OVPN problém (a asi náhrada)

nosek_tomas2004 · 2020-04-17T18:11:15+00:00

Ahoj, tak před třemi měsíci se mi podařilo propojit 3 lokality pomocí OpenVPN. Jako "server" je RB951G-2HnD A klienti jsou: hAP ac hAP ac lite VPN funguj...

dacesilian

Ahoj, ten log vypadá, že se to vůbec nepřipojí.
Rychlost nic moc, ale taky ty routery bez AES podpory se dost zadýchají - opravdu nelítá CPU výše?

Ale hlavně zálohuješ přes "sdílené složky" (Samba)? To má dost velkou režii a přes internet je to (relativně) pomalé. Zkusil bych pro začátek test rychlost té VPNky, třeba přes iperf.

nosek_tomas2004

dacesilian
Ano-nespojí......takto to probíhá Xkrát dokola, ale nakonec se to spojí a normálně můžu komunikovat na lokální adresy ve vzdálené síti.

Ony tři lokality jsou "běžné" domácnosti, routery byly koupeny dříve (pro lepší řízení přístupu z veřejné IP než to jde na "teplým linku"😃 ).
Pro vyzkoušení a nasazení VPN jsem se rozhodl až později - proto bez podpory AES. CPU opravdu výše nelítá (na obrázku VPN server - 951g-2HnD) - právě pořízený snímek a komunikace přes VPN teče:
cpu Loading Image

Tu rychlost jsem měřil MikroTikovským B-Testem.
Pro zálohování SMB nepoužívám - používám RTRR (NASy jsou QNAPy)

johnyboi

MTU?

skus rozjet eoip z ipsecem. Ten muzes taky oadresovat a routovat pres neho. A dostanes tam mtu jake budes potrebovat

nosek_tomas2004

johnyboi

johnyboi MTU?

MTU je tam 1500. A co to vlastně určuje? Zatím jsem to nějak nepochopil ☹️. Vím, že to nějak souvisí s velikostí paketů. ale to je tak nějak všechno.......

johnyboi skus rozjet eoip z ipsecem

EoIP zkusím a dám vědět.

pgb

pgb malý problém - grafy mají interval 5 minut a moc ti neřeknou

To sice ano, ale i když mám winbox (když přes VPN běží třeba zálohování) otevřený třeba 20 minut a pořád sleduju měřák CPU tak to nikam vysoko nelítá.

pgb velký problém - kromě toho že nemá openvpn hw akceleraci na mikrotiku, tak úplně fatální je to že jede v TCP a to je fakt zlé a odpovídalo by to

Tak vyzkouším ten EoIP....

pgb

Kromě problémů s mtu mě napadají další dva problémy.

malý problém - grafy mají interval 5 minut a moc ti neřeknou
velký problém - kromě toho že nemá openvpn hw akceleraci na mikrotiku, tak úplně fatální je to že jede v TCP a to je fakt zlé a odpovídalo by to

pgb

eoip + ipsec, lehce konfigurovatelné tak snad to pomůže

nosek_tomas2004

pgb
Tak pomocí EoIP (+ipsec) jsem propojil 2 lokality a problémy zmizely. Díky moc. Rychlosti jsou skoro na limitu přípojek 😀

Akorát třetí lokalita nemá veřejnou IP a u OVPN to nevadilo. Lze nějak EoIP rozjet i přes privátní IP?

pedro4444

pgb eoip + ipsec rychlostne vravis ze to ide super?

pretoze pouzivam OVPN ale presne narazam na problem ze rychlostne to ide strasne mam pocit ze pptp isiel rychlejsie aj ked jasne ze bezpecnost na ovpn je uplne inde...

uvazujem ale aku alternativu naj zvolit aby som mal lepsiu rychlost a zaroven mal aj dobre zabezpecenie...

pgb

Na tom s veřejnou IP zapneš třeba L2TP server s IPsec a na klientoj zapneš L2TP klienta

nosek_tomas2004

pgb
Vyzkouším.

nosek_tomas2004

pgb Tak pokus byl, ale......nechce se to spojit a do logu to hází:

phase1 negotiation failed due to time up 95.85.255.XXX[500]<=>185.57.228.XXX[500] b745f2243b207a79:ac863436e1e42c16

Nevíte, co s tím? 😰

Díky moc

nosek_tomas2004

pedro4444 Také řeším to stejné. Rychlost OVPN je k pláči. Snažím se rozchodit proto ten L2TP s IPsecem (dle rady, co jsem dostal zde), ale jaksi mi to nejde. Hází do logu nějaké hlášky (viz můj příspěvek výše)

pgb

pedro4444 OpenVPN na mikrotiku je pouze TCP. Pro rychlost zabiják

nosek_tomas2004

pgb Jojo, to už jsem také zjistil 😃. Akorát nevím, co s tím "phase1 negoation failed due to time up". Nevíš co s tím?

pgb

Na které straně ti to píše? Vypadá to jako kdyby to někde neprocházelo firewallem

nosek_tomas2004

pgb Na serveru. Také mne to napadlo, tak jsem pro test hned nahoru zařadil pravidlo chain input, action accept, ale pořád nic.... Jinak mám VDSl modem v bridgi s MikroTikem, jestli to může být tím, nevím....

pgb

nosek_tomas2004 no, netuším jak to máš postavené, ale teoreticky by to mohlo způsobovat nezapnutí funkce nat-travesal

nosek_tomas2004

Povedlo se mi rozchodit SSTP s certifikátama. Je tohle vhodná náhrada nebo je to L2TP/IPsec lepší?

pedro4444

nosek_tomas2004 a co teraz mas ake rychlosti...
co cital aj inde tak vazne kombinancia L2TP/IPsec je naj...

nosek_tomas2004

pgb Já jsem to už našel. Způsobila to velice školácká a debilní chyba. Ještě ze starých pokusů jsem měl nasměrovaný v NATu port 1701 UDP na diskové pole doma. Teď L2TP i s IPsecem vali. Díky MOC! a omlouvám se, za tak blbou chybu.

pedro4444 Rychlosti dám vědět k večeru.

pedro4444

nosek_tomas2004 skus porovnat a zaujima ma ci aj to zdielanie cez NAS pojde potom rychlejsie...

pedro4444

nosek_tomas2004 ako tie rychlosti porovnal si to?

Další stránka »