Nas error vpn mikrotik

14:01:15 pptp,info TCP connection established from <remote DSL> 
14:01:15 pptp,ppp,info,account <SITE> logged in, 172.18.255.42 from <remote DSL> 
14:01:15 pptp,ppp,info <pptp-<SITE>>: authenticated 
14:01:15 pptp,ppp,info <pptp-<SITE>>: using encoding - MPPE128 stateless 
14:01:15 pptp,ppp,info <pptp-<SITE>>: connected 
14:01:19 pptp,ppp,info <pptp-<SITE>>: terminating... - spurios reauthentication 
14:01:19 pptp,ppp,info,account <SITE> logged out, 0 473 280 10 11 from <remote DSL> 
14:01:19 pptp,ppp,info <pptp-<SITE>>: disconnected 
14:01:20 pptp,info TCP connection established from <remote DSL> 
14:01:21 pptp,ppp,info,account <SITE> logged in, 172.18.255.42 from <remote DSL> 
14:01:21 pptp,ppp,info <pptp-<SITE>>: authenticated 
14:01:21 pptp,ppp,info <pptp-<SITE>>: connected 
14:01:21 pptp,ppp,info <pptp-<SITE>>: using encoding - MPPE128 stateless 
14:01:26 pptp,ppp,info <pptp-<SITE>>: terminating... - spurios reauthentication 
14:01:26 pptp,ppp,info,account <SITE> logged out, 0 492 260 9 9 from <remote DSL> 
14:01:26 pptp,ppp,info <pptp-<SITE>>: disconnected 
14:01:26 pptp,info TCP connection established from <remote DSL> 
14:01:27 pptp,ppp,info,account <SITE> logged in, 172.18.255.42 from <remote DSL> 
14:01:27 pptp,ppp,info <pptp-<SITE>>: authenticated 
14:01:27 pptp,ppp,info <pptp-<SITE>>: connected 
14:01:27 pptp,ppp,info <pptp-<SITE>>: using encoding - MPPE128 stateless 
14:01:38 pptp,ppp,info <pptp-<SITE>>: terminating... - spurios reauthentication 
14:01:38 pptp,ppp,info,account <SITE> logged out, 0 492 402 9 10 from <remote DSL> 
14:01:38 pptp,ppp,info <pptp-<SITE>>: disconnected 
14:01:38 pptp,info TCP connection established from <remote DSL> 
14:01:38 pptp,ppp,info,account <SITE> logged in, 172.18.255.42 from <remote DSL> 
14:01:38 pptp,ppp,info <pptp-<SITE>>: authenticated 
14:01:39 pptp,ppp,info <pptp-<SITE>>: connected 
14:01:39 pptp,ppp,info <pptp-<SITE>>: using encoding - MPPE128 stateless 
14:01:57 pptp,ppp,info <pptp-<SITE>>: terminating... - spurios reauthentication 
14:01:57 pptp,ppp,info,account <SITE> logged out, 0 396 477 9 11 from <remote DSL> 
14:01:57 pptp,ppp,info <pptp-<SITE>>: disconnected

name="<SITE>" service=pptp caller-id="" password=<password> profile=DMZ-Encryption remote-address=172.18.255.42 routes="" ipv6-routes="" limit-bytes-in=0 limit-bytes-out=0 last-logged-out=jul/22/2021 14:06:26 last-caller-id=<remote DSL> last-disconnect-reason=nas-error 

Ошибки при установке VPN соединения с сервером L2TP IPSec Mikrotik

При настройке VPN-сервера на Mikrotik, могут быть ошибки. Некоторые из них не связаны с очепятками и недостатком знаний. Могут встречаться нелогичные или специфичные для какой-то ситуации ошибки.

Proxy-arp на внутреннем бридже

При подключении по VPN вы можете неприятно удивиться, почему вы можете открыть страницу логина в роутер, 192.168.88.1 (если у вас такой), но не сможете открыть ни один внутренний ресурс. Штука в том, что надо включить proxy-arp на внутреннем интерфейсе, за которым есть нужный вам ресурс. У меня proxy-arp включен на весь bridge-local. Этот параметр позволяет взаимодействовать хостам, находящимся в разных сегментах сети, между друг другом.

Меню Interfaces -> открываете bridge-local, в пункте ARP выбираете proxy-arp.

Глюк default policy на микротик

При абсолютно верных настройках L2TP/IPSec подключения на клиенте (например, Windows 7) и на сервере (Mikrotik), не удается установить VPN-подключение. При этом в лог Mikrotik идет сообщение «failed to pre-process ph2 packet», а на клиенте Windows 7 выходит ошибка 789: попытка L2TP-подключения не удалась из-за ошибки, произошедшей на уровне безопасности. Данная проблема может иметь место на прошивках вплоть до последней стабильной на текущий момент (6.30).

Решение: удалить созданную по умолчанию группу в меню IP — IPSec — Groups, создать новую и указать ее в IP — IPSec — Peers в поле Policy Template Group.

По сообщению Hopy, еще одним решением проблемы с группами может стать выполнение этой команды после пересоздания группы:

ip ipsec peer set 0 policy-template-group=*FFFFFFFF

Возможно, это наследие от старых конфигураций, точного ответа нет, но тем не менее, это вариант. Кстати, возможно по этой причине (и ей подобным) все же стоит выполнять полный сброс устройства перед начальной настройкой. Но требованием это не является, это уж точно.

Ошибки firewall на всех этапах

Ну и не забывайте про то, что в нормальной ситуации при подключении удаленного клиента действуют сразу несколько ограничений, в числе которых брандмауэр клиента, брандмауэр шлюза клиента (или провайдерский прокси), брандмауэр самого микротик (и не только цепочка input — серьезно помешать может цепочка forward), который вы раньше настроили максимально строго, не так ли? Всякие NAT через NAT и траверсом погонять могут. Так что старайтесь всегда разумно и спокойно локализовывать проблему.

Источник

Mikrotik L2TP/IPSec за NAT: ipsec,error failed to pre-process ph2 packet

При использовании Mikrotik за NAT (в частности за всякими USB GSM модемами) в режиме клиента L2TP/IPSec, у некоторых операторов в определенных режимах, получал проблему с ошибкой ipsec,error failed to pre-process ph2 packet.
Но с появлением RoS 6.38 появилась возможность справиться с ошибкой.

Итак, ошибка появляется в обычной конфигурации клиента L2TP как на картинке:

Основная проблема в том, что политика IPSec, применяемая в такой настройке, прибита гвозьдями и использует ike1. Ike1 в свою очередь, в реализации RoS, имеет проблему при прохождении NAT без проброса портов и как отягчающие обстоятельство: множественные туннели с l2tp тоже не проходят из-а одного NAT (а количество клиентов на модеме огромное).
Решить проблему можно при использование IKE2 (а для кучи клиентов за одним NAT нужно отказаться от авторизации PSK в пользу RSA Signature), который невозможно настроить из меню выше, но можно сделать трюк: заходим в меню IP -> IPSec

Копируем динамически создаваемый пир, и меняем в нем настройки как показано ниже:

А именно меняем Exchange Mode на IKE2, в закладке Encryption настраиваем необходимые параметры шифрования.

Осталось отключить в настройках L2TP/IPSec использование IPSec.

Вот собственно и все, соединение поднимается, шифрование работает.

Источник

Mikrotik l2tp nas error

При использовании Mikrotik за NAT (в частности за всякими USB GSM модемами) в режиме клиента L2TP/IPSec, у некоторых операторов в определенных режимах, получал проблему с ошибкой ipsec,error failed to pre-process ph2 packet.

Но с появлением RoS 6.38 появилась возможность справиться с ошибкой.

Итак, ошибка появляется в обычной конфигурации клиента L2TP как на картинке:

Основная проблема в том, что политика IPSec, применяемая в такой настройке, прибита гвозьдями и использует ike1. Ike1 в свою очередь, в реализации RoS, имеет проблему при прохождении NAT без проброса портов и как отягчающие обстоятельство: множественные туннели с l2tp тоже не проходят из-а одного NAT (а количество клиентов на модеме огромное).

Решить проблему можно при использование IKE2 (а для кучи клиентов за одним NAT нужно отказаться от авторизации PSK в пользу RSA Signature), который невозможно настроить из меню выше, но можно сделать трюк: заходим в меню IP -> IPSec:

Копируем динамически создаваемый пир, и меняем в нем настройки как показано ниже:

А именно меняем Exchange Mode на IKE2, в закладке Encryption настраиваем необходимые параметры шифрования.

Осталось отключить в настройках L2TP/IPSec использование IPSec.

Вот собственно и все, соединение поднимается, шифрование работает.

Источник

Mikrotik l2tp nas error

Fri Apr 10, 2020 3:52 pm

I have just change my ISP router with a new RD4011iGS WIFI router (Mikrotik RB4011iGS+5HacQ2HnD). So far everything is working as expected except for the VPN. I have tried several things and it is not working as expected (as it was with the old router). It is a Home fiber connection. I omit the ONT connection with the router since it seems not to be related to the problem.

It seems to be a routing/firewall misconfiguration in the router.

I’m using OpenVPN (UDP) on a Synology NAS. I’m using a mobile phone as the tester of the VPN. Nothing has change on the server (NAS) or client (mobile) from former configuration just the router.

Current situation is: the tunnel get established properly. I’m «seeing» all the other element in my LAN (ICMP/UDP/TCP). I can connect to port 80 of an IP camera or to the printer server (http) properly. But I am NOT able to connect to the NAS server (web or other services). The NAS is ICMP visible since it responding to ping properly but I cannot access it via Web or SSH. I can not access Internet throught the VPN (in the mobile I have set that all traffic shall be tx to the VPN). I can access the router admin web page throught the VPN. This scenario is displayed in the Not Working image. LAN range is 192.168.0.0/24 and VPN 10.8.0.0/24. Synology NAS IP is 192.168.0.15 in LAN and 10.8.0.1 in VPN

— I have tried to check again both NAS config and mobile config trying to VPN connect withing the same LAN (mobile connected to LAN via WIFI, with a hairpin rule on mikrotik) and everything worked properly.

Current config:

— NAS directly conected to mikrotik with link agreggation 802.3ad bonding interface aggregated to
a bridge in mikrotik.

Firewall (Filter & NAT):

[admin@MikroTik] /ip firewall filter> print

So there is something that I am missing in the router’s configuration.

I have run out of ideas now. Can someone help me on this?

Источник

Mikrotik l2tp nas error

Mon Sep 30, 2019 1:06 pm

just as the title says, i am unable to establish VPN connection from my RB2011iLS-iN to L2TP VPN Server hosted on another MikroTik which i do not have access to, so not sure about model, but Server version has ROS Version 6.45.3, while my Client is on 6.45.6.
Credentials and IPSec key is fine, i can connect to VPN from a PC that is connected to MikroTik via LAN cable. But on that same mikrotik i cannot establish VPN Tunnel.

This is log file, if i haven’t disabled connection at the end, it would go to endless loop.

Re: L2TP (IPSec) connection fails from MikroTik Client to MikroTik Server

Mon Sep 30, 2019 1:22 pm

Re: L2TP (IPSec) connection fails from MikroTik Client to MikroTik Server

Mon Sep 30, 2019 6:01 pm

Re: L2TP (IPSec) connection fails from MikroTik Client to MikroTik Server

Mon Sep 30, 2019 6:15 pm

Re: L2TP (IPSec) connection fails from MikroTik Client to MikroTik Server

Mon Sep 30, 2019 7:17 pm

Re: L2TP (IPSec) connection fails from MikroTik Client to MikroTik Server

Mon Sep 30, 2019 7:47 pm

Re: L2TP (IPSec) connection fails from MikroTik Client to MikroTik Server

Mon Sep 30, 2019 8:09 pm

Under L2TP server, IPsec is set to required or yes ?
Yes means the client can connect without IPsec while on required the client must provide the IPsec key.

Test it on both.

Re: L2TP (IPSec) connection fails from MikroTik Client to MikroTik Server

Tue Oct 01, 2019 1:23 am

Re: L2TP (IPSec) connection fails from MikroTik Client to MikroTik Server

Tue Oct 01, 2019 1:43 am

Re: L2TP (IPSec) connection fails from MikroTik Client to MikroTik Server

Tue Oct 01, 2019 2:01 am

Re: L2TP (IPSec) connection fails from MikroTik Client to MikroTik Server

Tue Oct 01, 2019 2:23 pm

Re: L2TP (IPSec) connection fails from MikroTik Client to MikroTik Server

Tue Oct 01, 2019 3:59 pm

Re: L2TP (IPSec) connection fails from MikroTik Client to MikroTik Server

Tue Oct 01, 2019 4:42 pm

Ok, i had to do some deeper troubleshooting. I’ve enabled «ipsed,!debug» logging on my MT and found this inside logs:
faata, NO-PROPOSAL-CHOSEN notify message, phase1 should be deleted.

So I’ve checked debug logs on a laptop to see the negotiation and found that connection established using 3des-aes128 with modp2048 PFS Group. On MT client, by default it was set to modp1024 PFS Group and no 3des. After making those changes, i have managed to establish connection to VPN! Thanks for giving a helping hand everyone

Источник

Тогда:
1. переделываем сначала это:

/ip address
add address=192.168.0.2/24 interface=LAN-bridge1 network=192.168.0.0
add address=192.168.6.1/24 interface=LAN-bridge1 network=192.168.6.0

2. в списках интерфейсов оставляем ТОЛЬКО это
/interface list member
add interface=pppoe-out1 list=WAN
add interface=LAN-bridge1 list=LAN

3. вот тут шлюз зачем закрасили? 192.168.0.2 должен быть

/ip dhcp-server network
add address=192.168.0.0/24 dns-server=109.194.192.3,109.194.193.3,5.3.3.3 gateway=X.X.X.X netmask=24

И сразу: адрес 192.168.0.1 у кого?

4.

/ip dns
set allow-remote-requests=yes servers=8.8.8.8,109.194.192.3,109.194.193.3

если вы клиентам в п.3 отдаете внешние DNS сервера, зачем тогда кэшер включать (set allow-remote-requests=yes ) на роутере?

5.

это на каких курсах? кто тренер?

переделайте на dst-nat

6. сейчас файрволл посмотрим

через firewall filter l2tp over ipsec nat-t пройдет

7. теперь NAT

и так, я исключил disabled правила
в правилах ниже меняйте netmap на dst-nat и в каждом правиле обязательно укажите ваш внешний адрес pppoe-out1 через параметр dst-address или in-interface=pppoe-out1

/ip firewall nat
add action=netmap chain=dstnat comment="RDP ladaserver" dst-port=13389 protocol=tcp src-address-list=
white to-addresses=X.X.X.X to-ports=3389
add action=netmap chain=dstnat comment="Trassir ladaserver" dst-port=3080 protocol=tcp src-address-list=
white to-addresses=X.X.X.X to-ports=3080
add action=netmap chain=dstnat comment="Trassir ladaserver" dst-port=3081 protocol=tcp src-address-list=
white to-addresses=X.X.X.X to-ports=3081
add action=netmap chain=dstnat comment="Trassir ladaserver" dst-port=1555 protocol=tcp src-address-list=
white to-addresses=X.X.X.X to-ports=555
add action=netmap chain=dstnat comment="FTP ladaserver" dst-port=21 protocol=tcp src-address-list=
white to-addresses=X.X.X.X to-ports=21
add action=netmap chain=dstnat comment=oracle dst-port=1521 protocol=tcp src-address-list=white 
to-addresses=X.X.X.X to-ports=1521
add action=netmap chain=dstnat comment=ora-ssh dst-port=22 protocol=tcp src-address-list=white 
to-addresses=X.X.X.X to-ports=22
add action=netmap chain=dstnat comment=ezattendant disabled=yes dst-port=6000 protocol=tcp to-addresses=
X.X.X.X to-ports=6000
add action=netmap chain=dstnat comment="1C RDP" dst-port=23389 protocol=tcp src-address-list=white_1C 
to-addresses=X.X.X.X to-ports=3389
add action=netmap chain=dstnat comment="1C TSD" dst-port=8080 protocol=tcp src-address-list=white_1C 
to-addresses=X.X.X.X to-ports=8080
add action=netmap chain=dstnat comment="1C SQL" dst-port=1433 protocol=tcp src-address-list=white_1C 
to-addresses=X.X.X.X to-ports=1433

Например

/ip firewall nat
add action=dst-nat in-interface=pppoe-out1 chain=dstnat comment="RDP ladaserver" dst-port=13389 protocol=tcp src-address-list=
white to-addresses=X.X.X.X to-ports=3389

ИЛИ

/ip firewall nat
add action=dst-nat dst-address=Y.Y.Y.Y chain=dstnat comment="RDP ladaserver" dst-port=13389 protocol=tcp src-address-list=
white to-addresses=X.X.X.X to-ports=3389

Y.Y.Y.Y — ваш внешний белый адрес

Если не измените — ждите косяков при обращении по этим портам из локалки

PS — закрашивать каждый адрес не нужно, тем более внутренние, прятать можно было только ваш внешний адрес, а его вы получаете по PPP динамически, потому в конфиге его нет

add chain=input protocol=tcp dst-port=22 connection-state=new src-address-list=ssh_stage3 action=add-src-to-address-list address-list=ssh_blacklist address-list-timeout=10d comment=»» disabled=no 

add chain=input protocol=tcp dst-port=22 connection-state=new src-address-list=ssh_stage2 action=add-src-to-address-list address-list=ssh_stage3 address-list-timeout=1m comment=»» disabled=no 

add chain=input protocol=tcp dst-port=22 connection-state=new src-address-list=ssh_stage1 action=add-src-to-address-list address-list=ssh_stage2 address-list-timeout=1m comment=»» disabled=no 

add chain=input protocol=tcp dst-port=22 connection-state=new action=add-src-to-address-list address-list=ssh_stage1 address-list-timeout=1m comment=»» disabled=no

/ip firewall filter add chain=forward action=drop protocol=udp src-address=!192.168.10.1 src-port=67 dst-port=68

проблема с работой неразрешенных подсетей на хотспоте
в IP Binding добавь сети разрешенные в Regular а в конце поставь запись 0.0.0.0/0 blocked


ошибка невозможно подключиться к микротику по ссш

/ip ssh regenerate-host-key

https://m.habrahabr.ru/post/164873/
Создание отказоустойчивого шлюза на основе Mikrotik RouterOS



Изолируем порты 

• add action=drop chain=forward in-interface=ether2 out-interface=ether3 comment=»Isolate port 2 from port 3″

• add action=drop chain=forward in-interface=ether3 out-interface=ether2 comment=»and port 3 from port 2″

Изменение частоты процессора (на виртуалке не работает)

• /system routerboard settings set cpu-frequency=750MHz

Простая балансировка
http://wiki.mikrotik.com/wiki/ECMP_load_balancing_with_masquerade


Смена MAC адреса
/interface ethernet set ether1-gateway mac-address=xx:xx:xx:xx:xx:xx

БИНАТ МИКРОТИК

add action=src-nat chain=srcnat comment=»D0E5E0EBFCEDE8EA E4EBFF 92″ disabled=no

   src-address=172.17.122.19 to-addresses=195.0.0.1

add action=dst-nat chain=dstnat comment=»D0E5E0EBFCEDE8EA E4EBFF 92″ disabled=no

   dst-address=195.0.0.1 to-addresses=172.17.122.19


Страница заглушки прокси на микротике

1. Включаем Web Proxy без кеша, без ничего просто enabled=yes

[admin@MikroTik] ip proxy> set enabled=yes port=8080

2. Сбрасываем страницу прокси которую она выдает в браузер во время ошибки. Жмем Y

[admin@MikroTik] ip proxy> reset-html

Current html pages will be lost! Reset anyway? [y/N]

3. В WinBox идем в раздел Files — и видем что там появилась папочка webproxy а в этой папке есть файл error.html, вот она та самая страница корорую мы сбрасывали в пункте 2;

4.Копируем эту страницу себе на компьютер (методом перетаскивания), а на роутере удаляем error.html, папка webproxy остается пустой. Открываем скопированый error.html обычным блакнотом. Правим его, пишим в нем наше послание

5. Идем в
[admin@MikroTik] ip firewall nat>

и добавляем правило: всех кто идет на 80 порт кидать на прокси порт 8080, кроме тех ip кто находится в ip firewall address-list> под именем «Pro4itali».

chain=dstnat action=redirect to-ports=8080 protocol=tcp src-address-list=!»Pro4itali» dst-port=80

[admin@MikroTik] ip proxy access>

добавляем правило которое будет всех отбрасывать — deny. Т.е. прокси никого не пропускает и выдает при этом error.html юзеру в его браузер и он лицезреет наше творение.