Настройка VPN между Mikrotik и iOS клиентом

@BENDER_RDRIGUEZ · Регистрация: 30.11.2019

Студворк — интернет-сервис помощи студентам

Помогите разобраться с настройкой VPN для мобильных клиентов находящихся в сотовой сети.

Юзал этот гайд: https://smartadm.ru/mikrotik-l2tp-server-ipsec/

Микрот говорит что соединение успешно устанавливается

Code
1
2
respond new phase 1(): IP микрота <=> IP клиента[49611]
ISAKMP-SA established ip<=>ip spi=123456789..............

Но потом яблоко отваливается со словами "Сервер L2TP-VPN не ответил".

И микрот удаляет подключение

Code
1
2
purging ISAKMP SA ip<=>ip spi=123456789......
ISAKMP-SA deleted

В общем, опыта в этом не имею, поэтому либо ткните что донастроить, или может вообще по другому гайду все сделать.
VPN нужен для доступа к одному внутреннему серваку из вне. Простой NAT свое дело выполняет, но хочу попробовать что-нибудь позащищенней открытого порта.

@insect_87 · 07.04.2021, 20:23

Не люблю я эту автонастройку ipsec после прописания ключа в L2TP.
Настройте ipsec вручную
http://www.bubnovd.net/2016/10... 0.html?m=1
Потом параметры шифрования и аутентификации вручную подберете под ios
Тут кстати есть советы по параметрам:
https://www.timigate.com/2018/... erver.html

Рекомендованные параметры для iOS с wiki mikrotik

https://wiki.mikrotik.com/wiki... .29_Client

Добавлено через 1 минуту
proposal changes are needed:

does not work with 3des encryption algorithm, aes-128/256 works
auth algorithm must be sha1
PFS group must be none
lifetime must be 8 hours

@BENDER_RDRIGUEZ · 07.04.2021, 20:40 **[ТС]**

В том гайде есть трабла в разделе /ip ipsec peer - у меня такого большого меню вообще нет, консоль тоже не знает ничего подобного enc-algorithm, generate-policy и policy-template в разделе peer.
У микрота в вики тоже неточности - ни в терминале, ни в менюшке IPSec нет раздела user и раздела peer :/
Пробовал как-то настроить RoadWarrior, но уперся в отсутсвующие у меня на микроте вещи.
ROS 6.48.1

P.S.
Вот что у меня
https://www.cyberforum.ru/atta... 1617817442
Вот что в гайде
https://4.bp.blogspot.com/-g2h... 6_peer.PNG

@insect_87 · 07.04.2021, 21:10

То, что там во вкладке peer настраивалось, у вас будет в трёх вкладках: peers, identities, profiles
Это все было в прошивках ранее.
Сейчас первая фаза настраивается для статического пира так:
Создаётся профиль в profiles.
Профиль привязывается к peer, а пир к identity

https://настройка-микротик.укр... u-ofisami/

У вас только будет использоваться policy-template-group

@BENDER_RDRIGUEZ · 07.04.2021, 22:19 **[ТС]**

Перебрал по очереди все что было по ссылкам. Попробовал разные алгоритмы, выставил те что рекомендуют(MD5, aes256, modp2048), выставил lifetime, проверил файрволл. Добавил правила для логов PPP и IPsec. И посмотрел статус соединения в Policies.

В общем, при каждом подключении микрот накатывает простыню больше, чем лог может вывести - но тем не менее никаких "denied", "failed" или чего-то хуже в логах нет, все вроде успешно коннектится и обменивается данными
В Policies во время подключения появляется соединение со статусом dynamic, enabled, active. PH2 state показывает established.
Но потом все срывается. ИМХО со стороны клиента-яблока.

@insect_87 · 07.04.2021, 22:33

1. Какие параметры сейчас в proposal и profiles (шифрование, хэш, lifetime, dh) .
2. Дефолтную группу пересоздали? Если нет создайте и свяжите через неё template-policy и identity (в generate policy должно стоять port strict)
3. Nat-t включён в profiles? Если нет, включите.
4. В peers выставлено passive=yes?
5. С nat-t достаточно в filter на input открыть dst-port 4500 udp, а в самый верх filter на input поставить правило с established,related

@BENDER_RDRIGUEZ · 07.04.2021, 22:49 **[ТС]**

1) Proposal md5/aes-256cbc, lifetime 8h, PFS none
Profile hash md5, enc aes-256, DH modp2048, DPD interval 120s
2) Да, все настраивал с учетом новосозданной группы. Насчет policy - сначала у меня стояло port strict - не работало, поменял на port overrride - не помогло.
3) NAT traversal включен все время.
4) Peers passive=yes.
5) Established, related разрешены были всегда, также создал правила для 1701, 500 и 4500. Траффик по портам идет, уже накапало по паре килобайт (пара десятков пакетов) за все эти попытки подключения.

@insect_87 · 07.04.2021, 23:12

2. Port strict должно быть
5. 500 с nat-t в ike не используется, вместо него 4500
А 1701 будет упакован в ipsec

Ну да ладно...
Proposals:

aes-128/256 CBC
auth algorithm must be sha1
PFS group must be none
lifetime must be 8 hours (08:00:00)

Profiles
Sha1
aes-128/256

DH modp1024 (попробуйте ещё два варианта: 1024 и 2048 вместе и ещё вариант с none) не помню точно.
Lifetime 1d 00:00:00

@BENDER_RDRIGUEZ · 07.04.2021, 23:27 **[ТС]**

Все выставил как написали, попробовал DH 1024 и 2048 both (none варианта нет вроде.) В конце выставил все параметры и в templatеs, и обновил трубку до 14.4.2

Все тоже самое, коннект обрывается.

@insect_87 · 08.04.2021, 06:34

None - это когда ничего не выбрано.
lifetime в policies поменяли?
Port strict выставили?
Попробуйте ещё агрессивный режим выставить, ради эксперимента.
Включите в логах ipsec и покажите полный лог, дебаг с микротика

@BENDER_RDRIGUEZ · 08.04.2021, 16:53 **[ТС]**

Да, DH не дает оставлять пустым, а в терминале опции null,none и т.п. не канают
Лайфтаймы выставил, port strict.
Aggressive не дает выставить - пишет Only one DH group supported in aggressive mode.

Лог - https://dropmefiles.com/Xtjvz

@insect_87 · 08.04.2021, 17:23

Сейчас какие параметры стоят в profiles и proposal?

Лог

Лучше на самом деле лог, а не дебаг

@BENDER_RDRIGUEZ · 08.04.2021, 18:03 **[ТС]**

Сейчас Profile: hash sha1; prf auto; encrypt aes-128,aes256; DHG modp1024,modp2048; Lifetime 1d; DPD 120s
Proposal auth sha1; encr aes-128 cbc, aes-256 cbc; Lifetime 08h

Сообщение от insect_87

Лучше на самом деле лог, а не дебаг

Согласен, дописал !debug, теперь это все много читабельнее.
https://dropmefiles.com/KKgIm

В логе написано

Code
1
authtype mismatched: my:hmac-sha1 peer:hmac-sha256

Но изменение auth на sha256 ничего не дает. :\
https://dropmefiles.com/99pED

@insect_87 · 08.04.2021, 18:51

Меняли на sha256 где?
В настройках политики isakmp/ike?

@BENDER_RDRIGUEZ · 08.04.2021, 18:56 **[ТС]**

Сначала поменял для auth, а потом попробовал поменять и Proposal и Profiles и подключиться.
Но все без изменений.

@insect_87 · 08.04.2021, 19:24

Даже не знаю теперь, у нас iOS без проблем подключаются к серверам на ROS.
IOS обновляли? Или это макбук

Пробуйте ещё менять параметры в первой фазе.

@BENDER_RDRIGUEZ · 08.04.2021, 19:28 **[ТС]**

Да, буквально вчера трубку обновил до 14.4.2
А какие параметры у микрота отвечают за phase 1 negotiation? DPD, lifetimes - что еще попробовать?

@insect_87 · 08.04.2021, 19:48

Фаза 1 настраивается во вкладках profiles, peers, identities

DPD, lifetimes - что еще попробовать?

Шифрование, хэш,
Все то, что в profiles

@allukard · 09.04.2021, 18:39

Вот такая есть небольшая подсказка.

Настройка VPN между Mikrotik и iOS клиентом

@insect_87 · 09.04.2021, 18:47

allukard, у меня по ключу, а не сертификату работают без проблем.
+ шифрование aes в обоих туннелях

Новые блоги и статьи Все статьи Все блоги /
Отчёт о спецтехнике находящейся в ремонте Maks 20.04.2026 Отчёт из решения ниже размещен в конфигурации КА2. Задача: отобразить спецтехнику, которая на данный момент находится в ремонте. Есть нетиповой документ "Заявка на ремонт спецтехники" который. . .	Памятка для бота и "визитка" для читателей "Semantic Universe Layer (Слой семантической вселенной)" Hrethgir 19.04.2026 Сгенерировано для краткого описания по случаю сборки и компиляции скелета серверного приложения. И пусть после этого скажут, что статьи сгенерированные AI - туфта и не интересно. И это не реклама -. . .	Запрет удаления строк ТЧ документа при определенном условии Maks 19.04.2026 Алгоритм из решения ниже реализован на примере нетипового документа "Аккумуляторы", разработанного в конфигурации КА2. У данного документа есть ТЧ, в которой в зависимости от прав доступа. . .	Модель заражения группы наркоманов alhaos 17.04.2026 Условия задачи сформулированы тут Суть: - Группа наркоманов из 10 человек. - Только один инфицирован ВИЧ. - Колются одной иглой. - Колются раз в день. - Колются последовательно через. . .
Мысли в слух. Про "навсегда". kumehtar 16.04.2026 Подумалось тут, что наверное очень глупо использовать во всяких своих установках понятие "навсегда". Это очень сильное понятие, и я только начинаю понимать край его смысла, не смотря на то что давно. . .	My Business CRM MaGz GoLd 16.04.2026 Всем привет, недавно возникла потребность создать CRM, для личных нужд. Собственно программа предоставляет из себя базу данных клиентов, в которой можно фиксировать звонки, стадии сделки, а также. . .	Знаешь почему 90% людей редко бывают счастливыми? kumehtar 14.04.2026 Потому что они ждут. Ждут выходных, ждут отпуска, ждут удачного момента. . . а удачный момент так и не приходит.	Фиксация колонок в отчете СКД Maks 14.04.2026 Фиксация колонок в СКД отчета типа Таблица. Задача: зафиксировать три левых колонки в отчете. Процедура ПриКомпоновкеРезультата(ДокументРезультат, ДанныеРасшифровки, СтандартнаяОбработка) / / . . .

@insect_87 11439 / 7008 / 1903 Регистрация: 25.12.2012 Сообщений: 29,402
	07.04.2021, 20:23
	Не люблю я эту автонастройку ipsec после прописания ключа в L2TP. Настройте ipsec вручную http://www.bubnovd.net/2016/10... 0.html?m=1 Потом параметры шифрования и аутентификации вручную подберете под ios Тут кстати есть советы по параметрам: https://www.timigate.com/2018/... erver.html Рекомендованные параметры для iOS с wiki mikrotik https://wiki.mikrotik.com/wiki... .29_Client Добавлено через 1 минуту proposal changes are needed: does not work with 3des encryption algorithm, aes-128/256 works auth algorithm must be sha1 PFS group must be none lifetime must be 8 hours 0

@BENDER_RDRIGUEZ 2 / 2 / 1 Регистрация: 30.11.2019 Сообщений: 31
	07.04.2021, 20:40 [ТС]
	В том гайде есть трабла в разделе /ip ipsec peer - у меня такого большого меню вообще нет, консоль тоже не знает ничего подобного enc-algorithm, generate-policy и policy-template в разделе peer. У микрота в вики тоже неточности - ни в терминале, ни в менюшке IPSec нет раздела user и раздела peer :/ Пробовал как-то настроить RoadWarrior, но уперся в отсутсвующие у меня на микроте вещи. ROS 6.48.1 P.S. Вот что у меня https://www.cyberforum.ru/atta... 1617817442 Вот что в гайде https://4.bp.blogspot.com/-g2h... 6_peer.PNG Миниатюры 0

@insect_87 11439 / 7008 / 1903 Регистрация: 25.12.2012 Сообщений: 29,402
	07.04.2021, 21:10
	То, что там во вкладке peer настраивалось, у вас будет в трёх вкладках: peers, identities, profiles Это все было в прошивках ранее. Сейчас первая фаза настраивается для статического пира так: Создаётся профиль в profiles. Профиль привязывается к peer, а пир к identity https://настройка-микротик.укр... u-ofisami/ У вас только будет использоваться policy-template-group 0

@BENDER_RDRIGUEZ 2 / 2 / 1 Регистрация: 30.11.2019 Сообщений: 31
	07.04.2021, 22:19 [ТС]
	Перебрал по очереди все что было по ссылкам. Попробовал разные алгоритмы, выставил те что рекомендуют(MD5, aes256, modp2048), выставил lifetime, проверил файрволл. Добавил правила для логов PPP и IPsec. И посмотрел статус соединения в Policies. В общем, при каждом подключении микрот накатывает простыню больше, чем лог может вывести - но тем не менее никаких "denied", "failed" или чего-то хуже в логах нет, все вроде успешно коннектится и обменивается данными В Policies во время подключения появляется соединение со статусом dynamic, enabled, active. PH2 state показывает established. Но потом все срывается. ИМХО со стороны клиента-яблока. 0

@insect_87 11439 / 7008 / 1903 Регистрация: 25.12.2012 Сообщений: 29,402
	07.04.2021, 22:33
	1. Какие параметры сейчас в proposal и profiles (шифрование, хэш, lifetime, dh) . 2. Дефолтную группу пересоздали? Если нет создайте и свяжите через неё template-policy и identity (в generate policy должно стоять port strict) 3. Nat-t включён в profiles? Если нет, включите. 4. В peers выставлено passive=yes? 5. С nat-t достаточно в filter на input открыть dst-port 4500 udp, а в самый верх filter на input поставить правило с established,related 0

@BENDER_RDRIGUEZ 2 / 2 / 1 Регистрация: 30.11.2019 Сообщений: 31
	07.04.2021, 22:49 [ТС]
	1) Proposal md5/aes-256cbc, lifetime 8h, PFS none Profile hash md5, enc aes-256, DH modp2048, DPD interval 120s 2) Да, все настраивал с учетом новосозданной группы. Насчет policy - сначала у меня стояло port strict - не работало, поменял на port overrride - не помогло. 3) NAT traversal включен все время. 4) Peers passive=yes. 5) Established, related разрешены были всегда, также создал правила для 1701, 500 и 4500. Траффик по портам идет, уже накапало по паре килобайт (пара десятков пакетов) за все эти попытки подключения. 0

@BENDER_RDRIGUEZ 2 / 2 / 1 Регистрация: 30.11.2019 Сообщений: 31
	07.04.2021, 23:27 [ТС]
	Все выставил как написали, попробовал DH 1024 и 2048 both (none варианта нет вроде.) В конце выставил все параметры и в templatеs, и обновил трубку до 14.4.2 Все тоже самое, коннект обрывается. 0

@insect_87 11439 / 7008 / 1903 Регистрация: 25.12.2012 Сообщений: 29,402
	08.04.2021, 06:34
	None - это когда ничего не выбрано. lifetime в policies поменяли? Port strict выставили? Попробуйте ещё агрессивный режим выставить, ради эксперимента. Включите в логах ipsec и покажите полный лог, дебаг с микротика 0

@BENDER_RDRIGUEZ 2 / 2 / 1 Регистрация: 30.11.2019 Сообщений: 31
	08.04.2021, 16:53 [ТС]
	Да, DH не дает оставлять пустым, а в терминале опции null,none и т.п. не канают Лайфтаймы выставил, port strict. Aggressive не дает выставить - пишет Only one DH group supported in aggressive mode. Лог - https://dropmefiles.com/Xtjvz 0

@insect_87 11439 / 7008 / 1903 Регистрация: 25.12.2012 Сообщений: 29,402
	08.04.2021, 18:51
	Меняли на sha256 где? В настройках политики isakmp/ike? 0

@allukard 307 / 218 / 70 Регистрация: 08.11.2010 Сообщений: 1,900
	09.04.2021, 18:39
	Вот такая есть небольшая подсказка. 0

@BENDER_RDRIGUEZ 2 / 2 / 1 Регистрация: 30.11.2019 Сообщений: 31
	08.04.2021, 18:56 [ТС]
	Сначала поменял для auth, а потом попробовал поменять и Proposal и Profiles и подключиться. Но все без изменений. 0

@insect_87 11439 / 7008 / 1903 Регистрация: 25.12.2012 Сообщений: 29,402
	08.04.2021, 19:24
	Даже не знаю теперь, у нас iOS без проблем подключаются к серверам на ROS. IOS обновляли? Или это макбук Пробуйте ещё менять параметры в первой фазе. 0

@BENDER_RDRIGUEZ 2 / 2 / 1 Регистрация: 30.11.2019 Сообщений: 31
	08.04.2021, 19:28 [ТС]
	Да, буквально вчера трубку обновил до 14.4.2 А какие параметры у микрота отвечают за phase 1 negotiation? DPD, lifetimes - что еще попробовать? 0

@insect_87 11439 / 7008 / 1903 Регистрация: 25.12.2012 Сообщений: 29,402
	09.04.2021, 18:47
	allukard, у меня по ключу, а не сертификату работают без проблем. + шифрование aes в обоих туннелях 0