Jump to content

Search the Community

Showing results for tags 'ipsec'.

  • Search By Tags

    Type tags separated by commas.
  • Search By Author

Content Type


Forums

  • Keenetic Community
    • Forum policy
    • Community Support & Knowledge Exchange
    • Off-topic lounge
  • Keenetic Updates
    • KeeneticOS
    • Keenetic mobile application
    • Keenetic RMM system
  • Форум пользователей Keenetic
    • Обмен опытом
    • KeeneticOS
    • Мобильное приложение
    • Keenetic RMM

Find results in...

Find results that contain...


Date Created

  • Start

    End


Last Updated

  • Start

    End


Filter by number of...

Joined

  • Start

    End


Group


Location


Web-site


Interests


Occupation


AOL Account


ICQ Account


WLM


YAHOO


Facebook Account


Twitter Account


Skype Account


Youtube Account


Google+ Account


Keenetic

  1. Недавно пришлось перейти к другому VPN провайдеру, потому что старый перестал поддерживать L2TP/IPSec и PPTP соединения, у нового наблюдаю такую ситуацию: устанавливается соединение, например в 01:34, проходит какое-то количество времени, успешно проходит rekey в 04:25, а в 07:16, когда казалось бы должен произойти второй rekey, вместо него вижу в логе: [I] Nov 15 07:16:38 ipsec: 08[IKE] integrity check failed [I] Nov 15 07:16:38 ipsec: 08[IKE] CREATE_CHILD_SA request with message ID 0 processing failed [E] Nov 15 07:16:38 ndm: IpSec::Configurator: IKE message parsing error for crypto map "IKE0". [W] Nov 15 07:16:38 ndm: IpSec::Configurator: (possibly because of wrong pre-shared key). [I] Nov 15 07:16:38 ndm: IpSec::CryptoMapInfo: "IKE0": crypto map active IKE SA: 0, active CHILD SA: 0. [W] Nov 15 07:16:38 ndm: IpSec::Configurator: fallback peer is not defined for crypto map "IKE0", retry. [I] Nov 15 07:16:38 ndm: IpSec::Configurator: "IKE0": schedule reconnect for crypto map. [I] Nov 15 07:16:38 ndm: IpSec::Interface::Ike: "IKE0": IPsec layer is down, shutdown. И соединение разрывается. Полный кусок лога приведен ниже: Селфтест с этими событиями приложен сообщением ниже. Это можно как-то починить с моей стороны? Роутер Ultra II, прошивка 3.5.2. PS Есть заявка в техподдержке 517114
  2. Уважаемые форумчане, прошу помощи, не знаю куда копать. Имею два устройства Keenetic: Ultra и Giga (оба белые). На Ultra белый ip, между ними поднят VPN/ipsec. Ну стороне Giga установлены ip-камеры Hikvision (подключены по wi-fi, ip-адрес статический), на стороне Ultra установлено сетевое хранилище Synology, на которое через саециализированое ПО идёт запись с камер. Суть проблемы: при подаче питания на камеры через PoE-инжекторы все работает отлично, но если вместо них использовать неуправляемый и не подключенный к какой-либо сети PoE-коммутатор D-Link DES100p связь с камерами есть только во внутренней сети (камеры отлично работают, но пинг через Giga идёт, через Ultra - нет). В чем может быть причина?
  3. Добрый день, помогите пожалуйста с такой ситуацией: есть два keenetic dsl на прошивке 2.11.D.4.0-0 согласно статье настроена связь через ipsec между подсетями двух кинетиков все - ок, есть пинги как с кинетиков в обе стороны, так и устройств в подсетях но мне нужно чтобы было только связь между подсетями, а интернета ни у кого не было - поэтому ставлю галку "Запретить доступ в интернет незарегистрированным устройствам" после чего ничего не пингуется даже при активном туннеле, настраиваю правила межсетевого экрана для сервера разрешаю для интерфейса home все входящие с подсети 192.168.2.0/24 в подсеть 192.168.1.0/24 по протоколу IP для клиента разрешаю для интерфейса home все входящие с подсети 192.168.1.0/24 в подсеть 192.168.2.0/24 по протоколу IP теперь я могу пинговать и заходить в веб интерфейс с одного роутера на другой в любом направлении, но устройства из подсетей за роутерами друга друга не видят (с компьютеров в подсетях вижу только "свой" ближайший роутер, который прописан как шлюз и ничего за ним) файрволы устройств в подсетях клиента и сервера отключены \ настроены на прием всего с соотв. подсетей подскажите что нужно еще настроить чтобы при включенной настройке "Запретить доступ в интернет незарегистрированным устройствам" подсети видели друг друга или как по другому решить проблему с закрытием доступа в интернет? заранее спасибо
  4. Здравствуйте. Сервер GIGA 3 с новым интерфейсом. Клиент GIGA 2 со старым интерфейсом. Как настроить ipsec vpn если вообще нет данных настройки.
  5. Дня! Для связи удалённых площадок с центром использую связку Cisco 881 + Keenetic 4G III (rev.B, release: 2.15.C.4.0-1) c USB-LTE модемом, поверх этого бегает IPSec (DMVPN). Однако, с Апреля начались "чудеса" с одним из операторов сотовой связи - перестал проходить IPSec (DMVPN). Как показал анализ трафика - пакеты (UDP/500) просто не доходят до центра. "Зачем и почему" - техподдержка оператора реагирует в высшей степени неторопливо и занимается какой-то дурью типа "почему у вас на динамическом(!) подключении... меняется IP-адрес" (я серьёзно, это практически цитата). Из-за этого пришлось искать "заплатку" на стороне Keenetic. "Пляски с бубном" выдали два варианта решения: Откат на сильно более раннюю прошивку - 2.7.х и ниже. Через CLI включать в конфигурацию (config)> ip nat udp-port-preserve Кстати, попутно выяснилось ещё несколько "чудесатых" условий: проблемы есть в нескольких регионах и только с одним конкретным оператором; при установке в тот же USB-модем SIM-карты от другого оператора - IPSec (DMVPN) восстанавливается, даже перезапускать оборудование не приходится; проблемы есть при использовании динамического IP, т.е. если на SIM-карту подключить фиксированный IP и прописать соответствующий APN - связь, опять же, восстанавливается, без перезагрузки. С учётом, что до этого несколько лет такая схема работала без проблем, то с "моей колокольни" видится - источник проблемы где-то районе операторского CG NAT. Но время уходит, а оператор не может ни подтвердить ни опровергнуть это. Версия Keenetic:
  6. Пытаюсь настроить VPN подключение к NordVPN на Keenetic Ultra 1810. C 1 декабря они убрали поддержку PPTP и L2TP протоколов, и теперь доступны только такие варианты: С OpenVPN все просто и понятно. Скачал ovpn конфиг и готово, вот только скорость не радует, 25 мбит/с максимум (понимаю, что не хватает аппаратного ускорения). А как можно настроить подключение через IKEv2/IPSec ? Пытался разобраться по этой инструкции, но ничего не вышло. Подскажите, знающие люди!
  7. Доброго времени суток. Имею следующую схему: 1. Сервер, на котором поднято 2 IPSec сервера - racoon для s2s и softether для c2s. Во избежание проблем первый слушает IKE на порту 555 (пробивание NAT отключено, все s2s соединения имеют белый IP), второй - на стандартном 500, чтобы не было проблем со стандартными клиентами вроде виндового, которые не умеют настраивать порт для IPSec. 4500 порт также относится к softether, для клиентов за NATом. Все s2s и c2s соединения работают отлично. 2. Keenetic Extra KN-1710 с самой последней прошивкой 2.13.C.0.0-1. Хочу воткнуться к серверу с помощью IPSec в режиме транспорта на порт 555, но такой возможности нету - при попытке указать порт в веб-морде получаю ошибку "Введите IP-адрес или доменное имя", а в CLI интерфейсе я такой возможности не нашел вообще. Можно сие зафичреквестить?
  8. Добрый день! Прошу помощи в настройке туннеля L2TP на Keenetic DSL на прошивке 2.11.C.1.0-3. Туннель не устанавливается. Прошу прощения, если попал не в ту ветку, продублировал сообщение сюда, т.к. похоже та 2.11, что в архиве, уже закрыта. Ситуация следующая: имеется два маршрутизатора Keenetic II и Keenetic DSL, первый из которых имеет белый адрес, и на нем необходимо поднять VPN-сервер для связи со вторым маршрутизатором. Маршрутизаторы используют разных провайдеров. В целом, схема работает, т.к. уже пользовался PPTP-сервером, но назрело время перемен, сейчас PPTP не устраивает, решил перейти на l2tp/IPsec. Установил на Keenetic DSL прошивку 2.11.C.1.0-3 заменой файла firmware (стояла официальная 2.05) из webUI с целью получить L2TP/IPSec клиента. На Keenetic II (2.12.C.1.0-6, поставил также с целью заполучить L2TP/IPSec сервер, до этого стояла официальная 2.06) и поднял сервер. Сразу оговорюсь, что пробовал подключаться к серверу используюя провайдера, где установлен Keenetic DSL, и с помощью Windows-клиента и c помощью Android 5 - соединение работает, причем выход в интернет осуществлялся через keenetic DSL. Однако сам Keenetic DSL подключиться встроенными средствами к серверу не может. Исходя из этого, сделал вывод, что провайдер, скорее всего, не виноват, и дело не в сервере, а в клиенте. Соединение находится в постоянном цикле - канал установлен - внезапно разорван, судя по логу: сначала пишет L2TP0 is up, но через некоторое время "appeared down". Имеется также self-test, снятый во время подключения, приложу в следующем скрытом сообщении. keenetic.log
  9. Добрый день! Подскажите, как настроить подключение L2TP/IPsec с Keenetic DSL? Прошивка: v2.05(AAGK.0)C7 В настройках туннеля есть только настройки проверки подлинности (MS-CHAP) и логин/пароль L2TP. Параметров IPSec нет. Насколько я понял, что IPSec вообще нету в Keenetic DSL на этой версии прошивки. Как же тогда пользоваться L2TP? P.S.Сервер настроен на Keenetic II после установки delta-прошивки 2.12.C.1.0-6. Ставил через CLI (components list delta -> components commit). Однако, такой фокус на Keenetic DSL не прошел, пишет argument parse error. Также читал, что некоторые delta-прошвики на DSL могут привести к неработоспособности самого DSL модема. Если ставить delta-прошивку, то какую лучше ставить на DSL? И как это сделать? Прошу прощения, если попал не в ту ветку или данная тема уже поднималась.
  10. Дело в том что на данный момент существует возможность указания лишь одного правила для фильтрования шифрованного трафика. А если спользовать cli для редактирования access листа и добавления в него доп.правила то срабатывает лишь правило номер 1. прошу реализовать возможность настройки нескольких таких правил. Спасибо!
  11. Всем привет. Коллеги, ваши варианты решения проблемы: есть два роутера Zyxel Keenetic Giga II (прошивки 2.11.C.1.0-3 на обоих) . На Wan интерфейсах обоих железок (точнее пластмассок) белые ip-адреса. Между ними поднят IPSec, всё работает, пинги бегают, ПК за NAT`ом видятся с обоих сторон. На VPN - сервере канал интернета 200 Мбит/с, на клиенте - 70 Мбит/с. Giga (vpn-сервер) находится за GPON роутером МГТС, который переведён в режим бридж. Так вот, если кидаю файл с сервера на клиент (общая папка на ПК на стороне клиента), то скорость загрузки не превышает 10-11 Мбит/с (скрины прилагаю), а если с клиента на сервер ( и в общую папку на ПК за ВПН сервером, и на hdd, подключенный к роутеру), то до 50-60 Мбит/сек. Может сменить метод шифрования ( какой лучше выбрать для каждой фазы и какую группу Диффи выбрать)? Проц выше 35% на обоих роутерах не загружается.И второй момент: если в настройках IPSec перевожу на транспортный режим, то туннель не поднимается, селф тест и отладку могу приложить.
  12. Доброго времени суток! Столкнулся с проблемой, которую сам решить не в силах. Есть два роутера Ultra I на 2.11.C.1.0-3. Первый находится в сети 192.168.1.x, второй - 192.168.2.x - между ними установлен IPSEC тоннель На первом роутере (192.168.1.1) также поднят VPN PPTP-сервер для доступа в сеть извне. При подключении через PPTP я вижу и могу пинговать его, но никак не могу заставить пинговаться второй роутер (192.168.2.1) на другом конце тоннеля и получить до него доступ. Могу ошибаться, но как я помню на последней официально прошивке это работало.. Подскажите, в какую сторону копать, чтобы заработало на 2.11?
  13. Здравствуйте! Подскажите, пожалуйста. Уже долго бьюсь и безрезультататно... Имею: Дома Start II с белым IP, локалка 192.168.2.0/24. В офисе 4G III на серой йоте, локалка 192.168.1.0/24 Соединил их с помощью IPSec VPN. Сделал проброс портов к удаленному серверу. При локальном подключении из дома в офис по проброшенным портам типа "adress.mykeenetic.ru:5000" все проходит (RDP, сервак Apache/MySQL). При попытке подключения из интернета ничего не происходит. Не могу понять в чем дело. Домашний Start II не пробрасывает трафик при внешнем подключении в IPSec туннель? Можно ли как-нибудь исправить ситуацию? Пока что временное и костыльное решение для меня - подключаться с недомашнего компа сначала по VPN к домашнему роутеру, ну и после этого все подключается как в локалке. Спасибо.
  14. Добрый день! В свете последних событий стало очень актуально )) Имею настроенный в Giga II 2.12 туннель в tunnelbroker.net для ipv6. В рамках локалки всё прекрасно работает. Но вот для VPN ipsec клиентов (ios например) эта история не раздаётся, ipv6 адреса не назначаются и т.д. Подсеть в vpn сделал такую же как и в локалке (хотя это не важно). Я понимаю, что по умолчанию это и не должно происходить, но можно ли руками это соединить.
  15. Добрый день. Бьюсь над проблемой. Есть Giga III и есть iPhone Соединение с интернетом (Билайн) через l2tp. Мне потребовался сервер IPsec для работы в локалке на удаленке. Все работает вроде как, все хосты пингуются с телефона и телефон с устройств в локалке. DLNA, http работают, но samba сервисы недоступны. В логах при попытке подключиться вот такое безобразие, подскажите пожалуйста как быть и что делать. Apr 14 11:22:30ndm kernel: EIP93: PE ring[34] error: AUTH_ERR Apr 14 11:22:30ndm kernel: EIP93: PE ring[42] error: AUTH_ERR Apr 14 11:22:30ndm kernel: EIP93: PE ring[43] error: AUTH_ERR Apr 14 11:22:31ndm kernel: EIP93: PE ring[44] error: AUTH_ERR Apr 14 11:22:31ndm kernel: EIP93: PE ring[45] error: AUTH_ERR Apr 14 11:22:33ndm kernel: EIP93: PE ring[46] error: AUTH_ERR Apr 14 11:22:35ndm kernel: EIP93: PE ring[47] error: AUTH_ERR Apr 14 11:22:40ndm kernel: EIP93: PE ring[64] error: AUTH_ERR Apr 14 11:22:42ndm kernel: EIP93: PE ring[72] error: AUTH_ERR
  16. Доброго времени суток. Для окончательного решения вопроса о приобретении KN-1010 необходимо выяснить возможность его работы в такой схеме. офис 1: внешний IP 192.192.1.1 внутренняя сеть 192.168.1.0/24 офис 2: внешние IP1 201.201.1.1 IP2 211.211.1.1 внутренняя сеть 10.10.1.0/24 в офисе 1 будет стоять Keenetic KN-1010 в офисе 2 стоит Cosco, IP1 основной, IP2 резервный. Есть DNS-имя для коннекта к Cisco через AnyConnect vpn.office2.com Возможно ли настроить Keenetic для работы с IPSec site-to-site через шлюз с IP1, а при потере связи переход на туннель со шлюзом IP2. Сейчас используется TP-Link, но он не позволяет создать два туннеля с одинаковыми внутренними и удаленными подсетями. Например, VPN1 вн.сеть 192.168.1.0/24, удаленная.сеть 10.10.1.0/24 удаленный шлюз 201.201.1.1 VPN2 вн.сеть 192.168.1.0/24, удаленная.сеть 10.10.2.0/24 удаленный шлюз 201.201.1.1 можно, т.к. для удаленного шлюза разные сочетания внутренней и удаленной подсетей А для ситуации VPN1 вн.сеть 192.168.1.0/24, удаленная.сеть 10.10.1.0/24 удаленный шлюз 201.201.1.1 VPN2 вн.сеть 192.168.1.0/24, удаленная.сеть 10.10.1.0/24 удаленный шлюз 211.211.1.1 такие настройки недопустимы. Предполагаю, что может быть возможна настройка туннеля с помощью указания в качестве шлюза DNS-имени: VPN вн.сеть 192.168.1.0/24, удаленная.сеть 10.10.1.0/24 удаленный шлюз vpn.office2.com Или же может быть здесь реализован механизм наподобие Cisco, когда создается tunnel-group, где прописываются адреса двух ISP. Спасибо за помощь в разъяснении данного вопроса.
  17. Суть задачи следующая. Основной интернет канал на даче по проводу, резервный на модеме с серым адресом создаю соединение на Zyxel Ultra II на интерфейсе модема l2tp + ipsec до сервера с прямым адресом на сервере делаю проброс порта 3389 на адрес полученный Zyxel а на Zyxel правило проброса 3389 в локальную сеть на ПК Не работает... Если Mikroik -> Mikrotik работает Мне надо что бы Mikrotik сервер VPN -> Zyxel работало.... Перепробовал разные комбинации настроек - чет никак... Может быть есть какой то другой способ что бы в случаи падения основного канала можно было достучаться до внутренней сети и сервисов... Или я чет не там где то настраиваю? Если кто то делал что то подобное напишите пожалуйста как чего куда.... p.s. где l2tp ipsec на Zyxel - c галочкой использовать для доступа в интернет и без нее результат одинаковый прошивка 2.10.C.1.0-0
  18. Хотел сделать стенд для проверки фрагментации EoIP. Extra II и Start II, оба на прошивке 2.11.A.9.0-0, практически "зеркальные" настройки - после прописывания ipsec preshared-key на Extra II соединение стало в ожидание поднятия IPsec, а на Start II ndm: Service: "StrongsWan": unexpectedly stopped даже после ребута. ЧЯДНТ? Self-тесты с обоих устройств ниже
  19. В настройке есть параметр crypto ipsec mtu, если его выставить в 1500, то все равно большие пакеты не пролезают через тоннель. Как определяется MTU в случае site-to-site ipsec vpn? Можно ли его увеличить до 1500?
  20. Здравствуйте! Подскажите, а в чем разница между IPSec VPN на вкладке "Безопасность" и Сервер IPSec на вкладке "Приложения"? По настройкам совсем разные. Второй выглядит гораздо проще, а следовательно, менее защищенным, т.к. не известно, что там внутри. Исходная задача - подключение устройств в т.ч. телефонов к домашней сети. Спасибо.
  21. Добрый день. Пробежался по статьям на сайте zyxel и ответам на вопросы и не удалось выяснить то, что мне нужно. Собираюсь организовать IPSec туннель между двумя Ultra II (прошивки самые последние) по статье "Организация туннеля IPSec VPN между двумя интернет-центрами Keenetic Ultra II и Giga III". Там вроде все понятно написано, но нет главного ответа на мой вопрос, как сделать так, чтобы IPSec "клиент" в виде одной из Ultra II забирал интернет с IPSec "сервера" в виде другой Ultra II. Т.е. суть проста, у меня за городом дом, там стоит LTE антенна с модемом ZTE MF823, воткнутым в Ultra II и получаю интернет от мобильного оператора. В городе у меня офис и стоит роутер Ultra II и сверх быстрый интернет со статическим внешним IP. Мне по факту нужно из загородного дома использовать мой офисный интернет (доступ к офисной сети и компам даже не нужен), т.к. во-первых на каждом сайте у меня не будут просить вводить сложнейшую рекапчу из-за того, что с таким IP ходит в интернет тысячи людей и во-вторых рассчитываю на более стабильный доступ в интернет (насколько он получится стабильным это уже узнаю на практике конечно). Поискал здесь на форуме, тоже есть некоторые похожие вопросы, но боюсь там настолько краткие ответы и устаревшие прошивки, что просто не понимаю где искать какие-то дефолтные маршруты и надо ли. Друзья, если не сложно, подскажите по пунктам как это правильно организовать. Заранее благодарен.
  22. Здравствуйте! Случилась оказия завести сервер который сидит за серым IP и потребовалось пробросить на него порт по туннелю от шлюза с белым IP. Схема один в один как в статье http://blog.kvv213.com/2017/03/podklyuchaemsya-k-udalennomu-routeru-zyxel-po-ipsec-vpn-cherez-strongswan-na-headless-ubuntu-14lts/ за некоторым исключением: туннель GRE/IPSec на strongswan. Туннель устанавливается, тут всё нормально: ipsec-eoip{1}: INSTALLED, TUNNEL, reqid 1, ESP in UDP SPIs: c6644240_i c9bb72d4_o ipsec-eoip{1}: 192.168.2.2/32 === 192.168.0.1/32 а вот дальше, как пробросить порт начинаю буксовать: во первых не видят друг друга концы туннеля, с левой машины на ping 192.168.100.1 тишина.... From 192.168.100.2 icmp_seq=1 Destination Host Unreachable во вторых, проброска порта, но до этого пока не доходит. из-за во первых... где что я не доделал или накосячил? Что сделать чтобы концы туннеля GRE друг друга увидели? слева на машине linux: ip addr 1: lo: <LOOPBACK,UP,LOWER_UP> ... 2: enp4s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP group default qlen 1000 link/ether 00:1a:64:94:68:74 brd ff:ff:ff:ff:ff:ff inet 192.168.2.2/24 brd 192.168.2.255 scope global enp4s0 ... 3: enp6s0: <BROADCAST,MULTICAST> mtu 1500 qdisc noop state DOWN group default qlen 1000 link/ether 00:1a:64:94:68:76 brd ff:ff:ff:ff:ff:ff 4: gre0@NONE: <NOARP> mtu 1476 qdisc noop state DOWN group default qlen 1000 link/gre 0.0.0.0 brd 0.0.0.0 5: gretap0@NONE: <BROADCAST,MULTICAST> mtu 1462 qdisc noop state DOWN group default qlen 1000 link/ether 00:00:00:00:00:00 brd ff:ff:ff:ff:ff:ff 9: grelan@enp4s0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1462 qdisc fq_codel state UNKNOWN group default qlen 1000 link/ether 46:cf:f7:8f:fc:58 brd ff:ff:ff:ff:ff:ff inet 192.168.100.2/24 scope global grelan .... слева: ip route default via 192.168.100.1 dev grelan (БЕЛЫЙ IP Zyxel) via 192.168.2.1 dev enp4s0 192.168.2.0/24 dev enp4s0 proto kernel scope link src 192.168.2.2 192.168.100.0/24 dev grelan proto kernel scope link src 192.168.100.2
  23. Приветствую! Проблема: IKEv1 шлет нулевое значение времени жизни ISAKMP SA lifetime вне зависимости от заданного в web-интерфейсе значения (см. скриншот и информацию ниже). Из-за этой проблемы нет возможности построить IPsec-туннель с оборудованием S-Terra Gate 4.1. Подробнее: 1) Вывод из tcpdump на ответной стороне (lifeduration value=0000): 19:40:33.359985 IP (tos 0x0, ttl 59, id 33699, offset 0, flags [DF], proto UDP (17), length 196) 46.39.231.48.32442 > 172.16.5.2.500: [udp sum ok] isakmp 1.0 msgid 00000000 cookie 508f08fc14c2b9eb->0000000000000000: phase 1 I ident: (sa: doi=ipsec situation=identity (p: #0 protoid=isakmp transform=1 (t: #1 id=ike (type=enc value=aes)(type=keylen value=0100)(type=hash value=sha1)(type=group desc value=modp1536)(type=auth value=preshared)(type=lifetype value=sec)(type=lifeduration value=0000)))) (vid: len=16 afcad71368a1f1c96b8696fc77570100) (vid: len=20 4048b7d56ebce88525e7de7f00d6c2d380000000) (vid: len=16 4a131c81070358455c5728f20e95452f) (vid: len=16 90cb80913ebb696e086381b5ec427b1f) 2) В системном журнале пишется, что значение выставляется верно (lifetime set to 3600 s): Jul 01 20:03:40 ndm IpSec::Manager: crypto ike proposal "to_Sterra4.1" encryption algorithm "aes-cbc-256" added. Jul 01 20:03:40 ndm IpSec::Manager: crypto ike proposal "to_Sterra4.1" DH group "5" successfully added. Jul 01 20:03:40 ndm IpSec::Manager: crypto ike proposal "to_Sterra4.1" integrity algorithm "sha1" successfully added. Jul 01 20:03:40 ndm IpSec::Manager: crypto ike policy "to_Sterra4.1" proposal "to_Sterra4.1" successfully added. Jul 01 20:03:40 ndm IpSec::Manager: crypto ike policy "to_Sterra4.1" lifetime set to 3600 s. Jul 01 20:03:40 ndm IpSec::Manager: crypto ike policy "to_Sterra4.1" mode set to "ikev1". Jul 01 20:03:40 ndm IpSec::Manager: crypto ike policy "to_Sterra4.1" negotiation-mode set to "main". Jul 01 20:03:40 ndm IpSec::Manager: crypto ike key "to_Sterra4.1" successfully updated. 3) Со стороны S-Terra Gate 4.1 (Life Time: 0): Jul 1 20:00:38 localhost vpnsvc: 10000001 <47:0> Start IKE session, Request: Inbound ISAKMP packet, type Main, peer 46.39.231.48:32442, sessionId FD630224261656EC.0 Jul 1 20:00:38 localhost vpnsvc: 00101012 <47:0> Received ISAKMP proposals: Jul 1 20:00:38 localhost vpnsvc: 00101013 <47:0> Transform #1: Cipher:AES-CBC, Attr(14):(256), Hash:SHA, Group:MODP_1536, Auth:Pre-Shared Key, Life Time:0 Jul 1 20:00:38 localhost vpnsvc: 00101031 <47:0> Checking Transform #1 for Rule "IKERule:CMAP:1:DMAP:1", Transform #2: payload malformed Jul 1 20:00:38 localhost vpnsvc: 00101031 <47:0> Checking Transform #1 for Rule "IKERule:CMAP:1:DMAP:2", Transform #2: payload malformed Jul 1 20:00:38 localhost vpnsvc: 10000018 <47:0> IKE session stopped at [Main Mode, Responder, Packets 1,2][Compare policy], Reason: NO-PROPOSAL-CHOSEN Jul 1 20:00:38 localhost vpnsvc: 10000001 <47:1> Start IKE session, Request: ISAKMP notification, type Informational, peer 46.39.231.48:32442, sessionId FD630224261656EC.C2B631EF Jul 1 20:00:38 localhost vpnsvc: 1000001b <47:1> Sending notification [NO-PROPOSAL-CHOSEN] for <47:0> Jul 1 20:00:38 localhost vpnsvc: 10000002 <47:1> Session completed 4) Насколько я понимаю, то в соответствии со стандартом RFC2409 нулевое значение недопустимо. Информация об устройстве: 1) роутер zyxel keenetic ultra II; 2) версия ПО: v2.08(AAUX.0)C2.
  24. Коллеги, благодаря уважаемым Le ecureuil, ndm и другим добрым людям, я получил 2.10 с OpenVPN на Keenetic III. Результаты тестов не тривиальны. Имеем 4G модем со стабильной скоростью 20-22 Mbps. Подключаем Компьютер с OpenVPN клиентом. Потери скорости минимальны и сравнимы с погрешностью. AES-256-CBC UDP подключаем модем к Keenetic III и получаем 20-22 MBps при загрузке процессора до 15%. Включаем на Кинетике IPSEC и получаем немного за 7MBps с загрузкой ЦП от 80 до 100% Включаем на кинетике OPENVPN UDP и получаем до 10 MBps с загрузкой ЦП от 80 до 100% Включаем Кинетике OPENVPN TCP и получаем до 10 MBps с загрузкой ЦП от 70 до 85% не правда ли, удивительно, что в моем случае, получается, что OPENVPN может быть шустрее IPSEC? В ДОГОНКУ - ((((Слава админам! Практически все мои 87 Кинетика III на 2.10 по Open VPN получили скорость свыше 3MBPS, чего нам достаточно!))))
  25. Дано: Ultra2 - сервер с белым IP Giga2 - клиент за нат Создал автоматический IPIP туннель Со стороны сервера в логах все ок туннель поднялся: IpSec::Configurator: crypto map "IPIP2" is up. А вот со стороны клиеннта следующая ошибка: Jun 10 16:44:25ipsec 12[IKE] no acceptable traffic selectors found Jun 10 16:44:25ipsec 12[IKE] closing IKE_SA due CHILD_SA setup failure Jun 10 16:44:25ndm IpSec::Configurator: error while establishing CHILD_SA crypto map "IPIP2" connection. И клиент уходит на реконнект селф с клиента далее.
×
×
  • Create New...