Mikrotik IPSec a problémy s pořadím packetů

Alois · 2025-04-29T16:17:54+00:00

Řeším to i bez výsledku se supportem Mikrotiku, ale třeba je tu někdo, kdo to řešil a vyřešil bez nich nebo bude mít nějaký nápad, který pomůže. Jedná se mi...

Alois

Kdyby OpenVPN na stejné trase a na stejných Mikroticích nefungovala bez problémů, tak bych nechal ISP prověřit trasu. Ale v tomto případě je problém nejspíš v ROS 7.16+, na starším ROS 7.6 téměř stejně nastavený IPSec (nebylo tam PSK, ale certifikáty) fungoval normálně. Bohužel u CCR2116 se nedostanu níž než na 7.16, proto uvažuju o výměně za CCR2004, kde bych se mohl dostat na dostatečně starou verzi, kde to opět bude fungovat normálně a počkat, až to opraví.

coitus

Alois OpenVPN protokol tcp alebo udp?

Alois

Zcela záměrně jsem zvolil UDP, aby byly podmínky co nejbližší IPsec.

Alois

Takže další posun. Jakmile jsem na VPN stroji zapnul conntrack, tak začlo mít problémy DFS, takže to bohužel nefunguje správně.
No a teď jsem vedle toho na linuxu postavil IPsec s GRE tunelem a to samozřejmě funguje. Takže buď mám nějakou chybu v konfiguraci Mikrotiku, kterou ale nedokázali odhalit ani v Mikrotiku nebo prostě mezi vezí 7.6 a 7.16 dost fatálně rozjebali IPsec.
Teď už zbývá poslední test a to zkusit CCR2004. Jeden test bude na aktuální verzi, pokud problémy přetrvají, snad bude možný downgrade na dostatečně starou verzi, kde IPsec fungoval normálně.

coitus

Alois

Jakmile jsem na VPN stroji zapnul conntrack, tak začlo mít problémy DFS

Este stale piseme o CCR2116? Kde si na CCR2116 zobral DFS? Mas 2116-ku ktora ma wirelless interface?
Ako vidis ipsec ide na 2116 uplne bez problemov. Mam ich nasadenych viacej kusov a aj iny hw od Mikrotiku na ktorom bezi IPSEC.

m4rk3J

Řekl bych, že myslel spíš https://en.wikipedia.org/wiki/Distributed_File_System_(Microsoft) .

coitus

m4rk3J Je pochopitelne ze ked zapnes conntrack tak zacne fungovat firewall, ale to je problem konfiguracie.

ludvik

coitus Vzhledem k tomu, že default action je u mikrotikuk Accept, tak zapnutí conntracku k nějakému zapnutí firewallu nestačí.
Nemluvě o tom, že lze mít firewall i bez conntracku.

coitus

ludvik
Asi som sa nevyjadril uplne. Firewall bez conntrack samozrejme fungovat moze, conntrack bez firewalu ale nie. To znamena ze zapnutim conntrack sa zrejme aktivoval firewall a ten zablokoval niektore sluzby (predpokladam ze tam bude aj bridge kedze 2116 ma viacej interface). Teda ak pod DFS rozumieme to co tu postol kolega hore. Myslim ze dalej tato debata nema zmysel pokial tu nebude export konfiguracie.

cmgn

Ze zvědavosti - na jaké je to konektivitě? Neni to DSL - optika Cetinu nebo TM?

ludvik

coitus Proč by nemohl fungovat conntrack bez firewallu? Conntrack jen sleduje stavy jednotlivých spojení. Sám od sebe nic neblokuje, ani nepovoluje.

Alois

Zkusím odpovědět na většinu podnětů, tak snad to nebude moc zamotaný.
DFS skutečně blblo na Windows serveru. Ale nejednalo se o fatální selhání, kdy přestala fungovat služba, ale normálně to fungovalo, jenže občas trvala dýl synchronizace a Event log byl plný těchto chyb. Jakmile jsem vypnul conntrack, vše se spravilo. Na tom Mikrotiku nejsou vůbec žádná firewallová pravidla, dělá jenom VPN a pokud se nepletu, tak ve výchozím stavu je vše povoleno stejně jako v iptables na linuxu.
Další věc, která tu už zazněla, dokud ta VPN běžela mezi RB4011 a 1100AHx4 s ROS 7.6, tak vše fungovalo naprosto bez problémů. Až použití CCR2004 (to je ten VPN "server") a CCR2116 (to je VPN "klient") s ROS 7.18 to začlo blbnout. Bohužel downgrade nejde níž než na 7.16, nic staršího CCR2116 nedovolí. V tom screenshotu máš ROS 7.14.3 a možná proto ti to funguje bez problémů. Anebo jsem něco těžce dojebal v konfiguraci (prakticky totožná se staršími Mikrotiky) a proto to blbne. Ovšem takovou chybu by měli objevit už v Mikrotiku, navíc tam není žádný QoS ani nic podobného, jen základní input, output, forward a nat pravidla, trošku routování a VLANy.
Pro připomenutí ještě jednou, OpenVPN v režimu UDP mezi těma dvouma Mikrotikama funguje bez problémů. IPsec na linuxových VM s GRE tunelem na stejné trase funguje taky bez problémů. Jediná problémová kombinace je IPsec přímo na Mikroticích a je jedno, jestli udělám IPsec a nad tím nějaký tunel (EoIP, GRE, IPIP) nebo udělám tunel se zapnutým IPsec, projev chyby je shodný.

« Předchozí stránka