IPsec туннель между Mikrotik и Kerio Control

[gkozionov]

Цитата:

Сообщение от EnMan

gkozionov, покажи

1. Свойства тунеля на Керио всех закладок
2. /ip ipsec peer export
3. /ip ipsec policy export
4. /ip firewall nat export

Но гонять ipsec через yota затея гиблая...

Затея так себе, да, но.. Шел 2017, а интернет в некоторых офисах все еще бывает чем-то вроде дара богов.

Настройки керио: [Для просмотра данной ссылки нужно зарегистрироваться]

/ip ipsec peer
add address=84.52.68.xxx/32 dh-group=modp2048,modp1536 exchange-mode=main-l2tp \
generate-policy=port-override passive=yes secret=xxxxxxx

/ip ipsec policy
add dst-address=10.102.0.0/16 sa-dst-address=84.52.68.xxx sa-src-address=\
0.0.0.0 src-address=192.168.88.0/24 tunnel=yes

/ip firewall nat
add chain=srcnat dst-address=10.102.0.0/16 log=yes src-address=192.168.88.0/24
add action=masquerade chain=srcnat out-interface=lte1
add action=masquerade chain=srcnat comment="defconf: masquerade" out-interface=\
ether1

[EnMan]

Приведи настройки proposal к такому виду как на картинке. Политику, созданную руками удали, она должна создаться сама после установки соединения. В peers поправь:

add address=84.52.68.xxx/32 compatibility-options=skip-peer-id-validation dh-group=modp2048 dpd-interval=disable-dpd enc-algorithm=aes-128 exchange-mode=main-l2tp generate-policy=port-strict passive=yes secret=XXXXXX

После этого кильни конекты ipsec и дай установиться соединению. Убедись что политика создалась. После этого пинг хост за Керио с микротика с интерфейса бриджа или мастер-порта (я хз как у тебя). Версия RouterOS какая?

И покажи еще трафик-рулы на Керио. И еще... Бляха, ну нельзя такие диапазоны использовать в локальных сетях, ну на хера /16 маска то? Посмотри кстати, на IP адрес LTE модема, может он туда попадает

[gkozionov]

Цитата:

Сообщение от EnMan

Приведи настройки proposal к такому виду как на картинке. Политику, созданную руками удали, она должна создаться сама после установки соединения. В peers поправь:

add address=84.52.68.xxx/32 compatibility-options=skip-peer-id-validation dh-group=modp2048 dpd-interval=disable-dpd enc-algorithm=aes-128 exchange-mode=main-l2tp generate-policy=port-strict passive=yes secret=XXXXXX

После этого кильни конекты ipsec и дай установиться соединению. Убедись что политика создалась. После этого пинг хост за Керио с микротика с интерфейса бриджа или мастер-порта (я хз как у тебя). Версия RouterOS какая?

И покажи еще трафик-рулы на Керио.

Правила трафика: [Для просмотра данной ссылки нужно зарегистрироваться]

RouterOS 6.35.4

Остальное сейчас сделаю, отпишусь

[EnMan]

Цитата

Сообщение от gkozionov

RouterOS 6.35.4

Обновился бы, там в мае кажется были какие то серьезные изменения в части ipsec, реально правильно все начинает работать. Не помню с какой версии

[gkozionov]

Цитата:

Сообщение от EnMan

Обновился бы, там в мае кажется были какие то серьезные изменения в части ipsec, реально правильно все начинает работать. Не помню с какой версии

Все сделал по совету, пока картина та же - пинг ходит в обе стороны. Трасссировка тоже. Но сетки друг друга не видят

Попробую обновиться, может чего и выйдет

[EnMan]

Доступ сможешь дать на тик?

[gkozionov]

Цитата:

Сообщение от EnMan

Доступ сможешь дать на тик?

Да, сейчас в личку сброшу

[EnMan]

В общем мешал фасттрак.

1. Метим ipsec

/ip firewall mangle add action=mark-connection chain=forward comment="Mark IPsec" ipsec-policy=out,ipsec new-connection-mark=ipsec
/ip firewall mangle add action=mark-connection chain=forward comment="Mark IPsec" ipsec-policy=in,ipsec new-connection-mark=ipsec

2. Исключаем его из fasttrack.

/ip firewall filter add action=fasttrack-connection chain=forward comment=FastTrack connection-mark=!ipsec connection-state=established,related

[gkozionov]

В общем, моя проблема решилась исключительно силами EnMan. Откровенно говоря, мне кажется, что он живое подтверждение наличия среди нас представителей внеземных цивилизаций. Минут за 7-10 решил то, что я трое суток копал и толком не понял.

Для потомков: он исключил трафик IPsec из цепочки forward в правиле для fasttrack и все заработало.
Почему так, я еще не знаю, это какая-то особая уличная магия.

[EnMan]

Если очень кратко, то Fast Track позволяет пакетам имеющим статус Established и Related отправляться к цели без обработки ядром Linux, за счет этого увеличивается производительность маршрутизатора, но когда туда попадают пакеты IPSec начинается вот такая эпидерсия. Поэтому если ваш маршрутизатор Mikrotik может использовать Fast Track и вы его используете (что в общем то и нужно делать, если возможность есть) то трафик IPSec необходимо промаркировать и исключить его из правила fasttrack.

Опыт его не пропьешь, епта.

День добрый! И-за фрагментации не получилось подружить Kerio c МТ. Может из-за того что керио за натом. Ну да ладно.

Создал туннель через микротиков и соответственно вижу сети за ними. Но не вижу сеть за прокси-шлюзом керио, котроый находится в одной сети.

Топология

192.168.88.0/24 - ipsec - 192.168.1.0/24 - 192.168.1.2 Шлюз Керио - 192.168.2.0/24

Правила ip firewall nat add chain=srcnat dst-address=192.168.88.0/24 src-address=192.168.2.0/24 и с другой стороны наоборот увы не помогают.

Нашел выход в ip туннеле с ipsec - настроил маршруты - все работает, но как то криво - хочет работает, хочет нет.

Есть ли решение через ipsec туннель?

Друзья, кто может написать понятную инструкцию со скринами по похожую на эту, [Для просмотра данной ссылки нужно зарегистрироваться] где микротик будет не пассивным, а активным? готов заплатить.