Зависает l2tp подключение

Еще раз добрый день.

Есть vpn подключение к микротику с керио, в один прекрасный момент на микротике отключается интернет и подключение отваливается. Керио в попытках подключиться как то хитро зависает, пишет в статусе интерфейса l2tp "подключение" и висит. И висеть может сутками, пока либо керио не ребутнёшь, либо подключение не пересоздашь. Никто с такими граблями не сталкивался? Как это лечить?

[EnMan]

Если туннель зависает, данные не бегают внутри, но статус "подключен" лечить так:

/tool netwatch
add down-script="/ppp active remove [find name=username]" host=XXX.XXX.XXX.XXX interval=15s

где
username - имя вашего пользователя устанавливающего подключение на microtik
XXX.XXX.XXX.XXX - серый адрес внутри локальной сети за Control

В вашем случае я бы попробовал в момент когда туннель не может создаться - перегрузить именно тик. И если это помогает, то тем же netwatch чистить конекшен тракинг на микротике.

/ip firewall connection tracking
set enabled=no
:delay 3
set enabled=yes
:local message "Contrack cleared"

EnMan,
Я так понимаю, это всё выполнять на miсrotike? Но виснет то подключение со стороны kerio, и микротик можно хоть целиком ребутать - бесполезно, он ни сном ни духом, что к нему кто то пытается подключиться.
Или я чего то не понимаю?

[EnMan]

Если ребут тика не помогает, то я бы начал с дебаг лога и на стороне Control и на стороне Mikrotik

Подниму тему. Столкнулся с такой же ситуацией. Версия Kerio - 9.2.8 build 3061 (пробовал и на 9.26 - одинаково). Тоннель между Kerio и Mikrotik (l2tp). Если на стороне микрота пропадает интернет или просто принудительно дропнуть пару раз сессии, на стороне Керио l2tp клиент виснет в статусе "подключение". Помогает только ребут керио.


Debug в керио выглядит так:

[naliman]

beria, камрад, почитай здесь: [Для просмотра данной ссылки нужно зарегистрироваться]


если вдруг через несколько дней ты не обнаружишь своего сообщения, значит переезд по каким то причинам не состоялся и мы вернулись на прежний хостинг
в этом случае задай вопрос снова

Цитата

Сообщение от beria

Подниму тему. Столкнулся с такой же ситуацией. Версия Kerio - 9.2.8 build 3061 (пробовал и на 9.26 - одинаково). Тоннель между Kerio и Mikrotik (l2tp). Если на стороне микрота пропадает интернет или просто принудительно дропнуть пару раз сессии, на стороне Керио l2tp клиент виснет в статусе "подключение". Помогает только ребут керио.


Debug в керио выглядит так:

Аналогичная фигня. При обрыве сессии l2tp интерфейс залипает в состоянии "connection".
Помогает перезагрузка или пересоздание интерфейса. Вычитал на руборде что человек откатывается на 9.2.1 из-за этого но пока сам не проверял.

[dimajak]

Аналогичная ситуация, зависает L2TP подключение к провайдеру. Может сутки проработать, а может и через 4 часа зависнуть в состоянии "Подключение".
Какой объём оперативной памяти вы выделяете для виртуальной машины с Kerio Control ?

[exchar]

Цитата:

Сообщение от dimajak

зависает L2TP подключение к провайдеру. Может сутки проработать, а может и через 4 часа зависнуть в состоянии "Подключение".

попробуй добавить правило
группа инет-интерфейсов -> фаер, разрешить GRE

Цитата:

Сообщение от dimajak

Какой объём оперативной памяти вы выделяете для виртуальной машины с Kerio Control ?

системные требования к контролу есть на оффсайте керио
я знаю, что они 80% времени там недоступны, но все же!

[dimajak]

Цитата:

Сообщение от exchar

системные требования к контролу есть на оффсайте керио

CPU: 500 MHz, Memory: 2 GB RAM.
Выделено 2048 КБ. Добавил ещё 256 МБ. Буду смотреть.
Провайдер рекомендует перейти от L2TP на PPPoE протокол.
Соглашаться?

[exchar]

Цитата:

Сообщение от dimajak

Провайдер рекомендует перейти от L2TP на PPPoE протокол.
Соглашаться?

как-то с выбором трудно, не находишь? предлагают - попробуй, все равно на текущем работать нормально нельзя.
только правило с входящим gre тоже поставь для PPPoE варианта

Такая же ерунда. Приходится пересоздавать соединение. Правило с GRE не помогло.

[exchar]

пытай провайдера насчет исправности его оборудования
а вообще интересен дамп трафика незадолго до падения
да и журнал debug kerio в помощь, поставь там нужные галки

Вот такое пишет в логах:

[23/Apr/2019 14:45:37] {l2tpd} xl2tpd[6283]: result_code_avp: avp is incorrect size.  8  0)
[23/Apr/2019 14:45:37] {ddial} Line "89.xxx.xxx.xxx" dialing, found static route "avangard" (192.168.1.0/255.255.255.0) for packet from Main 4, proto:TCP, len:52, 192.168.4.9:56252 -> 192.168.1.5:443, flags:[ SYN ], seq:2160218964 ack:0, win:8192, tcplen:0.
[23/Apr/2019 14:45:37] {ddial} Log file for interface ppp121 successfuly created
[23/Apr/2019 14:45:37] {ddial} Ras Dial: '89.xxx.xxx.xxx' resolved as 89.xxx.xxx.xxx
[23/Apr/2019 14:45:37] {vpntunnel} getId() - tunnel ""(client) has id 0
[23/Apr/2019 14:45:38] {vpntunnel} Last message repeated 5 times
[23/Apr/2019 14:45:38] {l2tpd} l2tp state changed: Starting
[23/Apr/2019 14:45:38] {l2tpd} xl2tpd[19327]: IPsec SAref does not work with L2TP kernel mode yet, enabling force userspace=yes
[23/Apr/2019 14:45:38] {l2tpd} xl2tpd[19327]: setsockopt recvref[30]: Protocol not available
[23/Apr/2019 14:45:38] {l2tpd} xl2tpd[19327]: This binary does not support kernel L2TP.
[23/Apr/2019 14:45:38] {l2tpd} xl2tpd[19327]: xl2tpd version xl2tpd-1.3.6 started on control-o PID:19327
[23/Apr/2019 14:45:38] {l2tpd} xl2tpd[19327]: Written by Mark Spencer, Copyright (C) 1998, Adtran, Inc.
[23/Apr/2019 14:45:38] {l2tpd} xl2tpd[19327]: Forked by Scott Balmos and David Stipp, (C) 2001
[23/Apr/2019 14:45:38] {l2tpd} xl2tpd[19327]: Inherited by Jeff McAdams, (C) 2002
[23/Apr/2019 14:45:38] {l2tpd} xl2tpd[19327]: Forked again by Xelerance (www.xelerance.com) (C) 2006
[23/Apr/2019 14:45:38] {l2tpd} xl2tpd[19327]: Listening on IP address 0.0.0.0, port 1701
[23/Apr/2019 14:45:38] {l2tpd} l2tp state changed: Running

Соединяюсь с микротиком в другом офисе.

Сегодня попробую до 9.3 обновиться.

[naliman]

Цитата

Сообщение от Maki

Сегодня попробую до 9.3 обновиться.

там есть фикс, да, попробуйте

[dimajak]

Подали заявку провайдеру на переподключение с L2TP на PPoE. Третьи сутки без зависаний интерфейса. Это что, диверсия со стороны провайдера была?

[exchar]

Цитата:

Сообщение от dimajak

Это что, диверсия со стороны провайдера была?

если ты у себя абсолютно ничего не менял, а оно внезапно исправилось аккурат после звонка в поддержку... ясно, да? КАНЭЧНА, ЭТА СОФПАТЕНИЕ!!!11111

[dimajak]

АПСОЛЮТНА ничего не менял. А зачем, если более десятка лет безупречно работало? Я даже забыл пароль для этого форума.