http://mikrotik.moscow Новое в теме 6.30 вопрос по сопоставителю политики ipsec форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Wed, 05 Aug 2026 00:58:02 -0400 6.30 вопрос по сопоставителю политики ipsec RouterOS в форуме RouterOS.
Правда, формулировка сбивает с толку. В мануале описание получше: ipsec-policy (in | out, ipsec | none; По умолчанию: ) Соответствует политике, используемой IpSec. Значение пишется в таком формате: направление, политика. Направление используется для выбора, применять ли политику для декАПсуляции или для капсуляции. in — действует в цепочках PREROUTING, INPUT и FORWARD out — действует в цепочках POSTROUTING, OUTPUT и FORWARD ipsec — совпадает, если пакет обрабатывается IpSec; none — совпадает с пакетом, не обрабатываемым IpSec (например, IpSec транспортный пакет). Например, если маршрутизатор получает IPsec-капсулированный GRE-пакет, то правило ipsec-policy=in,ipsec совпадет с GRE-пакетом, а правило ipsec-policy=in,none — с ESP-пакетом.
07.09.2020 20:00:00, Sob.]]> http://mikrotik.moscow/forum/forum57/87229-6.30-vopros-po-sopostavitelyu-politiki-ipsec/message414881 http://mikrotik.moscow/forum/forum57/87229-6.30-vopros-po-sopostavitelyu-politiki-ipsec/message414881 Mon, 07 Sep 2020 20:00:00 -0400 RouterOS 6.30 вопрос по сопоставителю политики ipsec RouterOS в форуме RouterOS.
2 Sob: Если политики нет, это верно для всех пакетов — none не совпадает с ipsec-policies, даже если они определены.  
2 pe1chl: Я проверил твой пример. Он работает так же, если во втором правиле нет ipsec-policy=in,none:  
add action=accept chain=input-inet comment=L2TP/IPsec dst-port=1701 ipsec-policy=in,ipsec protocol=udp  
add action=reject chain=input-inet comment="L2TP no IPsec" dst-port=1701 log=yes log-prefix=l2tp protocol=udp reject-with=icmp-port-unreachable  
Но если поменять порядок правил, то без ipsec-policy=in,none в первом правиле пример не работает как надо:  
add action=reject chain=input-inet comment="L2TP no IPsec" dst-port=1701 ipsec-policy=in,none log=yes log-prefix=l2tp protocol=udp reject-with=icmp-port-unreachable  
add action=accept chain=input-inet comment=L2TP/IPsec dst-port=1701 ipsec-policy=in,ipsec protocol=udp  

Хмм… MRZ подтвердил в этой теме:  
ipsec-policy=in,none — входящие пакеты, совпадающие с любой политикой до расшифровки  
ipsec-policy=in,ipsec — входящие пакеты, совпадающие с любой политикой после расшифровки  

ipsec-policy=out,none — исходящие пакеты, совпадающие с любой политикой после шифрования  
ipsec-policy=out,ipsec — исходящие пакеты, совпадающие с любой политикой до шифрования  

Это неправильно? Должно быть так:  
ipsec-policy=in,none — любые входящие пакеты, исключая расшифрованные IPsec  
ipsec-policy=in,ipsec — входящие пакеты, совпадающие с любой политикой после расшифровки  

ipsec-policy=out,none — любые исходящие пакеты, исключая расшифрованные IPsec  
ipsec-policy=out,ipsec — исходящие пакеты, совпадающие с любой политикой до шифрования
07.09.2020 19:30:00, ns88ns.]]> http://mikrotik.moscow/forum/forum57/87229-6.30-vopros-po-sopostavitelyu-politiki-ipsec/message414880 http://mikrotik.moscow/forum/forum57/87229-6.30-vopros-po-sopostavitelyu-politiki-ipsec/message414880 Mon, 07 Sep 2020 19:30:00 -0400 RouterOS 6.30 вопрос по сопоставителю политики ipsec RouterOS в форуме RouterOS.
Точно, ipsec-policy=in,none означает, что для пакетов не определена политика IPSec. Если политика отсутствует, это касается всех пакетов.
07.09.2020 16:50:00, Sob.]]> http://mikrotik.moscow/forum/forum57/87229-6.30-vopros-po-sopostavitelyu-politiki-ipsec/message414879 http://mikrotik.moscow/forum/forum57/87229-6.30-vopros-po-sopostavitelyu-politiki-ipsec/message414879 Mon, 07 Sep 2020 16:50:00 -0400 RouterOS 6.30 вопрос по сопоставителю политики ipsec RouterOS в форуме RouterOS.
Это правда (и, думаю, это правильно), что ipsec-policy=in,none подходит для всего трафика, который НЕ защищён IPsec, а ipsec-policy=in,ipsec — для всего трафика, который ЗАЩИЩЁН IPsec. По крайней мере, я всегда так это использовал. Вот как:  
add action=accept chain=input-inet comment=L2TP/IPsec dst-port=1701 ipsec-policy=in,ipsec protocol=udp  
add action=reject chain=input-inet comment="L2TP без IPsec" dst-port=1701 ipsec-policy=in,none log=yes log-prefix=l2tp protocol=udp reject-with=icmp-port-unreachable
07.09.2020 16:48:00, pe1chl.]]> http://mikrotik.moscow/forum/forum57/87229-6.30-vopros-po-sopostavitelyu-politiki-ipsec/message414878 http://mikrotik.moscow/forum/forum57/87229-6.30-vopros-po-sopostavitelyu-politiki-ipsec/message414878 Mon, 07 Sep 2020 16:48:00 -0400 RouterOS 6.30 вопрос по сопоставителю политики ipsec RouterOS в форуме RouterOS.
Похоже, что в версии 6.47 нарушена работа сопоставителя ipsec-policy: ipsec-policy=in,none совпадает со всеми входящими пакетами, даже если никаких ipsec-политик не задано. Пример для воспроизведения: /ip firewall filter add chain=input ipsec-policy=in,none action=log log-prefix="ipsec-policy matched test" — сделайте это правило первым в цепочке и посмотрите журнал — весь входящий трафик будет залогирован. Но ведь сопоставитель должен проверять пакеты на соответствие заданным ipsec-политикам, не так ли? По крайней мере, именно такое поведение заявлено и ожидается. Не могли бы вы проверить и прояснить? Большое спасибо.
07.09.2020 10:04:00, ns88ns.]]> http://mikrotik.moscow/forum/forum57/87229-6.30-vopros-po-sopostavitelyu-politiki-ipsec/message414877 http://mikrotik.moscow/forum/forum57/87229-6.30-vopros-po-sopostavitelyu-politiki-ipsec/message414877 Mon, 07 Sep 2020 10:04:00 -0400 RouterOS 6.30 вопрос по сопоставителю политики ipsec RouterOS в форуме RouterOS.
Привет, ребята! В чем разница между ipsec-policy=in,ipsec и ipsec-policy=in,none? В новой статье в Руководстве это не совсем понятно http://wiki.mikrotik.com/wiki/Manual:IP/IPsec#Allow_Only_Ipsec_Ecapsulated_Traffic. К тому же эти параметры пока не описаны в статье по фаерволу http://wiki.mikrotik.com/wiki/Manual:IP/Firewall/Filter. Спасибо!
09.07.2015 12:04:00, tomaskir.]]> http://mikrotik.moscow/forum/forum57/87229-6.30-vopros-po-sopostavitelyu-politiki-ipsec/message414876 http://mikrotik.moscow/forum/forum57/87229-6.30-vopros-po-sopostavitelyu-politiki-ipsec/message414876 Thu, 09 Jul 2015 12:04:00 -0400 RouterOS