Dotaz: Win klient L2TP nenavaze spojeni v EoIP siti

[RadekXxX]

Ahoj, mam 2 lokality s mikrotikem propojene pomoci EoIP s presdilenym klicem, na kazde lokalite jeste bezi L2TP server na ktery se muzu pripojit zvenci, pomoci L2TP klienta, vse funguje. Ale, kdyz se pokusim navazat L2TP spojeni z nejakeho PC, ktere je pripojeno ve vnitrni siti v jedne lokalite na druhou, tak v logu mikrotiku vidim "wrong password", mikrotik si mysli, ze spojeni navazuje EoIP tunel, ktery ma jiny predsdileny klic. Lze to nejakym zpusobem resit ? Diky, za radu.

Odpovědi

[Max]

Moc tomu nerozumím. Lokality jsou propojeny pomocí EoIP a i tak se z jedné lokality snažíš připojit na Mikrotik z Win stanice jako klient?
Jinak předpokládám, že reálně máš lokality propojený přes ipsec a EoIP a L2TP máš až nad ním. Tj. povolený jen porty UDP500 a UDP4500.
Zdar Max

[RadekXxX]

Ano, je to presne tak. Abych popsal o co se me jedna, krome firemniho prostredi, ten mikrotik zajistuje i pripojeni pro nekolik bytu, ktere jsou oddleny od firemni site a do jednoho bytu se nastehoval zamestnanec a chci mu udelat pristup do firemni site, nechci mu davat zasuvku v byte do firmeniho VLANu ani to resit firewallem na nejakou MAC adresu, proste chci, aby ten byt mel nadale oddeleny pripojeni, protoze neni zadna kontrola co si do te zasuvky pripoji nebo si tam udela nejakou svoji wifi, kde bude pripojeno buhvico. Jinak normalne se zamestnanci z home office jako L2TP klienti pripojuji bez problemu.

[Max]

Chtělo by to výpis konfigurace. Veřejnou IP zamaskuj stejně jako PSK a další klíče, lokální rozsahy klidně nechej.
Zdar Max

[RadekXxX]

Nevim jestli nebude problem v tom, ze na UDP portu jiz probiha ipsec z verejne ip adresy a ta stejna adresa se snazi sestavit dalsi ipsec z jinym klicem.

[X]

Klienti mimo firemni VLAN lezou ven pres stejnou verejnou IP?

[RadekXxX]

Ano

[X]

Rekl bych, ze ten problem je trochu slozitejsi. Na kazdem Mikrotiku jsou dve dynamicke IPSec policy, jedna generovana pro EoIP tunel a druha pro L2TP server. Kazda v sobe definuje jake site za tunelem propojuje a jaky protejsek se muze pripojit. Ja hadam, ze na tom Mikrotiku, kde neni ta ne-firemni sit je prvni policy EoIP tunel, do ktereho "omylem" padne i ten tvuj klient na zaklade shody s parametry. Tzn. mozna by stacilo to poradi policy obratit a snad se ten EoIP tunel nerozpadne ;).