/message399868 http://mikrotik.moscow/forum/forum57/85782-ikev2-mnozhestvennyy-klient-dhcp-pul/message399868 Fri, 14 Feb 2020 19:49:00 -0500 RouterOS ikev2 множественный клиент DHCP пул RouterOS в форуме RouterOS.
Могли бы мы получить возможность выбирать mode-config через новый атрибут radius, пожалуйста? И кстати, эти атрибуты ipsec eap-radius где-нибудь нормально задокументированы? https://wiki.mikrotik.com/wiki/Manual:RADIUS_Client даже не упоминает ipsec.
08.02.2020 22:54:00, marcbou.]]> http://mikrotik.moscow/forum/forum57/85782-ikev2-mnozhestvennyy-klient-dhcp-pul/message399867 http://mikrotik.moscow/forum/forum57/85782-ikev2-mnozhestvennyy-klient-dhcp-pul/message399867 Sat, 08 Feb 2020 22:54:00 -0500 RouterOS ikev2 множественный клиент DHCP пул RouterOS в форуме RouterOS.
В настоящее время поддерживаемые атрибуты RADIUS для IKEv2: Framed-IP-Address, Framed-IP-Netmask, Framed-Pool, Framed-Route, Acct-Interim-Interval, Mikrotik-Address-List. Пожалуйста, сообщите, если требуется что-то ещё, что здесь не указано.
06.02.2020 16:23:00, emils.]]> http://mikrotik.moscow/forum/forum57/85782-ikev2-mnozhestvennyy-klient-dhcp-pul/message399866 http://mikrotik.moscow/forum/forum57/85782-ikev2-mnozhestvennyy-klient-dhcp-pul/message399866 Thu, 06 Feb 2020 16:23:00 -0500 RouterOS ikev2 множественный клиент DHCP пул RouterOS в форуме RouterOS.
Поддержка Mikrotik, есть мнения по этой теме? Использовать remote_id как решение для выбора mode_config, на мой взгляд, недостаточно надежно. Уже существует EAP-RADIUS, который можно использовать для аутентификации ike2, так что администратор хочет управлять выбором mode-config со стороны RADIUS, а не на клиенте с помощью remote_id.
06.02.2020 14:42:00, mzahor123.]]> http://mikrotik.moscow/forum/forum57/85782-ikev2-mnozhestvennyy-klient-dhcp-pul/message399865 http://mikrotik.moscow/forum/forum57/85782-ikev2-mnozhestvennyy-klient-dhcp-pul/message399865 Thu, 06 Feb 2020 14:42:00 -0500 RouterOS ikev2 множественный клиент DHCP пул RouterOS в форуме RouterOS.
Это тоже меня уже некоторое время беспокоит. Хотелось бы перевести все L2TP/IPSec соединения на аутентификацию через IKE2, но, похоже, нет никаких RADIUS-атрибутов, которые можно было бы задать для настройки mode-config на IPSec Identity.
04.01.2020 13:25:00, h4x.]]> http://mikrotik.moscow/forum/forum57/85782-ikev2-mnozhestvennyy-klient-dhcp-pul/message399864 http://mikrotik.moscow/forum/forum57/85782-ikev2-mnozhestvennyy-klient-dhcp-pul/message399864 Sat, 04 Jan 2020 13:25:00 -0500 RouterOS ikev2 множественный клиент DHCP пул RouterOS в форуме RouterOS.
Привет! Интересно, как использовать IPSEC eap-radius и несколько групп пользователей с разными сетевыми правами. Radius в этом случае (IPSEC) не работает так, как с AAA или PPP? То есть, когда значения от radius-сервера возвращаются обратно и mikrotik запускает какие-то действия на основе этих значений (https://wiki.mikrotik.com/wiki/Manual:RADIUS_Client#MikroTik_Specific_RADIUS_Attribute_Numeric_Values). Как с PPP, где атрибут MIKROTIK_GROUP меняет группу безопасности в PPP? Remote Id для выбора Mode Config — это, конечно, удобно, но когда сеть основана на Active Directory, администраторы хотят управлять такими вещами именно через Active Directory, а не через VPN-клиент, который может сам менять remote id или передавать его кому-то ещё.
16.10.2019 19:41:00, mzahor123.]]> http://mikrotik.moscow/forum/forum57/85782-ikev2-mnozhestvennyy-klient-dhcp-pul/message399863 http://mikrotik.moscow/forum/forum57/85782-ikev2-mnozhestvennyy-klient-dhcp-pul/message399863 Wed, 16 Oct 2019 19:41:00 -0400 RouterOS ikev2 множественный клиент DHCP пул RouterOS в форуме RouterOS.
Я тестирую эту опцию на версии 6.44, но не могу заставить её работать с интегрированным в Windows клиентом IKEv2. Думаю, реально существуют только два рабочих варианта методов аутентификации для IKEv2 road warriors: rsa signature и eap radius.

Основная проблема rsa signature с клиентами Windows в том, что нужно настроить аутентификацию клиента Windows на использование машинных сертификатов. И тогда клиент выбирает один из них (я не понимаю, как именно он это решает). Пока в хранилище машин сертификатов только один личный сертификат — всё нормально. Если их несколько — появляются проблемы. Ещё одна проблема использования машинных сертификатов на Windows — нельзя задать идентичность сервера. Из-за этого невозможно использовать две разные идентичности с сервером, когда у сервера (у меня) identity задан как fqdn.

Следующее отлично работает с клиентом strongswan на Android. У меня два профиля: один подключается к пулу, заданному одной mode-config, другой — ко второму mode-config.
/ip ipsec identity
add auth-method=rsa-signature certificate=guestvpn.xxxxxx.yy generate-policy=port-strict mode-config=ikev2rw-guests my-id=fqdn:guestvpn.xxxxxx.yy peer=ikev2rw policy-template-group=ikev2rw-guests
add auth-method=rsa-signature certificate=vpn.xxxxxx.yy generate-policy=port-strict mode-config=ikev2rw my-id=fqdn:vpn.xxxxxx.yy peer=ikev2rw policy-template-group=ikev2rw

Но на Windows (при импортированном только одном сертификате в машинное хранилище) я получаю сообщение «IKE authentication credentials are unacceptable». А в логах роутера выскакивает ошибка ipsec — «identity not found for peer: DER DN: mycert.vpn.xxxxxx.yy». Если я отключаю одну идентичность и ставлю my-id в auto, Windows подключается. Если установить my-id отключённой идентичности в auto и попытаться её включить — появляется ошибка "Couldn't change IPsec Identity – a matching identity already exists".

Проблема с использованием RADIUS и множеством идентичностей для меня ещё менее понятна, потому что фактически у вас всего один набор условий для проверки пользователя. Но признаюсь, я не очень опытен в работе с RADIUS, возможно, что-то просто упускаю.
10.03.2019 21:09:00, jozevolf.]]> http://mikrotik.moscow/forum/forum57/85782-ikev2-mnozhestvennyy-klient-dhcp-pul/message399862 http://mikrotik.moscow/forum/forum57/85782-ikev2-mnozhestvennyy-klient-dhcp-pul/message399862 Sun, 10 Mar 2019 21:09:00 -0400 RouterOS ikev2 множественный клиент DHCP пул RouterOS в форуме RouterOS.
+1 за настройку режима
08.10.2020 11:31:00, mzahor123.]]> http://mikrotik.moscow/forum/forum57/85782-ikev2-mnozhestvennyy-klient-dhcp-pul/message399861 http://mikrotik.moscow/forum/forum57/85782-ikev2-mnozhestvennyy-klient-dhcp-pul/message399861 Thu, 08 Oct 2020 11:31:00 -0400 RouterOS ikev2 множественный клиент DHCP пул RouterOS в форуме RouterOS.
+1 за настройку режима
24.08.2020 14:30:00, pliknet.]]> http://mikrotik.moscow/forum/forum57/85782-ikev2-mnozhestvennyy-klient-dhcp-pul/message399860 http://mikrotik.moscow/forum/forum57/85782-ikev2-mnozhestvennyy-klient-dhcp-pul/message399860 Mon, 24 Aug 2020 14:30:00 -0400 RouterOS ikev2 множественный клиент DHCP пул RouterOS в форуме RouterOS.
документация CLI user-man attribute print
27.06.2022 12:02:00, own3r1138.]]> http://mikrotik.moscow/forum/forum57/85782-ikev2-mnozhestvennyy-klient-dhcp-pul/message399859 http://mikrotik.moscow/forum/forum57/85782-ikev2-mnozhestvennyy-klient-dhcp-pul/message399859 Mon, 27 Jun 2022 12:02:00 -0400 RouterOS ikev2 множественный клиент DHCP пул RouterOS в форуме RouterOS.
+1 за настройку режима
27.06.2022 10:51:00, kriszos.]]> http://mikrotik.moscow/forum/forum57/85782-ikev2-mnozhestvennyy-klient-dhcp-pul/message399858 http://mikrotik.moscow/forum/forum57/85782-ikev2-mnozhestvennyy-klient-dhcp-pul/message399858 Mon, 27 Jun 2022 10:51:00 -0400 RouterOS ikev2 множественный клиент DHCP пул RouterOS в форуме RouterOS.
Привет! Я успешно настроил VPN-сервер на Mikrotik с использованием сертификатного IKEv2. Всё отлично работает на моей Linux-машине и Android-телефоне. Теперь мне нужно вывести систему в продуктив с двумя типами клиентов:

- Внутренние офисные пользователи, которые должны иметь доступ ко всей подсети 192.168.100.0/24  
- Внешние пользователи (клиенты), к которым хочу ограничить доступ только к одному внутреннему IP — нашему Windows-серверу: 192.168.100.x

Как посоветуешь поступить? Не могу одновременно создать несколько IKEv2 peer на Mikrotik (думал добавить два peer с разными mode-config и разными dhcp-pool). Определять правила на основе клиентских сертификатов тоже невозможно… В итоге пришёл к идее сделать два разных split tunnel, настроить клиентов на разные split tunnel в фиксированной конфигурации софта и использовать firewall/route для соединения одного split tunnel с другим… но это полный хаос! Может, есть какая-то лучшая идея?
24.12.2018 14:41:00, TheCondor.]]> http://mikrotik.moscow/forum/forum57/85782-ikev2-mnozhestvennyy-klient-dhcp-pul/message399857 http://mikrotik.moscow/forum/forum57/85782-ikev2-mnozhestvennyy-klient-dhcp-pul/message399857 Mon, 24 Dec 2018 14:41:00 -0500 RouterOS