кстати у cisco есть спец IOS "NPE" для Российского рынка. Там IPSec без шифрования.
покажите конфиги
Прошивку обновил до последней (v6.34.4)kharkov_max писал(а):BertLam,
К стати по поводу прошивки mikrotik.
В каких то прошивках был баг с IPSEC, так что рекомендую обновить его до последней и только потом мучать IPSEC.
Вот
Код: Выделить всё
# apr/14/2016 20:36:20 by RouterOS 6.34.4
# software id = RMH5-L5NC
#
/interface bridge
add name=brLAN
/interface ethernet
set [ find default-name=ether3 ] comment=ether3 name=LAN1
set [ find default-name=ether4 ] comment=ether4 name=LAN2
set [ find default-name=ether5 ] comment=ether5 name=LAN3
set [ find default-name=ether1 ] comment=ether1 name=WAN1
set [ find default-name=ether2 ] comment=ether2 name=WAN2
/interface pppoe-client
add add-default-route=yes allow=chap,mschap2 default-route-distance=3 disabled=\
no interface=WAN1 max-mru=1480 max-mtu=1480 mrru=1600 name=PPPoEcl \
password=Tst2 use-peer-dns=yes user=Tst2
/ip neighbor discovery
set LAN1 comment=ether3
set LAN2 comment=ether4
set LAN3 comment=ether5
set WAN1 comment=ether1
set WAN2 comment=ether2
/ip ipsec proposal
set [ find default=yes ] auth-algorithm
/interface bridge port
add bridge=brLAN interface=LAN1
add bridge=brLAN interface=LAN2
add bridge=brLAN interface=LAN3
/ip address
add address=172.16.20.1/24 interface=br
/ip firewall nat
add chain=srcnat dst-address=172.16.10.
add action=masquerade chain=srcnat out-
/ip ipsec peer
add address=10.20.30.15/32 enc-algorith
no secret=Test
/ip ipsec policy
add dst-address=172.16.10.0/24 level=un
sa-src-address=10.20.30.10 src-addr
/ip route
add distance=1 dst-address=172.16.10.0/
/system clock
set time-zone-name=Europe/Kiev
/system routerboard settings
set protected-routerboot=disabled
а такgumeniuc писал(а):У Вас в конфиге строки как-то странно порезаны. Проверьте настройки обеих фаз и настройки NATa.
Код: Выделить всё
# apr/15/2016 11:53:04 by RouterOS 6.34.4
# software id = RMH5-L5NC
#
/interface bridge
add name=brLAN
/interface ethernet
set [ find default-name=ether3 ] comment=ether3 name=LAN1
set [ find default-name=ether4 ] comment=ether4 name=LAN2
set [ find default-name=ether5 ] comment=ether5 name=LAN3
set [ find default-name=ether1 ] comment=ether1 name=WAN1
set [ find default-name=ether2 ] comment=ether2 name=WAN2
/interface pppoe-client
add add-default-route=yes allow=chap,mschap2 default-route-distance=3 disabled=no interface=WAN1 \
max-mru=1480 max-mtu=1480 mrru=1600 name=PPPoEcl password=Tst2 use-peer-dns=yes user=Tst2
/ip neighbor discovery
set LAN1 comment=ether3
set LAN2 comment=ether4
set LAN3 comment=ether5
set WAN1 comment=ether1
set WAN2 comment=ether2
/ip ipsec proposal
set [ find default=yes ] auth-algorithms=md5 enc-algorithms=3des
/interface bridge port
add bridge=brLAN interface=LAN1
add bridge=brLAN interface=LAN2
add bridge=brLAN interface=LAN3
/ip address
add address=172.16.20.1/24 interface=brLAN network=172.16.20.0
/ip firewall nat
add chain=srcnat dst-address=172.16.10.0/24 src-address=172.16.20.0/24
add action=masquerade chain=srcnat out-interface=PPPoEcl
/ip ipsec peer
add address=10.20.30.15/32 enc-algorithm=3des hash-algorithm=md5 nat-traversal=no secret=Test
/ip ipsec policy
add dst-address=172.16.10.0/24 level=unique sa-dst-address=10.20.30.15 sa-src-address=10.20.30.10 \
src-address=172.16.20.0/24 tunnel=yes
/ip route
add distance=1 dst-address=172.16.10.0/24 gateway=ipip-tunnel1
/system clock
set time-zone-name=Europe/Kiev
/system routerboard settings
set protected-routerboot=disabled
Простите, не сообразил!kharkov_max писал(а):Вы же еще и freebsd конфиги покажите...
Код: Выделить всё
path include "/usr/local/etc/racoon";
path pre_shared_key "/usr/local/etc/racoon/psk.txt" ;
log debug;
}
padding
{
maximum_length 20;
randomize off;
strict_check off;
exclusive_tail off;
}
listen
{
isakmp 10.20.30.10 [500];
}
timer
{
counter 5;
interval 10 sec;
persend 1;
phase1 30 sec;
phase2 15 sec;
}
remote anonymous
{
exchange_mode main,base;
doi ipsec_doi;
situation identity_only;
nonce_size 16;
lifetime time 3 hour;
initial_contact on;
proposal_check obey;
dpd_delay 25;
rekey on;
proposal {
encryption_algorithm 3des;
hash_algorithm md5;
authentication_method pre_shared_key;
dh_group 2;
}
}
sainfo anonymous
{
pfs_group 2;
lifetime time 15 min;
encryption_algorithm 3des;
authentication_algorithm hmac_md5;
compression_algorithm deflate;
}
Простите, но я не готов ответить на Ваш вопрос.kharkov_max писал(а):Файл с политиками шифрования
kharkov_max писал(а):Файл с политиками шифрования
Код: Выделить всё
spdadd 10.20.30.10/32 10.20.30.15/32 any -P out ipsec esp/tunnel/10.20.30.10-10.20.30.15/unique;
spdadd 10.20.30.15/32 10.20.30.10/32 any -P in ipsec esp/tunnel/10.20.30.15-10.20.30.10/unique;
Почитал по Вашей ссылке, уважаемый gumeniuc. Но явно не чего не понял...gumeniuc писал(а):Посмотрите повнимательнее на пример из handbook (на gif интерфейс не обращайте внимания)
https://www.freebsd.org/doc/handbook/ipsec.html
Касательно файлика setkey.conf, на сколько я знаю(может я и не прав), файл setkey.conf прописывается в rc.conf в строкахgumeniuc писал(а):в setkey.conf указывается какой трафик и между каким пирами надо шифровать. у Вас этого файла нет.
Код: Выделить всё
ipsec_enable="YES"
ipsec_file="/usr/local/etc/racoon/setkey.conf"
Код: Выделить всё
ipsec_enable="YES"
ipsec_file="/etc/ipsec.conf"
racoon_enable="YES"
Код: Выделить всё
spdadd 10.20.30.10/32 10.20.30.15/32 any -P out ipsec esp/tunnel/10.20.30.10-10.20.30.15/unique;
spdadd 10.20.30.15/32 10.20.30.10/32 any -P in ipsec esp/tunnel/10.20.30.15-10.20.30.10/unique;
Простите, но в handbook описана настройка FreeBSD, а эта часть как раз работает! А вот Mikrotik, который нужно поставить взамен филиального ПК с FreeBSD, не цепляется...gumeniuc писал(а):Сделайте как написано в handbook. Это рабочий вариант.