"где настройки" - хорош только когда этот девайс используется только для l2tp сервера

Ну видимо хватает

и я

Не могу я лог показать с телефона

Рад. :) Но вернёмся

Не могу я лог показать с телефона

Проверьте keep-alive на сервере на котором остаётся белый ip

Не могу я лог показать с телефона

Блин И профили точно разные для клиента и сервера ? Смотрю скрин вреде один и тот же

Проверьте keep-alive на сервере на котором остаётся белый ip

Я не понимаю вас

Для клиента дефолтный, для сервера свой

Соответсвенно при подключении клиент получает от сервера Настройки

Я не понимаю вас

3 у меня

Ладно. Переливаем. @nU8Fw настроены друг на друга (2 пары клиент-сервер) из под реальных ip. На одной из сторон может перейти Подключение не с реального а через серый и нат. Ждём @moneron

в общем, есть проблема: микротик для l2tp клиента использует udp port 1701 т.е. соединение идёт с 1701 порта на 1701. Отсюда вывод - плохо получится натравить 2 l2tp друг на друга - для микротика всё смешается в одну кучу. рекомендую использовать разные протоколы

в общем, есть проблема: микротик для l2tp клиента использует udp port 1701 т.е. соединение идёт с 1701 порта на 1701. Отсюда вывод - плохо получится натравить 2 l2tp друг на друга - для микротика всё смешается в одну кучу. рекомендую использовать разные протоколы

Без IPSec то все работает.

Учится человек

ок. Как это выглядит в таблице соединений?

ок. Как это выглядит в таблице соединений?

Vladimir ? Ip firewall connection отфильтруйте по 1701 при двух белых ip

пытаемся починить? мне вот сейчас интересно, как это вообще работать будет? Особенно, если утверждают что работает-таки.

пытаемся починить? мне вот сейчас интересно, как это вообще работать будет? Особенно, если утверждают что работает-таки.

Если IPSec включён в l2tp то бегают esp. А вот что бы они побежали идёт согласование. А при л2тп там внутри передаётся тунель id по нему можно рулить.

внутри. а вот в коннекш трекинге как? подозреваю, IPsec НЕ смотрит внутрь l2tp. А значит для него существенны протокол и ip/port каждой из сторон. а они совпадают

внутри. а вот в коннекш трекинге как? подозреваю, IPsec НЕ смотрит внутрь l2tp. А значит для него существенны протокол и ip/port каждой из сторон. а они совпадают

Там по срц дст будут отличаться

aaa.aaa.aaa.aaa:1701 -> bbb.bbb.bbb.bbb:1701 bbb.bbb.bbb.bbb:1701 -> aaa.aaa.aaa.aaa:1701 Так что ли отличаться?

тогда вопрос тебе - сколько SA будет на одну сессию? а сколько на эти две?

тогда вопрос тебе - сколько SA будет на одну сессию? а сколько на эти две?

Вот хороший вопрос

aaa.aaa.aaa.aaa:1701 -> bbb.bbb.bbb.bbb:1701 bbb.bbb.bbb.bbb:1701 -> aaa.aaa.aaa.aaa:1701 Так что ли отличаться?

Ну подними посмотри. :)

а теперь - чем трафик A-клиент к Б-серверу отличается от ответов второго (от А-сервера к Б-клиенту) соединения?

а теперь - чем трафик A-клиент к Б-серверу отличается от ответов второго (от А-сервера к Б-клиенту) соединения?

Ты про esp или л2тп?

Но думаю что и там и там содержится информация туннель айди

туннель айди не указать в полиси)

Да ещё раз говорю что у него не чистый IPSec

На всякий случай, ещё раз в общем виде задача: Есть 2 офиса,в каждом из которых микротик. В каждом - основной интернет с белым ip, запасной с серым. Задача соединить сетки этих офисов так, чтобы при падении в одном из офисов основного интернета связь оставалась.

из описания и диагонального чтения того, что понаписали

т.ч. это моё видение, имхо, нижайше полагаю

На всякий случай, ещё раз в общем виде задача: Есть 2 офиса,в каждом из которых микротик. В каждом - основной интернет с белым ip, запасной с серым. Задача соединить сетки этих офисов так, чтобы при падении в одном из офисов основного интернета связь оставалась.

Ну видимо да

На всякий случай, ещё раз в общем виде задача: Есть 2 офиса,в каждом из которых микротик. В каждом - основной интернет с белым ip, запасной с серым. Задача соединить сетки этих офисов так, чтобы при падении в одном из офисов основного интернета связь оставалась.

И если так то какое решение?

а, вон Антон написал)

ещё варианты юзать в другую сторону не l2tp а что то другое

а, вон Антон написал)

Но чел то пишет что если клиента передернуть на стороне где остался белый то все ок

Антон, промежуточный узел тут сомнителен ввиду недоверия к его интернету)

Типа того

это тебе пофигу, а потенциальному заказчику нет. "А ну как на промежуточном узле интернеты отвалятся" :)

С облаком реально надежнее. Можно разнести по разным датацентоам.

В его задаче все работает. Нужно смотреть скриптом если клиент удаленный отвалился и перевернуть своего. :)

1) всегда инкапсулируем ipsec в udp 2) при пропадании/возвращении первого инета, трём таблицу соединений. 3) чё-то ещё, н о забыл

Криво косо конечно

Я бы резерв сделал то же на белом ip.

в обоих офисах?

Нафиг

В одном основном. И клиент был бы только с удаленного

хех, туплю

А нафига такая кривая конфигурация вообще? В офисе, где белый ип+нат использовать клиент, в офисе с реальником – сервер. Зачем остальные изголения, да ещё и с ипсеком?

Вы самозабанились, Антон

Я снял ограничение

Vladimir ? Ip firewall connection отфильтруйте по 1701 при двух белых ip

Разрешены 1701,500,4400

Если я все правильно понял, при падении основного канала маршрутизатор правит роуты и выходит в инет через lte модем. Нет одновременных сессий 1701, 50, 4500. по обоим каналам

Поскольку в микротике нет галочки "работать с 2мя провайдерами" вся реализация происходит через скрипт или нетвоч. Там же можно при переключении чистить коннекты для более оперативной установки соединения.

В том числе и отключать и включать серверную часть l2tp при переключении.

L2tp клиент не удастся подключить по ddns адресу микротика?

если ddns указывает на белый адрес, то удастся

Поскольку в микротике нет галочки "работать с 2мя провайдерами" вся реализация происходит через скрипт или нетвоч. Там же можно при переключении чистить коннекты для более оперативной установки соединения.

Да на серверную часть , но работать если с другой и клиента убить. Тоже можно в нетвоч, но вот как потом поднять? Если единственная связь была "пинг" пинга нет, офф. А включить по чему?

Нужно чтобы как каждом белом был сервер. Я показывал что при работе на белых ип обе сервера работают и два Линка держаться стабильно ( разные ключи и профили ). Если один белый падает то с ним ложится сервер на этом же устройстве, а втором все поднято. При этом Линка нет не смотря на то что с серого идёт только клиент на белый сервер. Пока не отключишь нерабочего клиента на белом втором

если ddns указывает на белый адрес, то удастся

Про все модемы не скажу, но ета работает в режиме бриджа, без Ната. К винбоксу подключается по дднс. Если микротик может отрезолвить днс имя в настройках клиента, то должно получиться.

Большая часть модемов так же перешивается под режим бриджа

Если модем через нат работает, можно попробовать пробросить порты

Если я все правильно понял, при падении основного канала маршрутизатор правит роуты и выходит в инет через lte модем. Нет одновременных сессий 1701, 50, 4500. по обоим каналам

Все верно Они не одновременные

Все верно Они не одновременные

Что за lte оборудоване используешь и какой провайдер?

Теле 2 их хуавей, работает хорошо, просто ип получаешь от него и все, сам он как роутер получается

Вообщем если один сервер из двух, то с другой стороны должен быть выключен клиент. Тогда работает. Если оба сервера то оба клиента. Како скрипт написать чтобы поднялся клиент если с другой стороны поднялся сервер?

Стоп, я же могу в этот момент пингануть по другому тунелю

Держите отключённый север на одной стороне и включайте его только если клиент не активен. На другойстороне наоборот.

Но все равно криво косо

Можно срц-натом и маршрутизацией выпускать клиентов сразу из-под резервного прова с натом, тогда, возможно, нормально заживёт

С обеих сторон

Или даже без ната с преф.сорсом

Тут есть кто то, кто обучался не у moneron-а?

да

точнее так: у кого есть опыт обучения mikrotik у одновременно как у него, так и в других "тренинг-центрах"? Хочется получить представление - как у них?

Кидайте впечатления (сравнение) в личку мне