Le ecureuil

Скажите, теоретически, L2TP, или какой еще вариант сможет использовать аппаратную криптографию, как на чистом IPSec? Интересует производительный туннель при неизменных IP-адресах оконечных устройств (с непересекающейся внутренней адресацией) с возможностью использования его как в виде дефолтного маршрута, так и в роли выходной точки - сейчас все это возможно с PPTP-сервером, но огранчиено 30 мбит/с. OpenVPN пока не дошли руки настроить и протестировать между двумя гигами на v2 (раньше был линк между ними на v1.11) - интересует производительность различных решений при сравнительно равном уровне шифрования (скажем, AES128) а так же полезность использования crypto engine. Клиент L2TPoverIPsec в 2.06 прекрасно работает с crypto engine, показывая скорость в 7 Мбайт/сек, но в NDMS пока нет и не планируется функция сервера. В принципе в будущих релизах возможно будут GRE, GREoverIPsec, EoIP и EoIPoverIPsec - тогда будут и клиенты, и серверы, но это дело не совсем скорого будущего.

Именно, сейчас назначить трафик в IPsec как в роут по умолчанию нельзя. Чистый IPsec такого не позволяет из-за особенностей реализации XFRM в ядре Linux. Есть вариант с virtualip + IKEv2, но тогда возникает проблема с сертификатами, которые должны быть перегенерированы при каждом(!) изменении IP сервера и установлены на клиентах, что практически невозможно. Поэтому единственный технически реализуемый вариант - L2TPoverIPsec. Клиент уже есть в NDMS 2.06, серверная реализация пока не планируется, ждем запросов от пользователей (напишите в официальную техподдержку, чтобы менеджмент тоже знал, что народ это хочет).

Именно, сейчас назначить трафик в IPsec как в роут по умолчанию нельзя. Полностью вашу схему повторить нельзя, только организовать связь между двумя сетями (и то только если они не пересекаются).

Все довольно просто. На сервере должен быть глобально-маршрутизируемый (иными словами "белый") IP адрес. В качестве сервера и клиента может выступать любая из сторон, выбирайте как заблагорассудится. На сервере указываете галку "Ожидать подключение от удаленного пира", указываете имя соединения, затем локальный идентификатор (рекомендую использовать email, можно выдуманный), ключ PSK, локальную сеть и удаленную сеть. Включаете сервис выставлением галки "Включить" и нажатием на "Применить". Все, с сервером готово. На клиенте указываете галку "Автоподключение", указываете имя и адрес сервера (можно IP, можно доменное имя), локальный идентификатор, удаленный идентификатор (тот, что указали на сервере в качестве локального), ключ PSK (тот, что указан на сервере), локальную сеть и удаленную сеть (они будут противоположны с сетями сервера, если на сервере локальная сеть 192.168.1.0/24, а удаленная 192.168.2.0/24, то на клиенте локальной будет 192.168.2.0/24, а удаленной 192.168.1.0/24. Важным моментом является то, что сети не должны пересекаться и входить друг в друга.). Включаете сервис выставлением галки "Включить" и нажатием на "Применить". После этого все должно соединиться и заработать.

Все предельно ясно описано в первом же посте: viewtopic.php?p=2#p2

Установите утилиту screen или tmux, и запускайте mc в ней. Она позволяет отключить ssh-сессию и оставить ее работать.

Да, на openvpn + keenopt/entware довольно легко.

Клиенты и сервер видны напрямую (либо с обоих сторон белые IP, либо серый IP от того же провайдера, что и на роутере-сервере), обходить NAT и фильтрации не придется, а подсети за роутерами уже сейчас жестко поделены без пересечений. Интересно было бы сравнить максимальные скорости и нагрузку на процессор на этих скоростях (PPTP vs OpenVPN vs IPSec), соотнести это с безопасностью (у PPTP с авторизацией немного печально) и стабильностью (скорость и успешность восстановления после разрывов) и выбрать наиболее выигрышное по личным критериям. На 6856 (Keenetic II, Giga II, Ultra) вероятно будет аппаратный IPsec, на Giga III и Ultra II он уже сейчас есть, настраивается через CLI-команду crypto engine (описана в мануале, выложенном здесь). На остальных устройствах IPsec будет программный и судя по внутренним тестам он показывает скорость несколько ниже шифрованного PPTP. Авторизация доступна через PSK и дополнительно XAUTH (в IKEv1).

Как нужно грамотно настроить? Я пробовать делать PPTP site-site, но со стороны кинетика почему-то не подхватывался туннельный IP адрес шлюза ISA Server-а. Реализация site-to-site PPTP описана в базе знаний https://zyxel.ru/kb/4214/ . А насчет "не подхватывался туннельный IP адрес шлюза ISA Server-а" - можно поподробнее с описанием ситуации, схемой сети и возможно логами?

Хотелось бы понять, раз уж зашла речь - правильно ли я понимаю, что в 2.06 можно будет вместо сети на базе штатного PPTP-сервера использовать IPsec, терминируемый с обоих сторон на роутерах? Или все-таки на стороне сервера должна быть железка поумнее? Если KG2 сможет выступать сервером - будет ли совместимость с белыми кинетиками в качестве клиента? Сейчас у меня один KG2 является PPTP-сервером, другой KG2 и KG1 - клиенты, эпизодически подключаюсь с ПК, планирую подцепить простой первый кинетик, 4G II и тплинк с OpenWRT. Можно ли будет в таком виде на 2.06 перейти на IPsec, или белые кинетики на 2.04 не будут совместимы? В 2.06 реализована функция как клиента, так и сервера для site-to-site соединений, потому будет работать как между двумя кинетиками, так и между кинетиком и компом/железкой поумнее. Белые кинетики с 2.04 будут совместимы, если поставите в них ipsec из entware/keenopt и настроите, бекпорта именно как функционала NDMS туда не будет. В вашей схеме из-за ее высокой гетерогенности возможно стоит остаться на PPTP имхо. Настройть IPsec в такой среде даже для спецов может быть сложно, причем я не знаю адресации в вашей сети, а linux kernel xfrm не поддерживает перекрывающиеся подсети в IPsec SA, потому возможно придется городить GRE/IPIP/EoIP туннели поверх IPsec или NAT.

Для Keenetic II IPsec пока недоступен (будет в 2.06), потому надежным рабочим вариантом остается только PPTP.

Судя по логу здесь явно что-то не то с сетью или pptp-сервером: соединение с ним пытается установиться и на полпути разывается, даже не достигая стадии PPP. На других версиях прошивки работает нормально?

Пришлите пожалуйста self-test с включенной через telnet командой > interface PPTP0 debug Это должно прояснить все вопросы. Еще подскажите - а если руками в web включить/выключить PPTP, то все нормально устанавливается?

Все верно, поскольку ваш роутер не шлет RELEASE провайдеру, и постоянно делает RENEW - таким образом провайдер тоже в курсе, что этот адрес у вас и никому его не отдает заново.

Хм, а если на двух интерфейсах гейтом железка с одним MAC но с разными IP? Если подсети не пересекаются, то все должно быть нормально.

Просто если подсети на разных WAN совпадают, то это любой роутер одуреет и не сможет их сразу вдвоем использовать

Создал тикет суппорту zyxel.ru, #329 370 Если для менеджмента нужна аргументация зачем нужна эта фича на старых моделях: дать пользователям возможность повышения приватности, я конечно могу поднять PPTP на centos, но считаю L2TP/IPSec более безопасным и удобным. У нас локально в рознице (супермаркеты бытовой техники) только Keenetic и TPLink, у последнего IPSec есть, но zyxel то лучше! Спасибо! Не за что Я сам все понимаю, и всячески бы накручивал IPsec во всех моделях роутеров, только это упирается в - нет запросов от юзеров - как следствие начальство не хочет тратить время программистов на то, что людям не нужно - отдел тестирования/QA просто не пропускает эти фичи из-за того, что на их тестирование нужно время, которого им тоже не выделяют Потому чем больше будет запросов от юзеров - тем лучше А кстати, tp-link умеет l2tp/ipsec? Из того, что я видел - он умеет только site-to-site tunnel.

у меня два keenetic DSL очень жду и нужен L2TP/IPsec в режиме клиента, готов выступить QA -- серверная часть также конфигурируется мной Окончательно решение еще не принято, но скорее всего Keenetic DSL останется на NDMS 2.05 с ядром 2.6.22 из NDMS 2.04 навсегда (это связано с особенностью чипа RT63368), что вероятно ставит крест на поддержке IPsec в нем. Однако еще раз повторю, что окончательное решение еще непринято - возможно IPsec будет перенесен в 2.05. Попробуйте в дополнение обратиться с этим в официальную техподдержку - пусть у них тоже будут заявки на это, чтобы product manager'ы понимали насколько это востребованная фича.

Такое к сожалению вообще не годится (и работать врядли будет, расчет идет на то, что nexthop у каждого аплинка уникален и подсети разные), здесь вам нужен не multiwan, а link aggregation скорее - это фича другого уровня.

Если у вас есть реально два провайдера (или хотя бы два подключения к одному провайдеру) - то это просто прекрасно, то что нужно для теста.

Активно занимаюсь проблемой, и по факту выяснилось, что вот так сразу удовлетворительно работать не будет. В ядре по умолчанию не включен multipath для advanced routing, потому балансировка между двумя каналами через несколько nexthop не заработает. Плюс для полностью автоматической работы скриптов не хватает данных, которые может предоставить ndm - а значит все нужно вбивать руками, что недопустимо. Как только эти рабочие вопросы будут улажены - будет создана тема с подробным описанием как и что сделать.

По умолчанию они все в одном VLAN, потому не выделены отдельно. Но это легко делается как через Web, так и через CLI.

interface GigabitEthernet0/6 name port_7 switchport mode access switchport access vlan 7 up ! interface GigabitEthernet0/Vlan7 description "My VLAN at port 7" security-level private ip address 192.168.7.1 255.255.255.0 up !

Вполне. Используйте в качестве последнего (пятого) аргумента в crontab день недели на английском (можно несколько через запятую), например: 00 09 * * Mon,Tue,Wed root ndmq -p "interface WifiMaster0/AccessPoint0 up" -P message 00 21 * * Thu,Fri,Sat,Sun root ndmq -p "interface WifiMaster0/AccessPoint0 down" -P message

Установите прошивку, которая поддерживает opkg... Речь о DD-WRT, OpenWrt? Где скачать оригинальную прошивку Zyxel для Keeдnetic Giga II с поддержкой opkg? NDMS 2.05 с opkg можно взять здесь: viewtopic.php?f=6&t=138 NDMS 2.06 поддерживает opkg искаропки в стандартном выборе компонентов.