Пошук по сайту

Просьба помочь в такой проблеме. Не получается завести новый ipsec на mikrotik к life. Старый работает всё ок. Новый чего-то не хочет то ли я что-то забыл дописать. Вводные те что прислал лайф Метод аутентифікації піру (не може бути змінено) / Pre-shared key Алгоритм шифрування / AES-256 | AES-128 (by default) | 3DES Алгоритм перевірки цілісності даних (Хеш) / SHA-1 (by default) | MD5 DH група / Group 2 (by default) | Group 5 Час існування (сек.) (не може бути змінено) / 86400 Режим встановлення IKE SA (не може бути змінено) / Main В итоге должен пойти пинг на их айпи 212.58.162.209 или 212.58.162.210 - не идёт.

Всем привет! Подскажите плиз, если кто пользует ike2 на микроте. Есть задача дать доступ из локальной сети за микротом к некоему хосту в интернет (назовем его HOST_B используя ipsec тунель к промежуточному хосту (назовем его HOST_A): 192.168.88.0 -> mikrot <---IPSEC---> HOST_A (NAT) -> HOST_B проблема заключается в крайне низкой и плавающей скорости соединения - порядка 0-10kbit/s!!! (меряю iperf3). При этом если я подымаю тот же туннель ipsec непосредственно с хоста в сети 192.168.88.x к хосту HOST_A, то на участке 192.168.88.x -> HOST_B получаю в iperf порядка 30-400Мбит. При этом сам микрот тоже находится за натом. Mikrotik RB2011iL /ip ipsec peer add address=185.112.xx.xx/32 dh-group=modp2048 enc-algorithm=aes-256 exchange-mode=ike2 generate-policy=port-strict hash-algorithm=sha256 mode-config=request-only my-id=\ user-fqdn:mikrotik@xxx.com secret=xxxxxxxxxx /ip ipsec proposal set [ find default=yes ] auth-algorithms=sha256,sha1 enc-algorithms=\ aes-256-cbc,3des pfs-group=none /ip firewall nat add action=accept chain=srcnat dst-address=193.239.xx.xx out-interface=ether1 \ src-address=192.168.88.0/24 add action=masquerade chain=srcnat comment="defconf: masquerade" out-interface=\ ether1 src-address=192.168.88.0/24 [support@MikroTik] > /ip ipsec policy print Flags: T - template, X - disabled, D - dynamic, I - invalid, A - active, * - default 0 T * group=default src-address=::/0 dst-address=::/0 protocol=all proposal=default template=yes 1 DA src-address=192.168.88.0/24 src-port=any dst-address=193.239.xx.xx/32 dst-port=any protocol=all action=encrypt level=unique ipsec-protocols=esp tunnel=yes sa-src-address=10.1.1.188 sa-dst-address=185.112.xx.xx proposal=default ph2-count=1 [support@MikroTik] > /ip ipsec installed-sa print Flags: H - hw-aead, A - AH, E - ESP 0 E spi=0x583B16E src-address=185.112.xx.xx:4500 dst-address=10.1.1.188:4500 state=mature auth-algorithm=sha256 enc-algorithm=aes-cbc enc-key-size=256 auth-key="a1acb58f11eeb94ae37977c6ff1c6faac5a11eb1f49023657176721b8037b40f" enc-key="4b7f463730d24c56fa3185f286a59d16569985acae674b1fa830ef3df76e15d3" addtime=sep/20/2017 13:11:33 expires-in=21m17s add-lifetime=24m20s/30m26s current-bytes=13167 current-packets=104 replay=128 1 E spi=0xCE422F3B src-address=10.1.1.188:4500 dst-address=185.112.xx.xx:4500 state=mature auth-algorithm=sha256 enc-algorithm=aes-cbc enc-key-size=256 auth-key="ce12a6b7b09fa5673eada42d6ded1f0389b4c5aaeba01f47146631af12eb9aa5" enc-key="8b92bcca3b6bde7fc30c93c5c61b227a0decddb02e39c1a1d2dbeb19303052c0" addtime=sep/20/2017 13:11:33 expires-in=21m17s add-lifetime=24m20s/30m26s current-bytes=10081 current-packets=125 replay=128 HOST_A - FreeBSD11 185.112.xx.xx conn ikev2-mikrotik type=tunnel authby=psk rekey=no keyingtries=1 left=%any leftsubnet=193.239.xx.xx leftid=@vpn.xxxxxxx.com rightid=mikrotik@xxxxxxx.com rightsubnet=192.168.88.0/24 auto=start ike=aes256-sha256-modp2048 esp=aes256-sha256-modp2048 fragmentation=yes keyexchange=ikev2 HOST_B - 193.239.xx.xx Прошу прощения за сумбурное описание. Прошу помочь разобраться откуда такая крайне низкая скорость.

Имеем поднятый IKEv2/IPSec серв на микроте, сертификаты норм крутятся на ПК, маршруты работают как положено, НО, появилась надобность в связи с новой удалёнкой запихнуть это всё на смартфоны под управлением A12, где есть поддержка IKEv2/IPSec RSA и PSK. Сертификат на смарт встал, но vpn не подымается, сколько бы я не бил в бубен, перепробованы масса вариков, но логи микрота молчат даже о попытках подключения. Если кто то сталкивался или знает куда копать - HELP!!!

всем привет Ситуация следующая: умер zywall, а вмести с ним и все настройки и часть IPsec. Решил развернуть на Mikrotik, но столкнулся с проблемой. как все выглядит: site-to-site mode tunnel crypto ipsec transform-set np-trans1-vc15-tunnel1 esp-aes esp-sha-hmac security-association lifetime seconds 3600 моя сеть 10.0.0.0/16 мне предоставили ip адрес 172.21.21.21, через который я хожу на другую сторону. моя сеть за натом этого адреса. на той стороне у меня ресурс к которому я подключаюсь 172.31.31.31 и 172.31.31.32. access-list np-ipsec-vc15-tunnel1 line 1 extended permit ip host 172.31.31.31 host 172.21.21.21 access-list np-ipsec-vc15-tunnel1 line 2 extended permit ip host 172.31.31.32 host 172.21.21.21 внешние адреса с моей стороны 212.1.1.1, а удаленной 34.56.78.2 что я делаю: /interface bridge print name="diva-lo" mtu=1500 l2mtu=65535 arp=enabled mac-address=00:00:00:00:00:00 protocol-mode=none priority=0x8000 auto-mac=yes admin-mac=00:00:00:00:00:00 max-message-age=20s forward-delay=15s transmit-hold-count=6 ageing-time=5m /ip ad pri 172.21.21.21/32 172.21.21.21 diva-lo /ip ipsec peer print address=34.56.78.2/32 passive=no port=500 auth-method=pre-shared-key secret="suppersecretkey" generate-policy=no exchange-mode=main send-initial-contact=yes nat-traversal=no proposal-check=obey hash-algorithm=sha1 enc-algorithm=aes-256 dh-group=modp1024 lifetime=1h lifebytes=0 dpd-interval=2m dpd-maximum-failures=5 /ip ipsec policy print src-address=172.21.21.21/32 src-port=any dst-address=172.31.31.31/32 dst-port=any protocol=all action=encrypt level=require ipsec-protocols=esp tunnel=yes sa-src-address=212.1.1.1 sa-dst-address=34.56.78.2 proposal=diva priority=0 src-address=172.21.21.21/32 src-port=any dst-address=172.31.31.32/32 dst-port=any protocol=all action=encrypt level=require ipsec-protocols=esp tunnel=yes sa-src-address=212.1.1.1 sa-dst-address=34.56.78.2 proposal=diva priority=0 /ip ipsec proposal print name="diva" auth-algorithms=sha1 enc-algorithms=aes-256-cbc lifetime=1h pfs-group=modp1024 дальше делаю: ping 172.20.226.142 src-address=172.21.21.21 timeout timeout ... в логе вижу: Estalished, но: /ip ipsec installed-sa print Flags: A - AH, E - ESP, P - pfs 0 E spi=0 src-address=212.1.1.1 dst-address=34.56.78.2 auth-algorithm=none enc-algorithm=none replay=0 state=larval add-lifetime=0s/30s 1 E spi=0x845E8C9 src-address=34.56.78.2 dst-address=212.1.1.1 auth-algorithm=none enc-algorithm=none replay=0 state=larval add-lifetime=0s/30s Смущает auth-algorithm=none enc-algorithm=none, лог не слишком информативен у микротика в ipsec, погуглил - пока не нашел решения.

Продам недорого оборудование маршрутизатор циско isr 2851 256ram 64flash, модульная конструкция, 4 слота для интерфейсных модулей, все слоты поддерживают HWIC, WIC, VIC, или VWIC типы интерфейсных модулей, встроенное аппаратное ускорение шифрования(DES, 3DES, AES 128, AES 192, AES 256), возможность использовать PoE плат, 1 слот - Extension Voice Module Slot, 3 слота на материнской плате для DSP модулей, 2 внутренних слота для AIM модулей 2 GigabitEthernet 2 USB порта 1 AUX порт 1 Console форм-фактор 2U Эксплуатировалась в серверных условиях(на упсах) Все кулеры рабочие(не свистят) Есть уши для крепления. ПО Cisco IOS дает возможность реализации. - протоколов маршрутизации BGP, EIGRP, OSPF, RIPv1, RIPv2 - поддержка IPSec (VPN, DMVPN, GETvpn, Remote VPN, SSL) - создание IP ATC, СallManager Express, SRST - поддержка MPLS и VRF - создание IPS Хороший маршрутизатор для организации телефонии и компьютерных сетей среднего размера. цена 8000грн. телефон O63-48I-l9-O1 ps: за дополнительную плату могу настроить все вышеупомянутые возможности.