Mikrotik.moscow [тема: IKEv2 для клиентов macOS с несколькими сетями за туннелем] http://mikrotik.moscow Новое в теме IKEv2 для клиентов macOS с несколькими сетями за туннелем форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Fri, 31 Jul 2026 20:37:15 -0400 IKEv2 для клиентов macOS с несколькими сетями за туннелем IKEv2 для клиентов macOS с несколькими сетями за туннелем RouterOS в форуме RouterOS.
Есть какие-нибудь новости по этому поводу?
12.03.2024 10:39:00, PaDi.]]> http://mikrotik.moscow/forum/forum57/89024-ikev2-dlya-klientov-macos-s-neskolkimi-setyami-za-tunnelem/message432790 http://mikrotik.moscow/forum/forum57/89024-ikev2-dlya-klientov-macos-s-neskolkimi-setyami-za-tunnelem/message432790 Tue, 12 Mar 2024 10:39:00 -0400 RouterOS IKEv2 для клиентов macOS с несколькими сетями за туннелем IKEv2 для клиентов macOS с несколькими сетями за туннелем RouterOS в форуме RouterOS.
Я проверил эту настройку с клиентом StrongSwan на Android — и та же проблема. Работает только первая сеть из split-include. Также тестировал Linux-клиент через NetworkManager с плагином StrongSwan, и снова только первая сеть из split-include работает. Очень хотелось бы ошибаться, но похоже, что проблема в RouterOS — он добавляет динамическую политику только для первой сети в split-include. Я открыл запрос в техподдержку, ссылаясь на эту тему. Надеюсь, получу ответ. Эти тесты проводились на RouterOS v7.12.1, которая на данный момент последняя стабильная версия.
11.12.2023 00:29:00, carragom.]]> http://mikrotik.moscow/forum/forum57/89024-ikev2-dlya-klientov-macos-s-neskolkimi-setyami-za-tunnelem/message432789 http://mikrotik.moscow/forum/forum57/89024-ikev2-dlya-klientov-macos-s-neskolkimi-setyami-za-tunnelem/message432789 Mon, 11 Dec 2023 00:29:00 -0500 RouterOS IKEv2 для клиентов macOS с несколькими сетями за туннелем IKEv2 для клиентов macOS с несколькими сетями за туннелем RouterOS в форуме RouterOS.
С ROSv7 я перешёл с IKEv2 на WireGuard, и мои проблемы с более чем одной подсетью в качестве интересного трафика для VPN-туннеля теперь исчезли. Прости, IKEv2, но WireGuard гораздо универсальнее и проще в настройке и развертывании!
13.08.2022 00:03:00, ksteink.]]> http://mikrotik.moscow/forum/forum57/89024-ikev2-dlya-klientov-macos-s-neskolkimi-setyami-za-tunnelem/message432788 http://mikrotik.moscow/forum/forum57/89024-ikev2-dlya-klientov-macos-s-neskolkimi-setyami-za-tunnelem/message432788 Sat, 13 Aug 2022 00:03:00 -0400 RouterOS IKEv2 для клиентов macOS с несколькими сетями за туннелем IKEv2 для клиентов macOS с несколькими сетями за туннелем RouterOS в форуме RouterOS.
Привет! Есть какие-нибудь новости по этой проблеме? Может быть, в новых версиях (7 и выше) RouterOS это исправили? Или есть какие-то обходные решения?
12.08.2022 05:35:00, timofey.]]> http://mikrotik.moscow/forum/forum57/89024-ikev2-dlya-klientov-macos-s-neskolkimi-setyami-za-tunnelem/message432787 http://mikrotik.moscow/forum/forum57/89024-ikev2-dlya-klientov-macos-s-neskolkimi-setyami-za-tunnelem/message432787 Fri, 12 Aug 2022 05:35:00 -0400 RouterOS IKEv2 для клиентов macOS с несколькими сетями за туннелем IKEv2 для клиентов macOS с несколькими сетями за туннелем RouterOS в форуме RouterOS.
Привет, @carragom, у меня точно такая же ситуация. На Windows 10/11 у меня получаются все маршруты, и политика формируется от 0.0.0.0/0 до любой сети, заданной в «Address Pool» в настройках IPSec Mode Config. Весь трафик идет как положено. Но на MacOS и iOS создаются маршруты для всего, что включено в split include, а шаблон формирует только одну политику — для первой сети из split include. Это точно проблема RouterOS. Я хочу перейти с L2TP/IPSec на туннели IKEv2, но, похоже, мне придется сменить MikroTik, если такой простой кейс не поддерживается. Ты уже обращался в поддержку MikroTik? Спасибо! Gutemberg
10.04.2022 12:54:00, galvesribeiro.]]> http://mikrotik.moscow/forum/forum57/89024-ikev2-dlya-klientov-macos-s-neskolkimi-setyami-za-tunnelem/message432786 http://mikrotik.moscow/forum/forum57/89024-ikev2-dlya-klientov-macos-s-neskolkimi-setyami-za-tunnelem/message432786 Sun, 10 Apr 2022 12:54:00 -0400 RouterOS IKEv2 для клиентов macOS с несколькими сетями за туннелем IKEv2 для клиентов macOS с несколькими сетями за туннелем RouterOS в форуме RouterOS.
Привет! В данный момент я пытаюсь настроить IKEv2 сервер на ROS (6.48.1) для клиентов macOS (Catalina/10.15). Всё работает отлично, но доступна только первая сеть из split-include. Я нашёл несколько сообщений на этом форуме, где винят Apple VPN клиент. Но по моему опыту проблема, скорее всего, не на стороне Apple.

Я думаю, что проблема в динамическом создании политик на стороне Mikrotik. Судя по всему, macOS клиент добавляет маршруты через VPN-интерфейс для каждой сети из split-include, но динамическая политика на роутере охватывает только первую сеть. Вопрос в том: как заставить ROS создавать политику для каждой сети из split-include при подключении клиента?

Вот пример единственной динамической политики, которая создаётся при подключении клиента, как видно, в ней указана только сеть 10.10.9.0/24:

2   DA  peer=roadw tunnel=yes src-address=10.10.9.0/24 src-port=any  
     dst-address=10.10.200.200/32 dst-port=any protocol=all action=encrypt level=unique  
     ipsec-protocols=esp sa-src-address=a.a.a.a sa-dst-address=b.b.b.b  
     proposal=default ph2-count=1

А вот маршруты, которые создаёт macOS для этого подключения, выведенные командой netstat -nrf inet. Как видите, добавлены и 10.10.9.0/24, и 10.10.10.0/24:

default            link#12            UCSI        ipsec0  
10.10.9/24         10.10.200.200      UGSc        ipsec0  
10.10.10/24        10.10.200.200      UGSc        ipsec0  
10.10.200.200      10.10.200.200      UH          ipsec0  

Ниже отредактированный экспорт моей конфигурации ipsec:

/ip address  
add address=a.a.a.a/29 interface=e1  
add address=10.10.9.1/24 interface=bridge.9  
add address=10.10.10.1/24 interface=bridge.10  

/ip pool  
add name=roadw-pool ranges=10.10.200.33-10.10.200.200  

/ip ipsec mode-config  
add address-pool=roadw-pool address-prefix-length=32 name=roadw-config split-dns=example.com split-include=10.10.9.0/24,10.10.10.0/24 static-dns=10.10.10.1 system-dns=no  

/ip ipsec peer  
add comment="RoadWarrior IKEv2" exchange-mode=ike2 local-address=a.a.a.a name=roadw passive=yes send-initial-contact=no  

/ip ipsec policy group  
add name=roadw  

/ip ipsec profile  
set [ find default=yes ] enc-algorithm=aes-256 hash-algorithm=sha256

/ip ipsec proposal  
set [ find default=yes ] auth-algorithms=sha256 enc-algorithms=aes-128-cbc,aes-128-gcm pfs-group=modp2048

/ip ipsec identity  
add auth-method=digital-signature certificate=gw01.example.com generate-policy=port-strict mode-config=roadw-config peer=roadw policy-template-group=roadw  

/ip ipsec policy  
add dst-address=0.0.0.0/0 group=roadw src-address=10.10.9.0/24 template=yes  
add dst-address=0.0.0.0/0 group=roadw src-address=10.10.10.0/24 template=yes  

Заранее спасибо за помощь!
07.04.2021 02:00:00, carragom.]]> http://mikrotik.moscow/forum/forum57/89024-ikev2-dlya-klientov-macos-s-neskolkimi-setyami-za-tunnelem/message432785 http://mikrotik.moscow/forum/forum57/89024-ikev2-dlya-klientov-macos-s-neskolkimi-setyami-za-tunnelem/message432785 Wed, 07 Apr 2021 02:00:00 -0400 RouterOS