это у вас нужно траблшутингом заниматься CCR должен гораздо больше цифры выдавать

Некоторые свои филиалы подключают L2tp+IPSec, а у меня такая связка больше 15 Мбит/с не разгонялась, в то же время GRE+IPSec у меня разгоняется и до 50Мбит/с

Кстати какие преимущества у ike2 по сравнению с l2tp/ipsec для site2site? Сертификаты?

эээээ ike2 часть ipsec же, не?

Ну и я о том же. Сейчас модно site2site делать на ike2

Сейчас проверю у себя. Напомните пожалуйста какие он порты использует по-умолчанию?

1701,500,4500 по идее

Кстати какие преимущества у ike2 по сравнению с l2tp/ipsec для site2site? Сертификаты?

Это хз. Я на время теста дроп инпут отключал

Сейчас проверю у себя. Напомните пожалуйста какие он порты использует по-умолчанию?

Я про btest-server

allocate-udp-ports-from (integer 1000..64000; Default: 2000)

Быстрое переподключение, возможность работы из-за NAT более одного клиента одновременно. Для s2s не знаю, спорно, интерфейсов нет. Пока пара филиалов - некритично, но на 10+ вручную маршруты писать такое себе.

Я на site2site делаю l2tp с соседними адресами local и remote и на получившейся сети /31 поднимаю ospf. Ничего вручную.

А не проще гре?

Я про те случаи, когда необходимо шифрование

Я про те случаи, когда необходимо шифрование

Быстрое переподключение, возможность работы из-за NAT более одного клиента одновременно. Для s2s не знаю, спорно, интерфейсов нет. Пока пара филиалов - некритично, но на 10+ вручную маршруты писать такое себе.

IPSec поверх GRE

ну когда маршруты морокой становятся надо ospf/bgp подымать не?

там нет интерфейсов же, для OSPF нужны интерфейсы

Тот же вопрос: какие преимущества по сравнению с l2tp/ipsec?

ну когда маршруты морокой становятся надо ospf/bgp подымать не?

а в ikev2 в микротике нет интерфейсов и поднимать ospf не на чем (ну разве что поднимать пустой gre/ipip и поверх него уже ospf, но это по сути тоже самое, что ipip+ipsec только руками

Gre меньше overhead но нужна белая статика с двух сторон

Только наличие 2х белых адресов не требуется.

Gre меньше overhead но нужна белая статика с двух сторон

белая, но можно и динамику, вполне норма работает по имени

вы путаете понятия белый/серый адреса и динамический/статический

я ничего не путаю, разницу я прекрасно понимаю, в данном случае все написано правильно

я ничего не путаю, разницу я прекрасно понимаю, в данном случае все написано правильно

перечитал комметарий, пока заканчивать рабочий день :) вообще когда есть белая динамика в условиях юр лица, купить статику не проблема я лично всех заставляю

Он что, дёргает днс раз в минуту?

в одном моем филиале провайдер дает белый адрес, но не дает услугу статического адреса и вариантов куда метнуться особо нет.

Сервер CCR - клиент cAP ac, похоже по-умолчанию UDP трафик

Что за cap ac2

А в гре имя можно писать разве?

А aes192 выключено?

выключено

Очень странно. Cap ac есть у меня. Какой ccr?

да, вполне можно, в peer задается как ip так и fqdn

Ух ты. Раньше нельзя было

А aes192 выключено?

Тут наверное стоит сказать, что L2tp у меня используется для виндовых клентов, для которых был сделан файл CMAK и всё настроено внутри него. Они просто запускают и создаётся подключение к нужному серверу с нужными маршрутами. Я не помню, но скорее всего выбраны стандартные для windows алгоритмы шифрования. А их там по-моему было немного. Возможно стОит что-то пересмотреть и добавить более быстрых алгоритмов из доступных.

Тут наверное стоит сказать, что L2tp у меня используется для виндовых клентов, для которых был сделан файл CMAK и всё настроено внутри него. Они просто запускают и создаётся подключение к нужному серверу с нужными маршрутами. Я не помню, но скорее всего выбраны стандартные для windows алгоритмы шифрования. А их там по-моему было немного. Возможно стОит что-то пересмотреть и добавить более быстрых алгоритмов из доступных.

Не 15, но не впечатляет всё равно

Локальный

https://support.microsoft.com/ru-ru/help/325158/default-encryption-settings-for-the-microsoft-l2tp-ipsec-virtual-priva вот тут указано: 3DES, SHA1, modp1024 - у меня это как бы и стоит

Локальный

Я по умолчанию оставил, только 192 выключил. Всё цепляется

а у меня через интернеты) более реальная сеть

А тут позвольте вопрос, по-умолчанию 192 не включен. Можете показать настройки для l2tp-пиров?

Так, вопрос в том что у меня cAP ac стоит дома, и я через него хожу в интернет. С него построен туннель до CCR который я тестирую. Между cAP ac и CCR через белые адреса 90Мбит/с, через l2tp+IPSec туннель порядка 10-15Мбит/с

А тут позвольте вопрос, по-умолчанию 192 не включен. Можете показать настройки для l2tp-пиров?

По умолчанию 192 включен:

а чего тестите, а то у меня в офисе есть 4011 и cap ac на гигабите, могу их потероррить?