Mikrotik IPsec VPN site to site

[sxbcl]

Λάθος...
routeS ήθελα να γράψω όχι routeR
ip > routes

Στο ΜΤ του σπιτιού το μόνο route είναι το default 0.0.0.0/0 -> 192.168.1.1 (router Cosmote)
Σου γραφείου για ότι αφορά το δίκτυο του σπιτιού επίσης δεν έχω τίποτα. Πότε στο IPsec VPN στα ΜΤ δεν κάνω routes, δε χρειάζονται

[deniSun]

Σου γραφείου για ότι αφορά το δίκτυο του σπιτιού επίσης δεν έχω τίποτα.

Πρέπει να το ορίσεις γιατί διαφορετικά θα το στέλνει από την έξοδο του internet (ether/ppp) αντί από το vpn tunnel.
Συνήθως τέτοιες καθυστερήσεις γίνονται από πακέτα που δεν ξέρουν από που να φύγουν και φεύγουν από λάθος gw.
Εκτός αν σου το δημιουργεί δυναμικά κατά την σύνδεση.
Και πάλι όμως θέλει προσοχή μήπως υπάρχει ίδια εγγραφή πχ 0.0.0.0 > gw

[sxbcl]

Πρέπει να το ορίσεις γιατί διαφορετικά θα το στέλνει από την έξοδο του internet (ether/ppp) αντί από το vpn tunnel.
Συνήθως τέτοιες καθυστερήσεις γίνονται από πακέτα που δεν ξέρουν από που να φύγουν και φεύγουν από λάθος gw.
Εκτός αν σου το δημιουργεί δυναμικά κατά την σύνδεση.
Και πάλι όμως θέλει προσοχή μήπως υπάρχει ίδια εγγραφή πχ 0.0.0.0 > gw

Αν ήταν έτσι όμως Διονύση, γιατί το ping και το ssh λειτουργεί άψογα;
Από την άλλη δεν υπάρχει interface του VPN για να το ορίσω ως gw στα routes.

[deniSun]

Αν ήταν έτσι όμως Διονύση, γιατί το ping και το ssh λειτουργεί άψογα;
Από την άλλη δεν υπάρχει interface του VPN για να το ορίσω ως gw στα routes.

1. Αν κάνεις ping, traceroute, ssh πάνω από το ΜΤ δουλεύουν και χωρίς routes.
2. Αν έχει γίνει το connection θα πρέπει να το βλέπεις στην λίστα των gw.
3. Στο ros 7 έχουν αλλάξει πολλά με τα routing.

Λογικά αν το σκεφτείς... στέλνεις ένα πακέτο προς το εσωτερικό δίκτυο της άλλης πλευράς.
Από που θα στείλει τα δεδομένα το ρούτερ;
Από την έξοδο για internet ή από το vpn tunnel;

Ένας καλός τρόπος για να δρομολογείς τα πακέτα είναι να τα μαρκάρεις.

/ip firewall mangle
add action=mark-routing chain=prerouting dst-address-list=!local_traffic \
    new-routing-mark=vpn passthrough=yes src-address=192.168.252.0/24

Οπότε θα έχεις κάτι τέτοιο:

/ip route
add disabled=no distance=1 dst-address=0.0.0.0/0 gateway=192.168.1.1 \
    pref-src=0.0.0.0 routing-table=main scope=30 suppress-hw-offload=no \
    target-scope=10
add disabled=no distance=1 dst-address=0.0.0.0/0 gateway=ovpn-out1 pref-src=\
    0.0.0.0 routing-table=vpn scope=30 suppress-hw-offload=no target-scope=10

Το δίκτυο είναι έτσι από την μια μεριά:
ether1: 192.168.5.252
ether2-5 + wan: 192.168.252.252
DNS: 1.1.1.1, 8.8.8.8
DHCP: 192.168.252.100-192.168.252.200, DNS: 192.168.5.39
NAT: masqurate srcnat src_addr: 192.168.5.0/24 ether1 (connection MT to internet via ether1)
NAT: masqurate srcnat src_addr: 192.168.252.0/24 ovpn (connection bridge to internet via vpn)
Routes: 0.0.0.0/0 > 192.168.5.39 (route MT traffic to internet via ether)
Routes: 0.0.0.0/0 > ovp-out1 with mark-con: vpn (route bridge traffic to internet via opevpn)

[dalex]

Τα traceroutes τι σου βγαζουν; Γιατι δεν παιζουν ολα τα πρωτοκολα καλα με asymmetric routes...

[sxbcl]

1. Αν κάνεις ping, traceroute, ssh πάνω από το ΜΤ δουλεύουν και χωρίς routes.
2. Αν έχει γίνει το connection θα πρέπει να το βλέπεις στην λίστα των gw.
3. Στο ros 7 έχουν αλλάξει πολλά με τα routing.

Λογικά αν το σκεφτείς... στέλνεις ένα πακέτο προς το εσωτερικό δίκτυο της άλλης πλευράς.
Από που θα στείλει τα δεδομένα το ρούτερ;
Από την έξοδο για internet ή από το vpn tunnel;

Ένας καλός τρόπος για να δρομολογείς τα πακέτα είναι να τα μαρκάρεις.

/ip firewall mangle
add action=mark-routing chain=prerouting dst-address-list=!local_traffic \
    new-routing-mark=vpn passthrough=yes src-address=192.168.252.0/24

Οπότε θα έχεις κάτι τέτοιο:

/ip route
add disabled=no distance=1 dst-address=0.0.0.0/0 gateway=192.168.1.1 \
    pref-src=0.0.0.0 routing-table=main scope=30 suppress-hw-offload=no \
    target-scope=10
add disabled=no distance=1 dst-address=0.0.0.0/0 gateway=ovpn-out1 pref-src=\
    0.0.0.0 routing-table=vpn scope=30 suppress-hw-offload=no target-scope=10

Το δίκτυο είναι έτσι από την μια μεριά:
ether1: 192.168.5.252
ether2-5 + wan: 192.168.252.252
DNS: 1.1.1.1, 8.8.8.8
DHCP: 192.168.252.100-192.168.252.200, DNS: 192.168.5.39
NAT: masqurate srcnat src_addr: 192.168.5.0/24 ether1 (connection MT to internet via ether1)
NAT: masqurate srcnat src_addr: 192.168.252.0/24 ovpn (connection bridge to internet via vpn)
Routes: 0.0.0.0/0 > 192.168.5.39 (route MT traffic to internet via ether)
Routes: 0.0.0.0/0 > ovp-out1 with mark-con: vpn (route bridge traffic to internet via opevpn)

1. Ping, traceroute & SSH κάνω από PC στο γραφείο, όχι πάνω από το ΜΤ.
2. Δεν υπάρχει αυτό στο site to site IPsec, δε δημιουργεί νέο interface
3. Δεν έχω ROS 7, τα έχω κρατήσει με 6.49.6 για να έχω το κεφάλι μου ήσυχο.

Τα traceroutes τι σου βγαζουν; Γιατι δεν παιζουν ολα τα πρωτοκολα καλα με asymmetric routes...

Κάνοντας traceroute από PC με την ΙΡ 10.100.30.11 στο γραφείο σε μια VoIP συσκευή στο σπίτι:

tracert -d 192.168.1.3

Tracing route to 192.168.1.3 over a maximum of 30 hops

  1    <1 ms    <1 ms    <1 ms  10.100.30.1
  2    14 ms    14 ms    14 ms  192.168.1.254
  3   120 ms    32 ms    21 ms  192.168.1.3

10.100.30.1 είναι ο router στο γραφείο, 192.168.1.254 το ΜΤ στο σπίτι.

Εν τω μεταξύ, χθες το βράδυ, κάποια στιγμή χωρίς να αλλάξω τίποτα, δοκίμασα και άνοιξε το web interface του απομακρυσμένου Mikrotik. Μετά από λίγο χάθηκε πάλι, πράγμα που μου εντείνει την άποψη ότι κάπου κάτι χαλάει το ΖΤΕ της Cosmote...

[BillyVan]

1. Αν δεν εχεις την τηλεφωνια εκτος ZTE τοτε παραμενει εκει με την 2 κληση pppoe απ το Μικροτικ.

2. Δοκιμασε να κανεις DMZ απ το ZTE στην ip του Μικροτικ.

Υπαρχει ενα ενδεχομενο να σκαλωνει κατι στο ZTE.

Τελος στο ZTE εχεις την V7.0.3_OTE.3.T4p2A ?

Ειναι η τελευταια και νομιζω χειροτερη απ την Τ2

[sxbcl]

1. Αν δεν εχεις την τηλεφωνια εκτος ZTE τοτε παραμενει εκει με την 2 κληση pppoe απ το Μικροτικ.

2. Δοκιμασε να κανεις DMZ απ το ZTE στην ip του Μικροτικ.

Υπαρχει ενα ενδεχομενο να σκαλωνει κατι στο ZTE.

Τελος στο ZTE εχεις την V7.0.3_OTE.3.T4p2A ?

Ειναι η τελευταια και νομιζω χειροτερη απ την Τ2

1. Θα το δοκιμάσω όταν πάω εκεί, είναι στο εξοχικό η σύνδεση και δε θα πάω άμεσα.
2. Το δοκίμασα και δε φαίνεται να δουλεύει...

Να πω την αλήθεια, δεν πρόσεξα την έκδοση firmware και δεν έχω πρόσβαση αυτή τη στιγμή να το δω.
Απλά, επειδή το config είναι copy-paste από δεκάδες άλλα που έχω κάνει και λειτουργούν, δε μένει τίποτε άλλο πέρα από το router κατά τη γνώμη μου

[BillyVan]

1. Θα το δοκιμάσω όταν πάω εκεί, είναι στο εξοχικό η σύνδεση και δε θα πάω άμεσα.
2. Το δοκίμασα και δε φαίνεται να δουλεύει...

Να πω την αλήθεια, δεν πρόσεξα την έκδοση firmware και δεν έχω πρόσβαση αυτή τη στιγμή να το δω.
Απλά, επειδή το config είναι copy-paste από δεκάδες άλλα που έχω κάνει και λειτουργούν, δε μένει τίποτε άλλο πέρα από το router κατά τη γνώμη μου

Επειδη την εχω πατησει

Αν εχεις διαθεσιμο παρε μαζι σου οταν πας ενα plus ή ενα μοντεμ spare τελος παντων.

[sxbcl]

Επειδη την εχω πατησει

Αν εχεις διαθεσιμο παρε μαζι σου οταν πας ενα plus ή ενα μοντεμ spare τελος παντων.

Θα ήταν το πρώτο που θα είχα κάνει, αλλά δυστυχώς δεν έχω.

[sokin87]

Τελικά το βρήκες το πρόβλημα; Ανέφερες ότι στο γραφείο έχεις 2.0/24 όχι 10.χ.χ.χ.

[sxbcl]

Τελικά το βρήκες το πρόβλημα; Ανέφερες ότι στο γραφείο έχεις 2.0/24 όχι 10.χ.χ.χ.

Δεν έβγαλα άκρη και το παράτησα προσωρινά.
Σε ό,τι αφορά τις IPs, ήμουν στη φάση που άλλαζα τα δίκτυα στο γραφείο και ενεργοποιούσα καινούρια VLANs. Δεν έχει να κάνει όμως με αυτό το πρόβλημά μου, καθώς έχω κάνει όλες τις παραμετροποιήσεις για τα νέα δίκτυα και επίσης δοκίμασα τα ίδια και από το παλιό δίκτυο .2.0/24 με τα ίδια αποτελέσματα.
Έχω καταλήξει ότι το πιθανότερο είναι κάτι να φταίει είτε με τη σύνδεση γενικότερα και να χάνονται κάποια πακέτα, είτε με το καινούριο router της Cosmote. Ο λόγος είναι ότι σε μια ακόμη δοκιμή που έκανα, κατάργησα το site to site IPSec VPN, και έκανα ένα OpenVPN απευθείας από την απομακρυσμένη VoIP συσκευή (η συσκευή έχει OpenVPN client). Στην περίπτωση αυτή ναι μεν βλέπω την απομακρυσμένη συσκευή από το γραφείο, αλλά όταν μιλάμε έχει πολλές διακοπές και πολλές φορές κακή ποιότητα ήχου, πράγμα που δε συμβαίνει από το δικό μου σπίτι για παράδειγμα, ή από όποιο άλλο απομακρυσμένο σημείο την έχω δοκιμάσει.
Σκέφτηκα μήπως έχει κάποιο θέμα το MTU size του router της Cosmote, αλλά το τσέκαρα και είναι 1492.

[deniSun]

Δεν έβγαλα άκρη και το παράτησα προσωρινά.
Σε ό,τι αφορά τις IPs, ήμουν στη φάση που άλλαζα τα δίκτυα στο γραφείο και ενεργοποιούσα καινούρια VLANs. Δεν έχει να κάνει όμως με αυτό το πρόβλημά μου, καθώς έχω κάνει όλες τις παραμετροποιήσεις για τα νέα δίκτυα και επίσης δοκίμασα τα ίδια και από το παλιό δίκτυο .2.0/24 με τα ίδια αποτελέσματα.
Έχω καταλήξει ότι το πιθανότερο είναι κάτι να φταίει είτε με τη σύνδεση γενικότερα και να χάνονται κάποια πακέτα, είτε με το καινούριο router της Cosmote. Ο λόγος είναι ότι σε μια ακόμη δοκιμή που έκανα, κατάργησα το site to site IPSec VPN, και έκανα ένα OpenVPN απευθείας από την απομακρυσμένη VoIP συσκευή (η συσκευή έχει OpenVPN client). Στην περίπτωση αυτή ναι μεν βλέπω την απομακρυσμένη συσκευή από το γραφείο, αλλά όταν μιλάμε έχει πολλές διακοπές και πολλές φορές κακή ποιότητα ήχου, πράγμα που δε συμβαίνει από το δικό μου σπίτι για παράδειγμα, ή από όποιο άλλο απομακρυσμένο σημείο την έχω δοκιμάσει.
Σκέφτηκα μήπως έχει κάποιο θέμα το MTU size του router της Cosmote, αλλά το τσέκαρα και είναι 1492.

Κώστα, θα ήταν καλό να βάλεις ένα smokeping να τρέξει για μερικά 24ωρα και να δούμε αν έχεις packet loss ή αν αυξάνεται Latency.

[sxbcl]

Κώστα, θα ήταν καλό να βάλεις ένα smokeping να τρέξει για μερικά 24ωρα και να δούμε αν έχεις packet loss ή αν αυξάνεται Latency.

Σωστό κι αυτό, αλλά σε λιγότερο από 2 βδομάδες μάλλον θα είμαι εκεί επί τόπου και θα το ψάξω καλύτερα, μήπως και κάτι δεν είναι σωστά στημένο.
Στην τελική θα δοκιμάσω να κάνω το PPPoE από το ΜΤ και θα δω αν αλλάζει κάτι. Δυστυχώς δεν μπόρεσα να βρω κάποιο Speedport απλό για να το βάλω στη θέση του ΗΤ1600

[deniSun]

Σωστό κι αυτό, αλλά σε λιγότερο από 2 βδομάδες μάλλον θα είμαι εκεί επί τόπου και θα το ψάξω καλύτερα, μήπως και κάτι δεν είναι σωστά στημένο.
Στην τελική θα δοκιμάσω να κάνω το PPPoE από το ΜΤ και θα δω αν αλλάζει κάτι. Δυστυχώς δεν μπόρεσα να βρω κάποιο Speedport απλό για να το βάλω στη θέση του ΗΤ1600

Επειδή δεν θυμάμαι τι έγραψες...
το ΜΤ είναι πίσω από το speed με passthrough ή απλά το έχεις πίσω από το speed;