Zdravím vás,
předně bych chtěl říct že jsem zatím začátečník. Snažím se spojit 2 mikrotiky (chata, RD) jako klienty s hlavním mikrotikem - serverem na firmě. Použil jsem L2TP VPN bez IPSec a vše chodilo jak mělo. Klient z chaty (10.0.2.0/24 - user2) se připojuje pomocí LTE modemu, kde mám i skript který hlídá ping na google, takže když spadle připojení, provede se restart. Hlavní mikrotik má veřejnou IP adresu, je za ADSL modemem a je v DMZ zóně. Další mikrotik z rodiného domu (10.0.1.0/24 - user1)se připojuje také jako klient L2TP. Veškeré problémy začaly ale když jsem připojoval iphone do vpn. Narazil jsem na to, že apple nepodporoval L2TP bez sdíleného klíče. Protože jsem na to neusále nemohl přijít, nastavil jsem na telefonu klienta pptp. Bohužel jen do doby příchodu ios10, kde už pptp není. Takže mi nezbývá než najít řešení pomocí L2TP + IPSec. Popravdě jsem z toho už naprosto zoufalý:-(
udělal jsem export z firemního - hlavního mikrotiku, kde je spuštěný l2tp server. Můžete mi prosím napsat kde je chyba. Určitě mám v nastavení plno zmatených nastavení, které vznikaly při pokusech. Každopádně teď to běží s tímto kódem a klienti se dále připojují bez ipsec - což nechápu.
MŮŽETE MI PROSÍM PORADIT?
DĚKUJI
# nov/02/2016 14:43:18 by RouterOS 6.37.1
# software id = REJ2-MPPT
#
/interface bridge
add admin-mac=DE:CA:66:06:EE:B7 auto-mac=no mtu=1500 name=bridge-local
/interface wireless
set [ find default-name=wlan1 ] band=2ghz-b/g/n channel-width=20/40mhz-Ce \
country="czech republic" disabled=no distance=indoors mode=ap-bridge ssid=\
wifi_net wireless-protocol=802.11
/interface ethernet
set [ find default-name=ether1 ] name=ether1-gateway
set [ find default-name=ether2 ] name=ether2-master-local
set [ find default-name=ether3 ] master-port=ether2-master-local name=\
ether3-slave-local
set [ find default-name=ether4 ] master-port=ether2-master-local name=\
ether4-slave-local
set [ find default-name=ether5 ] master-port=ether2-master-local name=\
ether5-slave-local
/ip neighbor discovery
set ether1-gateway discover=no
/interface wireless security-profiles
set [ find default=yes ] authentication-types=wpa2-psk mode=dynamic-keys \
wpa-pre-shared-key=123456789 wpa2-pre-shared-key=123456789
/ip ipsec policy group
add name=L2TP_IPSec
/ip ipsec proposal
set [ find default=yes ] enc-algorithms=\
aes-256-cbc,aes-192-cbc,aes-128-cbc,3des lifetime=8h pfs-group=modp4096
add enc-algorithms=aes-256-cbc,aes-192-cbc,aes-128-cbc,3des lifetime=8h name=\
prop_L2TP_IPSec pfs-group=modp4096
/ip pool
add name=DHCP_pool ranges=192.168.88.101-192.168.88.254
add name=VNP_pool ranges=192.168.88.90-192.168.88.99
/ip dhcp-server
add address-pool=DHCP_pool disabled=no interface=bridge-local name=default
/ppp profile
set *0 change-tcp-mss=default
add address-list=192.168.88.90-192.168.88.99 change-tcp-mss=yes dns-server=\
8.8.8.8 incoming-filter=rw-in local-address=192.168.88.1 name=L2TP_IPSec \
remote-address=VNP_pool use-encryption=required use-upnp=no
/interface bridge port
add bridge=bridge-local interface=ether2-master-local
add bridge=bridge-local interface=wlan1
add bridge=bridge-local interface=ether1-gateway
/interface l2tp-server server
set authentication=mschap2 default-profile=L2TP_IPSec enabled=yes ipsec-secret=\
heslo max-mru=1460 max-mtu=1460 mrru=1600 use-ipsec=yes
/interface pptp-server server
set authentication=pap,chap,mschap1,mschap2
/ip address
add address=192.168.88.1/24 comment="default configuration" interface=\
ether2-master-local network=192.168.88.0
add address=192.168.121.170/24 disabled=yes interface=ether1-gateway network=\
192.168.121.0
/ip dhcp-client
add comment="default configuration" dhcp-options=hostname,clientid interface=\
bridge-local
/ip dhcp-server lease
add address=192.168.88.124 mac-address=B8:27:EB:8E:D0:DF server=default
/ip dhcp-server network
add address=192.168.88.0/24 comment="default configuration" dns-server=\
192.168.88.1 gateway=192.168.88.1 netmask=24
/ip dns
set allow-remote-requests=yes servers=192.168.88.100
/ip dns static
add address=192.168.88.1 name=router
add address=192.168.10.1 name=Helemik
/ip firewall filter
add action=accept chain=input comment="Nepustit dovnitr L2TP bez IPSec obalky" \
dst-port=1701 ipsec-policy=in,none protocol=udp
add action=drop chain=input dst-port=1701 protocol=udp
add action=accept chain=output comment="Nepustit ven L2TP bez IPSec obalky" \
ipsec-policy=out,none protocol=udp src-port=1701
add action=reject chain=output protocol=udp reject-with=\
icmp-network-unreachable src-port=1701
add action=accept chain=input comment="wan-in: IPSec, IKE1, IPSec over UDP" \
connection-state=new protocol=ipsec-esp
add action=accept chain=input comment="VPN Iphone" connection-state=new \
dst-port=500,4500 protocol=udp
add action=jump chain=input comment="Filtr na dat od road-warriors" \
jump-target=ppp
add action=jump chain=forward jump-target=ppp
add action=accept chain=rw-in comment=\
"===rw-in: co jde od road warriors pres VPN povolit" connection-state=new
add action=accept chain=input protocol=ipsec-ah
add action=accept chain=input dst-port=80 protocol=tcp
add action=accept chain=input protocol=icmp
add action=accept chain=input comment="default configuration" connection-state=\
""
add action=accept chain=forward comment="default configuration" \
connection-state=""
add action=drop chain=forward comment="default configuration" connection-state=\
""
/ip firewall nat
add action=masquerade chain=srcnat
add action=dst-nat chain=dstnat comment="IP kamera" disabled=yes dst-port=\
7011 protocol=tcp to-addresses=192.168.88.11 to-ports=7000
/ip ipsec peer
add address=0.0.0.0/0 enc-algorithm=aes-256,3des exchange-mode=main-l2tp \
generate-policy=port-override local-address=0.0.0.0 passive=yes \
policy-template-group=L2TP_IPSec secret=heslo send-initial-contact=no
/ip ipsec policy
set 0 disabled=yes
add dst-address=0.0.0.0/0 group=L2TP_IPSec proposal=prop_L2TP_IPSec protocol=\
ipsec-esp src-address=0.0.0.0/0 template=yes
/ip proxy
set cache-path=web-proxy1
/ip route
add distance=1 gateway=192.168.88.100
add distance=1 dst-address=10.0.0.0/16 gateway=192.168.88.1 scope=255
add distance=1 dst-address=10.0.1.0/24 gateway=10.0.1.254 scope=255
add distance=1 dst-address=10.0.2.0/24 gateway=10.0.2.254 scope=255
add distance=1 dst-address=10.0.4.254/32 gateway=*86 pref-src=192.168.88.1 \
scope=10
/ip service
set telnet disabled=yes
set ssh port=1022
set www-ssl disabled=no
/ppp secret
add local-address=192.168.88.1 name=user1 password=heslo profile=\
default-encryption remote-address=10.0.1.254 service=l2tp
add local-address=192.168.88.1 name=user2 password=heslo profile=\
default-encryption remote-address=10.0.2.254 service=l2tp
add local-address=192.168.88.1 name=user3 password=heslo remote-address=\
10.0.3.254 service=l2tp
add name=notebook password=heslo profile=L2TP_IPSec service=l2tp
add comment=L2TP-IPSec name=user4 password=heslo profile=L2TP_IPSec \
service=l2tp
/system clock
set time-zone-autodetect=no time-zone-name=Europe/Prague
/system leds
set 0 interface=wlan1
/system routerboard settings
set init-delay=0s
/tool graphing interface
add interface=ether1-gateway
/tool mac-server
set [ find default=yes ] disabled=yes
add interface=ether2-master-local
add interface=ether3-slave-local
add interface=ether4-slave-local
add interface=ether5-slave-local
add interface=wlan1
add interface=bridge-local
/tool mac-server mac-winbox
set [ find default=yes ] disabled=yes
add interface=ether2-master-local
add interface=ether3-slave-local
add interface=ether4-slave-local
add interface=ether5-slave-local
add interface=wlan1
add interface=bridge-local
