IPsec туннель между Mikrotik и Kerio Control

[beria]

Цитата

Сообщение от angel919

beria, у вас установилась связь после чего? Когда вы маршрут нарисовали на 4 интерфейс?

Предположительно да. Проблема была такая же (периодически "залипал" интерфейс). Отпустило вроде бы после добавления маршрута через локальный интерфейс (хотя я логики не вижу особо) + ручками политики пересоздал с Unique

[angel919]

Цитата

Сообщение от beria

Предположительно да. Проблема была такая же (периодически "залипал" интерфейс). Отпустило вроде бы после добавления маршрута через локальный интерфейс (хотя я логики не вижу особо) + ручками политики пересоздал с Unique

спасибо буду пробовать, получается после создания политик руками они у вас все задублировались? или вы отключили автоматическую передачу с керио?

[beria]

Цитата

Сообщение от angel919

спасибо буду пробовать, получается после создания политик руками они у вас все задублировались? или вы отключили автоматическую передачу с керио?

да, отключил конечно. Просто пересоздал на основе автоматически созданных (copy)

[RT987]

После организации IPsec туннеля между Mikrotik и Kerio Control все клиенты подключенные к Микротик видят локальную сеть за Керио но в интернет выходят через интернет интерфейс Микротика. Как направить интернет трафик клиентов микротик через VPN IPsec?

[HOG]

Цитата

Сообщение от RT987

Как направить интернет трафик клиентов

очевидно, написать для них определенный маршрут для сети 0.0.0.0/0.0.0.0

[Axizdkr]

чего то мне перестали сообщения приходить на почту, level в policy в unique иначе туннель отпадать будет, инструкция на хабре корявая, к сожалению, по ней не работает всё как надо.

Цитата

Сообщение от angel919

Axizdkr, а сказать никак не?

я так понимаю вкладка action не была заполнена.

[Privet_Andrey]

Добрый день, коллеги.
Никак не могу настроить VPN между Kerio и Mikrotik. Делаю все по мануалу, но в итоге получаю ошибку NO-PROPOSAL-CHOOSEN.
Я догадываюсь что дело в разных настройках proposals на kerio и mikrotik, но решения найти не могу. Делал по совету в [Для просмотра данной ссылки нужно зарегистрироваться] форуме, но это наверное какие-то устаревшие инструкции, потому что файл автоматически перезаписывается назад. Где ещё может настраиваться proposals в Kerio я не нашел... Гугление результатов тоже не дает.
[Для просмотра данной ссылки нужно зарегистрироваться]

Kerio - 8.4.1 build 2731
Winbox- 6.35.1

[Axizdkr]

так у Вас на микротие sa src addres нули, а должен быть адрес микротика - 109.126 итп, тот что Вы в керио указывали в качестве пира.
ну и require опять-таки, меняйте на unique

[angel919]

Всем привет. Настроил mikrotik, тунель поднялся,НО обрывается иногда через час, иногда через 30 минут, время не определенное. Как советовали мне тут, прописать политики вручную, сделал. Политики копировал от ранее автоматически созданных. Когда я эти политики включаю то тунель не подключается. Не могу понять в чем дело прошу помощи!!!!! Скрины со всеми настройками прикладываю.!!!
1 [Для просмотра данной ссылки нужно зарегистрироваться]
2 [Для просмотра данной ссылки нужно зарегистрироваться]
3 [Для просмотра данной ссылки нужно зарегистрироваться]
4 [Для просмотра данной ссылки нужно зарегистрироваться]
5 [Для просмотра данной ссылки нужно зарегистрироваться]

При копировании политик, во вкладке action,SA Src.Address был айпи керио, а в SA dst.address был айпи микротика. Я эти айпи поменял местами, от слов Axizdkr пост выше.

Добавлено через 4 минуты
Будут нужны еще какие скрины приложу!!!!

[Privet_Andrey]

Цитата

Сообщение от Axizdkr

так у Вас на микротие sa src addres нули, а должен быть адрес микротика - 109.126 итп, тот что Вы в керио указывали в качестве пира.
ну и require опять-таки, меняйте на unique

Простите за долгое отсутствие... В больничку загремел

Сделал как Вы написали, но не помогло.
Теперь вот такая ошибка

[Axizdkr]

angel919: кроме галочки nat traversal лишнего ничего не вижу, ну там правило перед маскарадом весёлое, но это рабочий в целом вариант.
Privet_Andrey: проверьте может в настройках peer что-нибудь изменилось, у микротика бывает dh group меняется если настройки менять, ну и судя по галочкам прошивка так себе свежести.
ещё можно попробовать generate policy в port override поставить, всё равно если политики есть он их менять не будет, создаются только отсутствующие политики.

[angel919]

Axizdkr, Блин, по поводу галочки спасибо)))забыл убрать,когда тыкал пальцем в небо)))Щас запустит туннель, приложу скрины, как все в рабочем состоянии выглядит. Может чего увидишь, интересует почему так много подключений идет? Пришла мысль , что для каждой подсети он создает подключение. И все таки когда в ручную прописываю политики соединения нет, щас все автоматом передает. И самое интересное, на керио есть еще одно впн подключение Керио+Керио 8.6. Когда я включаю впн Керио+Микротик, то первый туннель отваливается.
1 [Для просмотра данной ссылки нужно зарегистрироваться]
2 [Для просмотра данной ссылки нужно зарегистрироваться]

[Axizdkr]

c require долго тунель не проработает, любая лажа и он упадёт навсегда.
попробуй скопировать политики, поменять только require на unique и перезагрузить керио.

[Privet_Andrey]

Цитата

Сообщение от Axizdkr

Privet_Andrey: проверьте может в настройках peer что-нибудь изменилось, у микротика бывает dh group меняется если настройки менять, ну и судя по галочкам прошивка так себе свежести.
ещё можно попробовать generate policy в port override поставить, всё равно если политики есть он их менять не будет, создаются только отсутствующие политики.

Огромное спасибо за помощь! По той ошибке ничего не гуглилось, но тыкнув пальцем в небо, и сменив отдаленный ИД на Kerio с %Any на IP адрес Микротика, соединение попыталось установиться, но в итоге Kerio начал писать

Цитата

Ни один из предложенных криптографических пакетов не подходит

а Микротик судя по логам пытается создать политику, после чего пишет

Цитата

No policy template matcing

Если я убираю Generate Policy, то Kerio просто молча пытается подключиться, а микротик в логах выдает

Цитата

Failed to get proposal to responder

Добавлено через 2 часа 14 минут
С проблемой разобрался. Поправил Policy, и VPN поднялся

Добавлено через 3 часа 44 минуты
Xex...
VPN поднялся, но трафик между локальными сетями не ходит. Иду в Kerio, и в свойствах подключения задаю локальную сеть за Kerio вручную. После этого соединение обрывается, и больше не подключается. В логах Микротика

Цитата

No-proposal-choosen

Если ставлю автоматическое определение сетей, то тунель опять поднимается

Добавлено через 4 часа 13 минут
[Для просмотра данной ссылки нужно зарегистрироваться] мои настройки фаервола. Делал по [Для просмотра данной ссылки нужно зарегистрироваться] на хабре. Правда я до конца не понимаю всех правил, возможно что-то и лишнее.
С настройками сети за Kerio ещё не разобрался... Трафик так и не ходит

[angel919]

Axizdkr, сделал, когда убираю галку в керио (использовать автоматически определенные сети) то статус меняется с подключение на отключено. И подключения никакого нет(((((
[Для просмотра данной ссылки нужно зарегистрироваться]
[Для просмотра данной ссылки нужно зарегистрироваться]
[Для просмотра данной ссылки нужно зарегистрироваться]

[Axizdkr]

ну так правильно, надо ставить галку использовать пользовательские и вписать туда все сети ваши, 50 51 0 и 192
50 51 можно заменить на 50/23 и в керио и на микротике.

[Axizdkr]

[Для просмотра данной ссылки нужно зарегистрироваться] - по этому мануалу лучше делать, всё кроме политик, в политиках автор налажал где только мог, но по остальным пунктам у меня нет особых претензий.

[Axizdkr]

Цитата

Сообщение от Privet_Andrey

Иду в Kerio, и в свойствах подключения задаю локальную сеть за Kerio вручную.

в керио надо задавать сеть за микротиком, а не за керио, о сетях которые за керио находятся керио и без Ваших вмешательств знает отлично

[angel919]

Axizdkr, спасибо большое за помощь, теперь ошибка на керио, (ни один из предложенных криптографических пакетов не подходит). Это уже надо на керио файлик ipsec менять, по этой ссылке инструкция, если я не ошибаюсь [Для просмотра данной ссылки нужно зарегистрироваться]
Это похожая проблема Privet_Andrey если я правильно понял.

[Axizdkr]

на керио предустановленные политики ipsec надо просто такие же задать на микротике, посмотрите скрины на 3х последних страницах ни раз выкладывали.
какие именно политики тоже где то можно посмотреть, у меня сейчас керио под рукой нет, я по микротику в основном работаю.