MK VPN samsung/android

gnipet · 2022-09-06T12:25:56+00:00

Caute. Prosim Vas, nema niekto rozbehanu IKEV2/IPSEC VPN na MK ROS 6x Mal som povodne PPTP koli jednoduchosti ale na novych SAMSUNG androidoch s ich upraveny...

Levian

gnipet Super. Dakujem, tam bol ten problem

Levian

gnipet Riesime ike2 konfig. Samsung to nema?

gnipet

IKEv2 ma ved koli tomu som to tu daval aby sme to poriesili .....
daxxim tu pise o L2TP.

duro2828

Ma niekto funkcny navod pripadne konfig VPN pre android 12. Nepodeli sa on?

crazyape

duro2828 na jakou VPN? Tu máš třeba na L2TP s preshered keyem ... pouzivam a funguje na všem včetně toho, že projdu přez firewally a vidím do lokální sítě za routerem na který vytáčím a zároveň se i vidím za IP daneho routeru treba na myip.cz

Pouzivam na WIN, iOS, MacOS, linuxu ... akorat pokud jsi za natem musis si ve widlich editovat registry bohuzel

https://babcuvpisecek.com/sitarina/jak-nastavit-l2tp-ipsec-vpn-na-zarizenich-mikrotik-funkcni-step-by-step-navod/?fbclid=IwAR2Q6Wq3-EEXpqO6R_uaRA_hommsB6LwkSi_jGuulzjzMk1aAYErMXuqe_g

gnipet

3ja useri c1-c3
firma.domena.sk si zmen podla seba
1.2.3.4 si daj verejnu ip podla seba
Nesmies zabudat na spravny DNS preklad aj reverzny
Vsetko je to hore v clanku nejaky odkaz je tam an prezentaciu

/ip ipsec mode-config
add address-pool="pool firma.domena.sk" address-prefix-length=32 name=\
"modeconf firma.domena.sk"
/ip ipsec policy group
add name="group firma.domena.sk"
/ip ipsec profile
add enc-algorithm=aes-256 hash-algorithm=sha256 name="profile firma.domena.sk"
/ip ipsec peer
add exchange-mode=ike2 local-address=1.2.3.4 name="peer 1.2.3.4" passive=yes \
profile="profile firma.domena.sk"
/ip ipsec proposal
set [ find default=yes ] enc-algorithms=aes-128-cbc pfs-group=none
add auth-algorithms=sha256,sha1 enc-algorithms=aes-256-cbc lifetime=8h name=\
"proposal firma.domena.sk" pfs-group=none
/ip ipsec identity
add auth-method=digital-signature certificate=firma.domena.sk generate-policy=\
port-strict match-by=certificate mode-config="modeconf firma.domena.sk" \
peer="peer 1.2.3.4" policy-template-group="group firma.domena.sk" \
remote-certificate=c2@firma.domena.sk remote-id=\
user-fqdn:c2@firma.domena.sk
add auth-method=digital-signature certificate=firma.domena.sk generate-policy=\
port-strict match-by=certificate mode-config="modeconf firma.domena.sk" \
peer="peer 1.2.3.4" policy-template-group="group firma.domena.sk" \
remote-certificate=c1@firma.domena.sk remote-id=\
user-fqdn:c1@firma.domena.sk
add auth-method=digital-signature certificate=firma.domena.sk generate-policy=\
port-strict match-by=certificate mode-config="modeconf firma.domena.sk" \
peer="peer 1.2.3.4" policy-template-group="group firma.domena.sk" \
remote-certificate=c3@firma.domena.sk remote-id=\
user-fqdn:c3@firma.domena.sk
/ip ipsec policy
add dst-address=10.0.88.0/24 group="group firma.domena.sk" proposal=\
"proposal firma.domena.sk" src-address=0.0.0.0/0 template=yes

JanK

gnipet

Nepodařilo se někomu z vás rozchodit ike2 bez certifikátu (ve variante PSK)?

duro2828

Ak mam dynamicku verejnu adresu tak to nerozchodim? Ci je aj na to nejake riesenie?

krystofklima

Já používám SSTP client aplikaci a jede jako fík ;-)
Jinak i na mém Fold4 v poslední aktualizaci 1.10.2022 /Android 12 OneUI 4.1.1. EUX/VDC/ potvrzuji také už jen IKEv2
ale apliakce SSTP Max a jede to parádně. jen člověk musí mít certifikát, ale to má dnes snad už každý ;-)

duro2828

"firma.domena.sk si zmen podla seba" - mozem pouzit nieco nahodne vytvorene alebo musim mat vlastnu realnu domenu?

krystofklima

no to jde když je to MikroTik vs MikroTik, Windows, Android i Apple chtějí doménu a k ní vázaný certifikát.
měl by být i validní, tedy koupený, ale to se dá obejít pomocí Letencrypt

Alois

U MK nevím, Strongswan to bez problémů umí. Ale pokud potřebuješ split tunnel, tak na to zapomeň, nativní VPN klient ho neumí a Strongswan klient zase neumí PSK.

hapi

myslíš podle strongSwan terminologie IKEv2 EAP (Username/Password)? Podle terminologie Samsungu to je IKEv2/IPSEC MSCHAPv2?

Alois

Podle strongSwan terminologie je to psk - authby = psk. U MSCHAPv2 je spíš takováto konfigurace rightauth=eap-mschapv2 a bez certifikátu to nejspíš nejde nakonfigurovat, psk funguje i bez něj.

hapi

tak tuhle možnost v té aplikaci nemám. Mě se povedlo rozjet IKEv2/IPSec s letsnscript ale zadávám do apky pouze user a pass.

Alois

hapi Mně to nabízí nativní klient v Androidu 12 a 13 v Samsungu a Realme, je to přímo označeno jako IKEv2/PSK. Uživatel/heslo je tam pak jako IKEv2/MSCHAPv2 a tuhle variantu podporuje i strongSwan aplikace s tím rozdílem, že umí i split tunnel.

JanK Pokud chceš konfiguraci pro linuxový strongSwan server, tak ti konfiguraci klidně hodím. Pro Mikrotik jsem nic takovýho nerozcházel.

JanK

A můžete sem někdo pro inspiraci hodit výpis configu IKEv2/IPSec s Let's Encrypt certifikátem?

JanK

Alois \
Ten config IKEv2/IPSec s Let's Encrypt certifikátem jsem chtěl pro Mikrotik.

rest

Jen dotaz, proč to neřešit OVPN nebo wireguardem ? O mnoho jednodušší konfigurace a vše kolem.

zzam

Na androidu také používám Wireguard.

« Předchozí stránka Další stránka »