Mikrotik ошибка 809 - Не ошибается лишь тот, кто ничего не делает!

В интересах производственных процессов возникает вопрос обеспечения доступа пользователей к локальной сети предприятия через VPN.

Частным случаем реализации данной задачи является организация доступа через шлюз MikroTik по протоколу L2TP с использованием IpSec и ключа проверки подлинности (IPSec Secret). При этом при создании пользователей для доступа по VPN через сервер L2TP используется профиль SSTP.

Однако, как показала практика, возникают сложности с соединением, выражающиеся в отображении пользователю ошибки 809 при его попытке соединиться с локальной сетью, например:

Устранение данной ошибки является комплексным решением проблемы и включает в себя условно 3 этапа.

1. Модем. При работе из дома пользователи, как правило, используют домашний роутер, предоставленный провайдером услуг Интернет. Необходимо убедиться, что Ваш домашний роутер будет корректно обрабатывать протоколы L2TP и IpSec. Пример решения для одного из модемов приведён в этой заметке.

По личному опыту, этого было достаточно при работе в Linux.

2. Брандмауэр Windows, по умолчанию, блокирует необходимые для описываемого типа VPN-соединения соединения к определённым портам. Для обеспечения соединения нужно открыть доступ к портам UDP 500, 1701, 4500. Назначение этих портов:

500 – ISAKMP – Internet Security Association and Key Management Protocol;

1701 – Layer 2 Forwarding Protocol (L2F) & Layer 2 Tunneling Protocol (L2TP);

4500 – NAT-T – IPSec Network Address Translator Traversal.

Запустите оснастку управления брандмауэром Windows и нажмите на ссылку «Дополнительные параметры»:

Нужно создать 2 правила: для входящих подключений и исходящих подключений. Активизируйте соответствующий пункт в верхнем меню слева:

Далее в верхнем меню справа нажмите на «Создать правило»:

При запросе типа правила укажите, что данное правило создаётся для порта:

Укажите локальные порты UDP: 500, 4500, 1701

Аналогично сделайте и для другого вида подключения (в этом примере далее – для исходящего).

Попробуйте установить соединение. Если не помогло – работаем дальше.

3. Внесение измнения в реестр Windows.

Запустите редактор реестра (regedit) и пройдите в ветку

HKEY_LOCAL_MACHINE System CurrentControlSet Services Rasman Parameters

Создайте двоичный параметр DWORD с именем ProhibitIpSec и значением 1:

Перезагрузитесь. Попробуйте соединиться со своей сетью по VPN. Получилось?

Источник

Столкнулись с интересной проблемой у одного из заказчиков после перенастройки VPN сервера Windows Server 2012 с PPTP на L2TP/ IPSec (из за отключения поддержки PPTP VPN в iOS). Изнутри корпоративной сети VPN клиенты без каких-либо проблем подключаются к VPN серверу, а вот внешние Windows клиенты при попытке установить соединение с L2TP VPN сервером, выдают такую ошибку:

The network connection between your computer and the VPN server could not be established because the remote server is not responding. This could be because one of the network devices (e.g. firewalls, NAT, routers, etc) between your computer and the remote server is not configured to allow VPN connections. Please contact your Administrator or your service provider to determine which device may be causing the problem.

В других версиях Windows о наличии аналогичной проблемы могут свидетельствовать ошибки VPN подключения 800, 794 или 809.

Стоит отметить, что данный VPN сервер находится за NAT, а на маршрутизаторе настроен проброс портов, необходимых для работы L2TP:

UDP 1701 — Layer 2 Forwarding Protocol (L2F) & Layer 2 Tunneling Protocol(L2TP)
UDP 500
UDP 4500 NAT-T – IPSec Network Address Translator Traversal
Protocol 50 ESP

В правилах Windows Firewall VPN сервера эти порты также открыты. Т.е. используется классическая конфигурация. Для подключения используется встроенный VPN клиент Windows.

Если подключаться к этому же VPN серверу через PPTP, подключение успешно устанавливается.

VPN ошибка 809 для L2TP/IPSec в Windows за NAT

Как оказалось, проблема эта уже известна и описана в статье https://support.microsoft.com/en-us/kb/926179. По умолчанию встроенный VPN клиент Windows не поддерживает подключение к L2TP/IPsec через NAT. Дело в том, что IPsec использует протокол ESP (Encapsulating Security Payload) для шифрования пакетов, а протокол ESP не поддерживает PAT (Port Address Translation). Если вы хотите использовать IPSec для коммуникации, Microsoft рекомендует использовать белые IP адреса на VPN сервере.

Но есть и обходное решение. Можно исправить этот недостаток, включив поддержку протокола NAT—T, который позволяет инкапсулировать пакеты протокола ESP 50 в UDP пакеты по порту 4500. NAT-T включен по-умолчанию почти во всех операционных системах (iOS, Android, Linux), кроме Windows.

Если VPN сервер L2TP/IPsec находится за NAT, то для корректного подключения внешних клиентов через NAT необходимо на стороне Windows сервера и клиента внести изменение в реестр, разрешающее UDP инкапсуляцию пакетов для L2TP и поддержку (NAT-T) для IPsec.

Откройте редактор реестра
regedit.exe
и перейдите в ветку:
- Для Windows 10,8.1,7 и Windows Server 2016,2012R2,2008R2 — HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesPolicyAgent
- Для Windows XP/Windows Server 2003 — HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesIPSec
Создайте DWORD параметр с именем AssumeUDPEncapsulationContextOnSendRule и значением 2;
Примечание. Возможные значения параметра AssumeUDPEncapsulationContextOnSendRule:
- 0 – (значение по-умолчанию), предполагается, что VPN сервер подключен к интернету без NAT;
- 1 – VPN сервер находится за NAT;
- 2 — и VPN сервер и клиент находятся за NAT.
Осталось перезагрузить компьютер и убедиться, что VPN туннель успешно создается.

Если и Windows VPN сервер и клиент находятся за NAT, нужно изменить это параметре на обоих системах.

Можно использовать командлет PowerShell для внесения изменений в реестр:

Set-ItemProperty -Path "HKLM:SYSTEMCurrentControlSetServicesPolicyAgent" -Name "AssumeUDPEncapsulationContextOnSendRule" -Type DWORD -Value 2 –Force;

После включения поддержки NAT-T, вы сможете успешно подключаться к VPN серверу с клиента через NAT (в том числе двойной NAT).

В некоторых случаях для корректной работы VPN необходимо открыть дополнительное правило в межсетевом экране для порта TCP 1701 (в некоторых реализациях L2TP этот порт используется совмести с UDP 1701).

NAT-T не корректно работал в ранних редакциях Windows 10, например, 10240, 1511, 1607. Если у вас старая версия, рекомендуем обновить билд Windows 10.

L2TP VPN не работает на некоторых Windows компьютерах в локальной сети

Есть еще один интересный баг. Если в вашей локальной сети несколько Windows компьютеров, вы не сможете установить более одного одновременного подключения к внешнему L2TP/IPSec VPN серверу. Если при наличии активного VPN туннеля с одного клиента, вы попытаетесь подключиться к тому же самому VPN серверу с другого компьютера, появится ошибка с кодом 809 или 789:

Error 789: The L2TP connection attempt failed because the security layer encountered a processing error during initial negotiations with the remove computer.

Что интересно, эта проблема наблюдется только с Windows-устройствами. На устройствах с Linux/MacOS/Android в этой же локальной сети таких проблем нет. Можно без проблем одновременно подключиться к VPN L2TP серверу с нескольких устройств.

По информации на TechNet проблема связана с некорректной реализацией клиента L2TP/IPSec клиента в Windows (не исправляется уже много лет).

Для исправления этого бага нужно изменить два параметра реестра в ветке HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesRasManParameters и перезагрузите компьютре:

AllowL2TPWeakCrypto – изменить на 00000001 (ослабляет уровень шифрования, для L2TP/IPSec используются алгоритмы MD5 и DES)
ProhibitIPSec – изменить на 00000000 (включает шифрование IPsec, которое часто отключается некоторыми VPN клиентами или утилитами)

Для изменения этих параметров реестра достаточно выполнить команды:
reg add "HKEY_LOCAL_MACHINESystemCurrentControlSetServicesRasmanParameters" /v AllowL2TPWeakCrypto /t REG_DWORD /d 1 /f reg add "HKEY_LOCAL_MACHINESystemCurrentControlSetServicesRasmanParameters" /v ProhibitIpSec /t REG_DWORD /d 0 /f

Это включает поддержку нескольких одновременных L2TP/IPSec-подключений в Windows через общий внешний IP адрес (работает на всех версиях, начиная с Windows XP и заканчивая Windows 10).

Содержание

VPN ошибка 809 в Windows 7,8,10
Как исправить ошибку VPN 809
Исправляем проблему подключения к L2TP/IPSec VPN серверу за NAT
VPN ошибка 809 для L2TP/IPSec в Windows за NAT
L2TP VPN не работает на некоторых Windows компьютерах в локальной сети
Методы устранения ошибки 809. Почему она возникает?
Факторы, способствующие проявлению проблем
Причины возникновения проблемы
Пути искоренения ошибок
Как самостоятельно исправить проблему
Справочная информация
пятница, 14 августа 2015 г.
Ошибка соединения 809 при использовании L2TP IpSec для подключения по VPN с профилем SSTP на MikroTik

VPN ошибка 809 в Windows 7,8,10

Иногда, при попытке запустить подключение VPN в Windows 7 может появится ошибка 809 с комментарием:»Нельзя установить связь по сети между компьютером и VPN сервером, поскольку удалённый сервер не отвечает». Чаще всего проблема возникает из-за ошибки самого пользователя. Дело в том, что сейчас чаще всего в домах и квартирах стоят роутеры, которые сами подключаются к серверу и раздают Интернет. Пользователь пытается параллельно с компьютера поднять ещё одно соединение и потому выскакивает ошибка 809 в Windows 7. С этим сталкивались многие абоненты Билайн. Поэтому если у Вас установлен роутер — не нужно поднимать ещё какие-либо соединения.

Вторая причина, по которой появляется ошибка подключения 809 по VPN L2TP — это брандмауэр Windows 7. Так как в нём по умолчанию не настроена правильно обработка VPN-соединения, система попросту блокирует его. Для решения можно либо полностью отключить брандмауэр Виндовс, что не совсем правильно, либо немного подправить реестр. Этим мы сейчас и займёмся.

Нажимаем комбинацию Win+R и вводим в строчку «Открыть» команду regedit.

Нажимаем кнопку «ОК». Должно появится окно редактора реестра Windows 7.
В древовидном списке в левой части окна нужно найти нужную ветку. В Windows XP :

Далее в правой части окна с помощью меню «Правка»>»Создать» Вам нужно создать параметр DWORD для 32-разрядной версии с именем AssumeUDPEncapsulationContextOnSendRule. Далее кликаем по нему правой кнопкой мыши и выбираем пункт меню «Изменить». В поле значение нужно указать одно из вот этих значений:

— значение по умолчанию. Запрет подключения к VPN-серверу, находящемуся за NAT
1 — Разрешает подключение, если за NAT находится только сервер. При этом важное условие — у клиента должен быть “белый” IP-адрес
2 — Разрешает VPN подключение, если за NAT находятся и сервер, и его клиент.

Обычно для того, чтобы исправить ошибку 809 при подключении к интернету Билайн, либо другого провайдера, использующего протокол VPN L2TP, достаточно поставить значение 2.
Перезагружаем Windows 7 и проверяем подключение к Интернету.

Источник

Как исправить ошибку VPN 809

Виртуальная частная сеть (VPN) — это универсальное решение для обеспечения безопасности и конфиденциальности в Интернете. Когда они работают, они великолепны, но когда они этого не делают, они могут оставить вас в замешательстве. Для VPN-подключений довольно часто возникают проблемы. Примерно существуют сотни различных кодов ошибок VPN, но в большинстве случаев появляются только несколько. Если вы используете устройство Windows и VPN, то весьма часто встречается ошибка VPN 809.

Эта ошибка обычно возникает, когда Windows не позволяет установить VPN через брандмауэр. Кроме того, если вы не используете брандмауэр, но находитесь на устройстве NAT, эта ошибка может появиться.

Трансляция сетевых адресов (NAT) предназначена для сохранения IP-адресов. Это позволяет частным IP-сетям с незарегистрированными IP-адресами подключаться к Интернету. NAT обычно работает на маршрутизаторе, соединяющем две или более сетей, и превращает незарегистрированную сеть в юридические адреса. Устройства NAT имеют особый способ трансляции сетевого трафика, и когда вы помещаете сервер за устройством NAT и используете среду IPsec NAT-T, вы можете получить эту ошибку.

Вы получите сообщение об ошибке с указанием;

Не удалось установить сетевое соединение между вашим компьютером и сервером VPN, поскольку удаленный сервер не отвечает.

Кроме того, когда появляется ошибка, журнал событий также не отображает никаких связанных журналов, потому что трафик не достигнет интерфейса WAN MX.

Вы можете выбрать следующие варианты устранения неполадок VPN Ошибка 809:

Давайте рассмотрим эти варианты устранения неполадок подробнее.

Вариант 1. Включите порты на вашем брандмауэре/маршрутизаторе

Код ошибки VPN «Всегда включен» 809 вызван тем, что порт PPTP (TCP 1723) или порт L2TP или порт IKEv2 (порт UDP 500 или 4500) заблокирован на сервере VPN или брандмауэре. Решение состоит в том, чтобы включить эти порты на брандмауэре или маршрутизаторе. Вы можете попробовать развернуть VPN-туннель на основе SSTP или OpenVPN у своего VPN-провайдера. Это позволит VPN-соединению беспрепятственно работать через брандмауэр, NAT и веб-прокси.

Вариант 2: Добавить значение в реестр Windows

При попытке установить VPN-соединение, если ваш MX находится за NAT, вам нужно добавить значение DWORD «AssumeUDPEncapsulationContextOnSendRule» в реестр Windows. Вот как это сделать:

1] Войдите в систему Windows Machine как «Администратор»

2] Щелкните правой кнопкой мыши «Пуск» и выберите «Выполнить»

3] Введите «regedit» и нажмите «Enter»

4] Найдите запись «HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesPolicyAgent»

5] Щелкните правой кнопкой мыши и создайте новое значение «DWORD» (32-разрядное).

6] Добавьте RegValue «AssumeUDPEncapsulationContextOnSendRule» и нажмите «Ok», чтобы сохранить изменения.

7] Измените новую запись и измените значение данных с «0» на «2».

8] Перезагрузите компьютер и проверьте соединение

Примечание. Это решение идеально подходит, когда ваш VPN-сервер и компьютерный клиент находятся за устройствами NAT.

Вариант 3. Отключение сетевых служб Xbox Live

Для пользователей Windows 10 антивирус может быть несовместим с ОС, из-за чего он отклоняет соединения IPsec. Служба Windows 10 может обеспечить единовременный доступ к L2TP/IPsec VPN, для решения этой проблемы выполните следующие действия:

1] В поле « Поиск » введите «Услуги».

2] В результатах нажмите «Услуги».

3] Найдите «Xbox Live Networking Services» и отключите его.

Ваше VPN-соединение должно работать, а ошибка VPN 809 должна исчезнуть.

Вариант 4. Проверьте настройки PAP

Выполните следующие действия, чтобы проверить правильность настроек PAP:

1] Нажмите «Пуск» и выберите «Настройки»

2] Выберите «Сеть и Интернет» и выберите «VPN».

3] Теперь вам нужно будет «Добавить VPN», указав имя подключения, имя пользователя и пароль.

4] Теперь на вкладке «Свойства» выберите «Безопасность», затем перейдите к «Расширенные настройки».

5] В разделе «Аутентификация» выберите «Разрешить эти протоколы», а затем отметьте только поле «PAP».

Теперь перезагрузите систему, чтобы подтвердить, если ошибка исчезла.

Вариант 5: отключить сторонние приложения

Иногда сторонние приложения на устройстве могут быть причиной причины ошибки VPN 809. Здесь вам придется индивидуально выяснить, какое приложение вызывает проблему. Это может приводить в бешенство, но как только вы отключите приложение преступника, ошибка должна исчезнуть.

Ошибка VPN 809 — это очень распространенная проблема VPN, с которой время от времени сталкивается каждый пользователь. Перечисленные выше варианты помогут вам решить эту проблему в кратчайшие сроки.

Источник

Исправляем проблему подключения к L2TP/IPSec VPN серверу за NAT

The network connection between your computer and the VPN server could not be established because the remote server is not responding. This could be because one of the network devices (e.g. firewalls, NAT, routers, etc) between your computer and the remote server is not configured to allow VPN connections. Please contact your Administrator or your service provider to determine which device may be causing the problem.

VPN ошибка 809 для L2TP/IPSec в Windows за NAT

L2TP VPN не работает на некоторых Windows компьютерах в локальной сети

Для изменения этих параметров реестра достаточно выполнить команды:
reg add «HKEY_LOCAL_MACHINESystemCurrentControlSetServicesRasmanParameters» /v AllowL2TPWeakCrypto /t REG_DWORD /d 1 /f
reg add «HKEY_LOCAL_MACHINESystemCurrentControlSetServicesRasmanParameters» /v ProhibitIpSec /t REG_DWORD /d 0 /f

Источник

Случается так, что владельцы ПК, стремящиеся создать VPN-подсоединение к интернету, сталкиваются со всевозможными проблемами, среди которых распространённой является ошибка 809. Это приводит человека к замешательству, особенно если он абсолютно не разбирается в причинах возникновения ошибок и существующих путях их устранения.

Основные причины ошибки 809 и пути её решения мы разберем в этой статье

Факторы, способствующие проявлению проблем

Причин, по которым может возникать ошибка 809 VPN, препятствующая созданию доступа к глобальной сети, насчитать можно несколько. Если правильно выявить такие причины, ликвидировать проблему будет гораздо проще, поскольку существуют рекомендации, позволяющие вносить достаточно просто требуемые изменения в настройки и обеспечивать VPN-подсоединение к сети.

Причины возникновения проблемы

Ошибка 809 возникает тогда, когда кто-то стремится создать сетевой доступ при помощи VPN-соединения, которое относится к типу виртуальных частных сетей.

Брандмауэр, обязательная составляющая операционной системы, блокирует попытки осуществления такого соединения. Кроме брандмауэра может блокировать сетевое соединение любое устройство, подсоединённое к компьютеру и участвующее в обеспечении сетевого доступа. В качестве одного из девайсов, блокирующего доступ к сети, может выступать маршрутизатор, NAT.

Явной причиной возникновения такой проблемы может являться неполная установка ОС или в некоторых случаях уже установленная система, но сопровождающаяся какими-либо неполадками.

Иногда устанавливают программное обеспечение, скачанное из непроверенных источников, вследствие чего при установке вносятся автоматические изменения в системный реестр, провоцирующие возникновение проблем, связанных с доступом к сети.

Разлад в систему может внести вредоносное программное обеспечение, а также вирусы, способные не только повреждать, но и удалять значимые системные файлы, без которых невозможно обеспечить доступ к интернету.

Поиск и искоренение неполадки позволит избегать подобных проблем в дальнейшем.

Пути искоренения ошибок

Выявив вероятную проблему, юзер должен приложить усилия для её устранения. Если самостоятельно устранить неполадки, ознакомившись с инструкциями, не удаётся, следует обратиться за помощью к специалистам, которые без затруднения быстро установят и ликвидируют ошибки.

Как самостоятельно исправить проблему

Поскольку наиболее вероятной причиной проявления ошибки при VPN подключении считаются недостающие параметры в реестре, очень важно в ручном режиме внести все важные изменения.

Первоначально следует найти ветку реестра, в которую должны вноситься важные дополнения.

Чтобы зайти в реестр и ввести в него системные дополнения, следует нажать «Пуск», затем в строку поиска ввести regedit.

Если на ПК установлен Windows XP, владелец техники должен найти HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesIPSec. Когда же установлен Windows 7 или Vista, ветка будет выглядеть иначе: HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesPolicyAgent.

Теперь для внесения изменений следует выделить требуемый реестр, кликнув по нему мышкой, далее в меню «Правка» следует выбрать подменю «Создать». Из предлагаемых вариантов необходимо выбрать DWORD.

На экране откроется доступная строка, в которую нужно занести требуемые изменения. В неё пользователь должен ввести AssumeUDPEncapsulationContextOnSendRule, после чего подтвердить внесённые изменения.

После внесения дополнений в системный реестр юзер должен выделить его, используя мышку, и выбрать параметр «Изменить». В появившемся поле можно ввести 0, 1 или 2, в зависимости от обозначенных целей.

Значение «0» чаще всего устанавливается по умолчанию и свидетельствует о том, что при эксплуатации NAT-устройств сетевое подключение не предусмотрено.

Значение «1» разрешает обеспечить подключение к серверу, используя NAT-устройства.

Значение «2» способствует успешной настройке операционной системы в режиме безопасности, обеспечивая подключение ПК к серверу на базе VPN при помощи NAT-девайсов.

Безусловно, чаще всего прибегают именно к введению значения «2». Чтобы все дополнения и изменения вступили в силу, очень важно перезагрузить электронную вычислительную машину.

Когда же проблема с VPN-соединением возникает из-за вирусов, важно обновить антивирусное приложение и запустить полноценное сканирование. Также совсем не помешает почистить операционку, удалив все временные файлы.

Установка обновлений, драйверов могут тоже посодействовать решению проблемы, сопровождающейся надписью «ошибка 809». Если причиной неполадки является программное обеспечение, которое было некорректно инсталлировано или вступившее в конфликт с иным ПО, успешно помогает функция «Восстановление системы», позволяющая откатить систему на несколько суток назад, когда проблем с VPN-соединением не возникало.

И только в отдельных случаях приходится переустанавливать систему, отдавая предпочтение полной загрузке Windows.

Итак, системные ошибки предупреждают, что часть важных дополнений отсутствует или недееспособно. Чтобы вернуть работоспособность всем параметрам и обеспечить доступ к всемирной паутине, следует приложить усилия, проявить повышенное внимание, выполнить последовательно все рекомендуемые действия. Усилия будут потрачены не зря, поскольку контакт компьютера с сервером будет обеспечен.

Источник

Справочная информация

про свой опыт решения некоторых проблем и использования ряда возможностей ОС и приложений

пятница, 14 августа 2015 г.

Ошибка соединения 809 при использовании L2TP IpSec для подключения по VPN с профилем SSTP на MikroTik

vpn

809

Устранение данной ошибки является комплексным решением проблемы и включает в себя условно 3 этапа.

По личному опыту, этого было достаточно при работе в Linux.

500 – ISAKMP – Internet Security Association and Key Management Protocol;

1701 – Layer 2 Forwarding Protocol (L2F) & Layer 2 Tunneling Protocol (L2TP);

4500 – NAT-T – IPSec Network Address Translator Traversal.

Запустите оснастку управления брандмауэром Windows и нажмите на ссылку «Дополнительные параметры»:

При запросе типа правила укажите, что данное правило создаётся для порта:

Аналогично сделайте и для другого вида подключения (в этом примере далее – для исходящего).

Попробуйте установить соединение. Если не помогло – работаем дальше.

3. Внесение измнения в реестр Windows.

Запустите редактор реестра (regedit) и пройдите в ветку

HKEY_LOCAL_MACHINE System CurrentControlSet Services Rasman Parameters

reestr1

Создайте двоичный параметр DWORD с именем ProhibitIpSec и значением 1:

reestr2

Перезагрузитесь. Попробуйте соединиться со своей сетью по VPN. Получилось?

Источник

Вы получите сообщение об ошибке с указанием;

Не удалось установить сетевое соединение между вашим компьютером и сервером VPN, поскольку удаленный сервер не отвечает.

Вы можете выбрать следующие варианты устранения неполадок VPN Ошибка 809:

Включите порты на вашем брандмауэре/маршрутизаторе
Добавить значение в реестр Windows
Отключить службы Xbox Live Networking
Проверьте настройки PAP
Отключить сторонние приложения

Давайте рассмотрим эти варианты устранения неполадок подробнее.

Вариант 1. Включите порты на вашем брандмауэре/маршрутизаторе

Вариант 2: Добавить значение в реестр Windows

1] Войдите в систему Windows Machine как «Администратор»

2] Щелкните правой кнопкой мыши «Пуск» и выберите «Выполнить»

3] Введите «regedit» и нажмите «Enter»

4] Найдите запись «HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesPolicyAgent»

5] Щелкните правой кнопкой мыши и создайте новое значение «DWORD» (32-разрядное).

6] Добавьте RegValue «AssumeUDPEncapsulationContextOnSendRule» и нажмите «Ok», чтобы сохранить изменения.

7] Измените новую запись и измените значение данных с «0» на «2».

8] Перезагрузите компьютер и проверьте соединение

Вариант 3. Отключение сетевых служб Xbox Live

1] В поле « Поиск » введите «Услуги».

2] В результатах нажмите «Услуги».

3] Найдите «Xbox Live Networking Services» и отключите его.

Ваше VPN-соединение должно работать, а ошибка VPN 809 должна исчезнуть.

Вариант 4. Проверьте настройки PAP

Выполните следующие действия, чтобы проверить правильность настроек PAP:

1] Нажмите «Пуск» и выберите «Настройки»

2] Выберите «Сеть и Интернет» и выберите «VPN».

3] Теперь вам нужно будет «Добавить VPN», указав имя подключения, имя пользователя и пароль.

4] Теперь на вкладке «Свойства» выберите «Безопасность», затем перейдите к «Расширенные настройки».

5] В разделе «Аутентификация» выберите «Разрешить эти протоколы», а затем отметьте только поле «PAP».

Теперь перезагрузите систему, чтобы подтвердить, если ошибка исчезла.

Вариант 5: отключить сторонние приложения

Основные причины ошибки 809 и пути её решения мы разберем в этой статье

Факторы, способствующие проявлению проблем

Причины возникновения проблемы

Поиск и искоренение неполадки позволит избегать подобных проблем в дальнейшем.

Пути искоренения ошибок

Как самостоятельно исправить проблему

Первоначально следует найти ветку реестра, в которую должны вноситься важные дополнения.

Значение «1» разрешает обеспечить подключение к серверу, используя NAT-устройства.

Источник

UDP 1701 — Layer 2 Forwarding Protocol (L2F) & Layer 2 Tunneling Protocol(L2TP)
UDP 500
UDP 4500 NAT-T – IPSec Network Address Translator Traversal
Protocol 50 ESP

Если подключаться к этому же VPN серверу через PPTP, подключение успешно устанавливается.

VPN ошибка 809 для L2TP/IPSec в Windows за NAT

Откройте редактор реестра
regedit.exe
и перейдите в ветку:
- Для Windows 10,8.1,7 и Windows Server 2016,2012R2,2008R2 — HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesPolicyAgent
- Для Windows XP/Windows Server 2003 — HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesIPSec
Создайте DWORD параметр с именем AssumeUDPEncapsulationContextOnSendRule и значением 2;
Примечание. Возможные значения параметра AssumeUDPEncapsulationContextOnSendRule:
- 0 – (значение по-умолчанию), предполагается, что VPN сервер подключен к интернету без NAT;
- 1 – VPN сервер находится за NAT;
- 2 — и VPN сервер и клиент находятся за NAT.
Осталось перезагрузить компьютер и убедиться, что VPN туннель успешно создается.

Если и Windows VPN сервер и клиент находятся за NAT, нужно изменить это параметре на обоих системах.

Можно использовать командлет PowerShell для внесения изменений в реестр:

Set-ItemProperty -Path "HKLM:SYSTEMCurrentControlSetServicesPolicyAgent" -Name "AssumeUDPEncapsulationContextOnSendRule" -Type DWORD -Value 2 –Force;

L2TP VPN не работает на некоторых Windows компьютерах в локальной сети

Error 789: The L2TP connection attempt failed because the security layer encountered a processing error during initial negotiations with the remove computer.

AllowL2TPWeakCrypto – изменить на 00000001 (ослабляет уровень шифрования, для L2TP/IPSec используются алгоритмы MD5 и DES)
ProhibitIPSec – изменить на 00000000 (включает шифрование IPsec, которое часто отключается некоторыми VPN клиентами или утилитами)

Источник

Содержание

Windows 10 не подключается к vpn l2tp ipsec mikrotik
Вопрос
Ответы
Все ответы
Устранение неполадок с подключением виртуальных частных сетевых клиентов Microsoft L2TP/IPSec
Сводка
NAT Traversal
Дополнительная информация
L2tp/ipsec не проходит сквозь mikrotik
Windows 10 не подключается к vpn l2tp ipsec mikrotik
Исправляем проблему подключения к L2TP/IPSec VPN серверу за NAT
VPN ошибка 809 для L2TP/IPSec в Windows за NAT
L2TP VPN не работает на некоторых Windows компьютерах в локальной сети
Исправляем проблемы с VPN подключением в Windows 10 1903
Не появляется запрос пароля для L2TP VPN подключения
Ошибка RASMAN для Always on VPN
При одключении от VPN пропадает Интернет
Записки IT специалиста
Настройка VPN-подключения в роутерах Mikrotik
PPTP-клиент
L2TP-клиент
SSTP-клиент
OpenVPN-клиент
Маршрутизация
Дополнительные материалы:
Windows 10 не подключается к vpn l2tp ipsec mikrotik
Вопрос
Ответы
Все ответы

Windows 10 не подключается к vpn l2tp ipsec mikrotik

trans

Вопрос

trans

После нажатия «Подключится» ничего не происходит, крутится колесо загрузки все время

Винду переустанавливать не охота, помогите плз..

Ответы

trans

На клиенте проверьте наличие ключа в реестре:

trans

Спасибо Anahaym его метод тоже работал, пару дней)))

На клиенте проверьте наличие ключа в реестре:

trans

Уточните пожалуйста, а удается ли подключится через следующее?

P.S. Проблему сами иногда воспроизвожу когда использую подключение через WiFi-интерфейс, помогает подключиться, через указанное выше меню.

Avis de non-responsabilité:
Mon opinion ne peut pas coïncider avec la position officielle de Microsoft.

Все ответы

trans

Уточните пожалуйста, а удается ли подключится через следующее?

Avis de non-responsabilité:
Mon opinion ne peut pas coïncider avec la position officielle de Microsoft.

trans

Но метод так и не работает, вроде все сначала идет, даже спрашивает авторизацию,

trans

На клиенте проверьте наличие ключа в реестре:

trans

На клиенте проверьте наличие ключа в реестре:

trans

На клиенте проверьте наличие ключа в реестре:

trans

Какая-то странная ситуация,

даже при пересоздании подключения, спрашивает пароль,

trans

Не помогает.. Даже авторизацию(пароль) не запрашивает..

trans

Уточните пожалуйста в логах Mikrotik случайно нет следующих записей на момент проблемы:

Avis de non-responsabilité:
Mon opinion ne peut pas coïncider avec la position officielle de Microsoft.

trans

Есть такая «буква»(запись в Микротике)

trans

Но на момент появления этих логов на Микротике у данного сотрудника возникают проблемы с подключением по впн L2TP?

Также сообщите пожалуйста если используются стороние антивирусные приложения или межметевые экраны, необходимо знать для поиска возможной проблемы.

Avis de non-responsabilité:
Mon opinion ne peut pas coïncider avec la position officielle de Microsoft.

trans

Avis de non-responsabilité:
Mon opinion ne peut pas coïncider avec la position officielle de Microsoft.

Да, у одного пользователя данная проблема возникла, хотя адресс, можно видить разный у пользователя и того кто входит под Админом..

Источник

Устранение неполадок с подключением виртуальных частных сетевых клиентов Microsoft L2TP/IPSec

В этой статье описывается устранение неполадок с подключением виртуальной частной сети (VPN) L2TP/IPSec.

Применяется к: Windows 10 — все выпуски
Исходный номер КБ: 325034

Сводка

Прежде чем сделать VPN-подключение L2TP/IPSec, необходимо иметь подключение к Интернету. Если вы попробуете сделать VPN-подключение перед подключением к Интернету, у вас может возникнуть длинная задержка, обычно 60 секунд, а затем вы можете получить сообщение об ошибке, в результате чего не было ответа или что-то не так с модемом или другим устройством связи.

При устранении неполадок подключения L2TP/IPSec полезно понять, как происходит подключение L2TP/IPSec. При запуске подключения на сервер отправляется начальный пакет L2TP с запросом подключения. Этот пакет заставляет уровень IPSec на компьютере договариваться с VPN-сервером о том, чтобы настроить защищенный сеанс IPSec (ассоциация безопасности). В зависимости от многих факторов, включая скорость ссылок, переговоры по IPSec могут занять от нескольких секунд до двух минут. Когда создана ассоциация безопасности IPSec (SA), начинается сеанс L2TP. Когда она начинается, вы получаете запрос на имя и пароль (если подключение не настроено для автоматического подключения в Windows Millennium Edition.) Если VPN-сервер принимает ваше имя и пароль, настройка сеанса завершается.

Распространенный сбой конфигурации в соединении L2TP/IPSec — это неправильно сконфигурованный или отсутствующий сертификат или неправильно сконфигурованный или отсутствующий предустанавленный ключ. Если на уровне IPSec не удастся установить зашифрованный сеанс с VPN-сервером, он будет работать безмолвно. В результате уровень L2TP не видит ответа на запрос подключения. Задержка будет долгой, обычно 60 секунд, и тогда вы можете получить сообщение об ошибке, в результате чего на сервере не было ответа или не было ответа от модема или устройства связи. Если вы получили это сообщение об ошибке перед получением запроса на имя и пароль, IPSec не устанавливал сеанс. Если это произойдет, проверьте конфигурацию сертификата или предварительно предварительного ключа или отправьте журнал isakmp администратору сети.

Вторая распространенная проблема, которая препятствует успешному сеансу IPSec, — это использование сетевого перевода адресов (NAT). Во многих небольших сетях маршрутизатор с функциональными возможностями NAT используется для обмена одним интернет-адресом между всеми компьютерами в сети. Оригинальная версия IPSec сбрасывает подключение, которое проходит через NAT, так как обнаруживает адресное сопоставление NAT как подделывания пакетов. Домашние сети часто используют NAT. Это блокирует использование L2TP/IPSec, если клиент и шлюз VPN не поддерживают возникающий стандарт IPSec NAT-Traversal (NAT-T). Дополнительные сведения см. в разделе «Nat Traversal».

Если подключение сбой после получения запроса на имя и пароль, сеанс IPSec был создан, и, вероятно, что-то не так с вашим именем и паролем. Другие параметры сервера также могут препятствовать успешному подключению L2TP. В этом случае отправьте журнал PPP администратору.

NAT Traversal

При поддержке IPSec NAT-T в VPN-клиенте Microsoft L2TP/IPSec сеансы IPSec могут проходить через NAT, когда VPN-сервер также поддерживает IPSec NAT-T. IPSec NAT-T поддерживается Windows Server 2003. IPSec NAT-T также поддерживается Windows 2000 Server с обновлением L2TP/IPSec NAT-T для Windows XP и Windows 2000.

Для сторонних VPN-серверов и шлюзов обратитесь к администратору или поставщику шлюзов VPN, чтобы убедиться, что IPSec NAT-T поддерживается.

Дополнительная информация

Кроме того, в утилите конфигурации предусмотрена проверка, которая включает ведение журнала IPSec. Если вы не можете подключиться, и администратор сети или сотрудники службы поддержки обратились к вам с просьбой предоставить им журнал подключения, вы можете включить ведение журнала IPSec здесь. При этом журнал (Isakmp.log) создается в C:Program FilesMicrosoft IPSec VPN папке. При создании подключения также включить ведение журнала для обработки PPP в L2TP. Для этого:

Источник

L2tp/ipsec не проходит сквозь mikrotik

Доброго времени суток.
Оборудование: RB3011UiAS в качестве шлюза перед оборудованием провайдера. Прошивка: 6.48.2

1 X ;;; Sovcombank
chain=forward action=accept src-address=X.X.X.X log=no log-prefix=»»

2 X chain=forward action=accept dst-address=X.X.X.X log=no log-prefix=»»

3 ;;; DROP_social_networks
chain=forward action=reject reject-with=icmp-network-unreachable
src-address-list=!social_acc dst-address-list=social_networks
in-interface-list=LAN log=no log-prefix=»»

4 ;;; NTP port
chain=input action=accept protocol=udp in-interface=LAN-bridge1 port=123
log=no log-prefix=»NTP port 123″

5 ;;; POST_server
chain=forward action=accept src-address=X.X.X.X log=no
log-prefix=»»

Помощь в написании контрольных, курсовых и дипломных работ здесь.

tick Mikrotik 6.44.5 подключение по L2TP/IPSec MacOS не видит сеть
Доброго дня уважаемые форумчане! Настроил VPN-сервер, для подключения используется протокол L2TP.

RDP через l2tp/ipsec
Здравствуйте! В микротиках новичок, прошу понять)Проблема следующая. Имеется MikroTik RouterBOARD.

L2tp/IPSec проблема доступа из вне
Поднял l2tp server c поддержкой шифрования IPSEC ПК и Микротик в локальной сети при включенных.

L2TP чистый или через IPSEC?
В файрволле для первого надо открыть dst-port UDP 1701,
для второго UDP 1701 вообще открывать не надо, а надо открыть UDP 500 и протокол ESP (если не используется NAT-T) или UDP 4500 (если NAT-T используется)

скорее всего файрволл тут не при чем
похоже на проблему клиента с NAT-T или IPSEC в WINDOWS
параметры описываются ниже в статье
https://winitpro.ru/index.php/. ru-za-nat/
https://habr.com/ru/post/128742/

какие порты смотрят в локалку?
сколько всего локальных сетей на L3? две в одном броадкасте?
в какие порты приходят провайдеры? например тот, через который pppoe поднимается

Вторая большая ошибка
Не используйте action=netmap, если не знаете как он работает, для перенаправления портов используйте action=dst-nat

Источник

Windows 10 не подключается к vpn l2tp ipsec mikrotik

Исправляем проблему подключения к L2TP/IPSec VPN серверу за NAT

VPN ошибка 809 для L2TP/IPSec в Windows за NAT

L2TP VPN не работает на некоторых Windows компьютерах в локальной сети

Исправляем проблемы с VPN подключением в Windows 10 1903

В Windows 10 1903 обнаружил несколько странных багов с настроенными VPN подключениями. Первая проблема: при попытке подключиться к удаленному VPN L2TP серверу окно с VPN-подключением замирает в состоянии “connecting”. При этом не появляется даже запрос логина и пароля, а подключение через какое-то время разрывается без сообщения об ошибке.

Не появляется запрос пароля для L2TP VPN подключения

Такое ощущение, что в этом диалоге VPN подключения почему-то блокируется вывод окна с запросом данных пользователя. В результате VPN подключение никак не может завершиться

Есть обходное решение этой проблемы. Попробуйте использовать для установления VPN подключения старую-добрую Windows утилиту rasphone.exe, которая все еще присутствует в современных версиях Windows 10 (эта утилита должна быть знакома всем тем, кто пользовался dial-up подключением в Windows).

Что интересно, проблема возникает только c L2TP подключением (даже при включенном настроенном параметре реестра AssumeUDPEncapsulationContextOnSendRule = 2). Другое VPN подключение на этом же компьютере, но с протоколом PPTP и типом аутентификации MS-CHAP v2 работает нормально

Ошибка RASMAN для Always on VPN

Другая проблема возникает с VPN подключением к корпоративной сети в режиме Always on VPN (AOVPN). При инициализации такого VPN подключения служба RASMAN (Remote Access Connections Manager) останавливается, а в журнале событий Application появляется событие с Event ID 1000 и текстом:

Эта проблема признана Microsoft и по последним данным исправлена в октябрьском обновлении для Windows 10 1903 — KB4522355 (https://support.microsoft.com/en-us/help/4522355/windows-10-update-kb4522355). Вы можете скачать и установить данное обновление вручную или через Windows Update/WSUS.

Если обновление не исправило проблему, попробуйте переустановите виртуальные адаптеры WAN miniports в диспетчере устройств.

Изначально проблема с режимом Always on VPN подключением была связана с тем, что пользователь отключил на компьютере телеметрию (эх, Microsoft). Для корректной работы Always on VPN подключения вам придется временного включить телеметрию на компьютере. Для включения телеметрии вы можете воспользоваться одним из способов, описанных ниже.

Найдите и включите политику Allow Telemetry = Enabled. Установите один из следующих режимов: 1 (Basic), 2 (Enhanced) или 3 (Full).

Способ 2. Того же самого эффекта можно добиться, вручную изменив параметр реестра AllowTelemetry (тип REG_DWORD) в ветке HKEY_LOCAL_MACHINESOFTWAREPoliciesMicrosoftWindowsDataCollection. Здесь также нужно установить одно из трех значение: 1, 2 или 3.

Вы можете изменить этот параметр с помощью редактора реестра (regedit.exe) или с помощью PowerShell-командлета New-ItemProperty:

После этого нужно перезапустить службу Remote Access Connection Manager (RasMan) через консоль services.msc или с помощью командлета Restart-Service:

При одключении от VPN пропадает Интернет

Также в Windows 10 был другой баг, когда после отключения от VPN переставал работать доступ в Интернет. Проблема решалась созданием маршрута по-умолчанию или отключением/включением виртуального адаптера WAN Miniport (IP).

Записки IT специалиста

Технический блог специалистов ООО»Интерфейс»

Настройка VPN-подключения в роутерах Mikrotik

С ростом значения интернета в нашей повседневной жизни все более востребованными становятся различные сетевые технологии. Если раньше VPN был преимущественно уделом крупных организаций, то сегодня он используется чуть ли не в каждой сети, действительно, сотрудники стали мобильными и удаленный доступ к ресурсам сети уже не блажь, а насущная необходимость. Настройка роутера Mikrotik как VPN-клиента вопрос, на первый взгляд, простой, но есть некоторые не очевидные моменты, которые мы разберем в данной статье.

В прошлых материалах мы уже коротко рассматривали типы VPN и обращали внимание на неоднозначность используемой терминологии, традиционно термином VPN называют клиент-серверные соединения, где кроме туннельного протокола применяются вспомогательные технологии для установления соединения и контроля его состояния, аутентификации пользователя, согласования параметров подключения и т.д. и т.п. Одним из таких протоколов является PPP.

В рамках данной статьи мы будем рассматривать варианты настройки Mikrotik именно в качестве клиента для поддерживаемых типов VPN-серверов, оставив за кадром туннельные подключения (GRE, IP-IP, EoIP и т.д.). Для работы с этим типом соединений используется специальный раздел PPP, на закладке Interfaces которого можно добавить сетевой интерфейс для нужного типа VPN-клиента. Поддерживаются PPTP, L2TP, SSTP и OpenVPN подключения. Также в списке присутствуют устаревший PPP и PPPoE, который используется для организации доступа в интернет, в данном контексте эти протоколы интереса не представляют.

Также аналогичные действия можно выполнить и в разделе Interfaces, никакой разницы откуда вы будете добавлять сетевой интерфейс нет. Но не будем спешить и перейдем на закладку Profiles, где находятся профили используемые при коммутируемых подключениях. По умолчанию созданы два профиля: default и default-encryption, в которых содержатся некоторые настройки для подключения. Почему некоторые? Потому что большинство опций подключения задаются сервером и клиент должен применять именно их, иначе подключение будет невозможным. Поэтому если вы заглянете в эти профили, то увидите, что большинство настроек там не активно.

Единственным различием двух профилей является опция Use Encryption, которая в default-encryption установлена в положение yes и требует обязательного шифрования подключения. Данная опция игнорируется протоколами SSTP и OpenVPN, которые всегда используют шифрованные подключения.

Означает ли это, что если мы выберем профиль default, то ваше соединение не будет шифроваться? Нет, если сервер использует шифрование и не допускает небезопасных подключений, то ваше соединение также будет зашифровано. Но вот если сервер разрешает небезопасные подключения, то клиент вполне может подключиться без шифрования, таким образом можно осуществить атаку с подменой сервера, когда вы получите незашифрованное подключение и не будете знать об этом. Поэтому если вам явно требуется шифрование канала всегда выбирайте профиль default-encryption.

Мы не советуем менять настройки в стандартных профилях, если вам нужно явно задать иные настройки подключения, то создайте собственный профиль. Также учтите, что опция Use Compression игнорируется для OpenVPN соединений, которые в реализации от Mikrotik не могут использовать сжатие трафика.

PPTP-клиент

Пожалуй, это самый простой в настройке тип соединений. Несмотря на то, что используемое в PPTP шифрование не является надежным, этот протокол продолжает широко использоваться благодаря низким накладным расходам и высокой скорости работы, например, для доступа в интернет.

Для настройки PPTP клиента добавьте интерфейс типа PPTP Client и перейдите на закладку Dial Out, где расположены сетевые настройки.

Опция Keepalive Timeout указывает время переподключения соединения в случае обрыва связи. Бытует мнение, что лучше делать это значение поменьше, мол быстрее будет переподключаться туннель. Но это не так, во-первых, при неполадках на сервере вы будете активно забивать канал и нагружать сервер служебным трафиком, а во-вторых, при кратковременных перебоях связи короткое время будет вызывать переподключение с обрывом всех соединений в канале, а большее значение позволит сохранить туннель. Особенно это актуально для мобильного интернета или беспроводных каналов.

Опция Add Default Route создаст маршрут по умолчанию через туннель, т.е. направит туда весь исходящий трафик, указывайте ее только в том случае, если данный туннель основной способ доступа в интернет.

Никаких иных особенностей и подводных камней здесь нет и если вы правильно указали настройки, то клиент должен будет без проблем подключиться к серверу.

L2TP-клиент

Говоря про L2TP, обычно подразумевают L2TP/IPsec, потому как без шифрования данный протокол в корпоративной среде не используется. Но есть и исключения, некоторые провайдеры, например, Билайн, используют чистый L2TP без шифрования. В этом случае настройки подключения будут выглядеть так:

Для работы с L2TP/IPsec настройки будут немного иные, во-первых, используем профиль default-encryption и включаем использование IPsec установкой флага Use IPsec, при этом становится активным поле IPsec Secret, куда вводим предварительный ключ.

Опция Allow Fast Path при использовании IPsec игнорируется и в ее установке нет никакого смысла, так же не забывайте про опцию Add Default Route, в большинстве корпоративных сценариев устанавливать ее не следует.

В предложении IPsec по умолчанию обращаем внимание на опцию PFS Group, она отвечает за применение технологии совершенной прямой секретности (Perfect forward secrecy, PFS), которая предусматривает создание уникальных сессионных ключей по алгоритму Диффи-Хеллмана, что делает невозможным расшифровку перехваченного IPsec трафика даже при наличии долговременных ключей (в данном случае предварительного ключа).

Windows Server по умолчанию не поддерживает совершенную прямую секретность, поэтому PFS Group нужно выставить в состояние none, после чего соединение успешно установится.

Обратите внимание, что в данном случае мы изменили настройку по умолчанию, но в данном случае это оправдано. Настройки IPsec достаточно сложны и вряд-ли человек не имеющий опыта работы с данной технологией сможет все правильно настроить с первого раза. Но это изменение следует учитывать при создании других соединений, использующих IPsec и приводить настройки с обоих сторон к общему виду.

Хотя более правильным является создание своего предложения (Proposal) и политики (Police) для каждого соединения, но эта тема далеко выходит за рамки статьи.

SSTP-клиент

Мы не будем останавливаться на уже описанных нами опциях, которые общие для всех видов коммутируемых подключений, а сосредоточимся на новых, свойственных именно этому типу VPN. SSTP относится к отдельной подгруппе SSL VPN, которые используют трафик практически не отличимый от HTTPS, что серьезно затрудняет выявление и блокирование таких туннелей.

На что следует обратить внимание при настройке? Давайте сначала посмотрим на окно настроек:

Как видим, появилась опция Port, где мы можем указать порт подключения, по умолчанию это 443, но можно использовать и любой иной, если 443 порт занят, например, веб-сервером. Также SSTP может прекрасно работать через прокси, в этом случае вам потребуется указать адрес прокси-сервера и используемый им порт в опциях Proxy и Proxy Port.

Также вспоминаем, что SSTP всегда использует шифрование канала, поэтому оно будет работать вне зависимости от выбранного профиля, в данном случае default и default-encryption будут работать одинаково.

TLS Version указывает на допустимые к использованию версии TLS, однако это определяется сервером, но следует стараться использовать только протокол TLS 1.2, что позволяет исключить атаки с понижением протокола.

Опция Verify Server Certificate не является обязательной, но позволяет проверить подлинность сервера, исключая атаки типа человек посередине, для этого потребуется импортировать на Mikrotik сертификат центра сертификации (СА) выдавшего сертификат серверу.

Опция Verify Server Address From Certificate позволяет убедиться, что IP-адрес подключения соответствует адресу для имени, указанного в сертификате. Также не является обязательной, но позволяет дополнительно убедиться, что подключаетесь вы именно к тому серверу.

Установка флага в поле PFS включает совершенную прямую секретность, но эта опция должна поддерживаться со стороны сервера.

OpenVPN-клиент

Реализация OpenVPN в Mikrotik вызывает много нареканий, так как сводит на нет все сильные стороны данной технологии и делает ощутимыми слабые. OVPN-клиент не поддерживает сжатие данных и работу по протоколу UDP, если первое не столь значимо на современных каналах, то OpenVPN поверх TCP имеет очень большие накладные расходы и вызывает как повышенную нагрузку на оборудование, так и плохую утилизацию канала. Поэтому от использования OpenVPN на Mikrotik по возможности следует отказаться.

Обычно комплект для подключения OpenVPN клиента составляют сертификат СA, сертификат и закрытый ключ клиента, конфигурационный файл. Нам понадобятся только сертификат и ключ клиента, а если мы хотим проверять подлинность сервера, то еще и сертификат CA, но он не является обязательным для настройки подключения.

После успешного импорта ключа флаги сменятся на KT, где буква K обозначает наличие закрытого ключа для сертификата. Затем аналогичным образом импортируем сертификат CA сервера, импорт ключа для данного сертификата не нужен. Закрытый ключ CA является самой большой тайной и должен хранится с соблюдением всех мер предосторожности и не при каких обстоятельствах не должен покидать узел СA (центра сертификации).

Теперь рассмотрим поближе окно настроек подключения, адрес подключения и порт не должны вызвать затруднений, а вот остальные опции нуждаются в пояснении, значимые мы выделили зеленой рамкой.

Но сначала коснемся опций User и Profile. Первая используется только в случае аутентификации на сервере по имени и паролю, большинство OpenVPN серверов такой тип аутентификации не используют и в этом поле вы можете написать все что угодно, просто оно должно быть заполнено. Профиль также не имеет значения, так как OpenVPN всегда шифрует канал, а опцию сжатия игнорирует.

При настройке OpenVPN клиента на Mikrotik следует помнить, что сервер должен поддерживать соединения по протоколу TCP, без сжатия и TLS-аутентификации, в противном случае подключиться к серверу не удастся.

Опция Verify Server Certificate позволяет проверить подлинность сертификата сервера, что защищает от атак типа человек посередине, но требует импорта сертификата CA сервера.

Маршрутизация

Если VPN соединение используется для доступа к корпоративной сети или предназначено для связи сетей, то вам потребуется указать маршруты для правильной пересылки пакетов. Так если мы хотим получить доступ к сети за VPN-севером, то нам потребуется создать маршрут к этой сети, указав в качестве шлюза интерфейс нашего VPN-клиента, например так:

В данном примере мы отправляем все пакеты к сети 192.168.200.0/24 через L2TP-подключение l2tp-out1. Если вы понимаете основы маршрутизации, то указание правильных маршрутов для вас не составит труда.

Отдельного внимания заслуживает опция Pref. Source, которая не является обязательной, но ее следует указывать, если роутер обслуживает несколько сетей, в ней указывается адрес, с которого роутер будет посылать пакеты по указанному маршруту. Без ее указания доступ роутера к ресурсам удаленных сетей может оказаться невозможным (как и удаленных сетей к нему), на работу клиентов в сетях это не влияет. В качестве значения следует указать адрес, принадлежащий той сети, к которой имеется маршрут с противоположной стороны (т.е. сети за сервером).

Дополнительные материалы:

Помогла статья? Поддержи автора и новые статьи будут выходить чаще:

Или подпишись на наш Телеграм-канал:

Windows 10 не подключается к vpn l2tp ipsec mikrotik

Вопрос

После нажатия «Подключится» ничего не происходит, крутится колесо загрузки все время

Винду переустанавливать не охота, помогите плз..

Ответы

На клиенте проверьте наличие ключа в реестре:

Спасибо Anahaym его метод тоже работал, пару дней)))

На клиенте проверьте наличие ключа в реестре:

Уточните пожалуйста, а удается ли подключится через следующее?

Avis de non-responsabilité:
Mon opinion ne peut pas coïncider avec la position officielle de Microsoft.

Все ответы

Уточните пожалуйста, а удается ли подключится через следующее?

Avis de non-responsabilité:
Mon opinion ne peut pas coïncider avec la position officielle de Microsoft.

Но метод так и не работает, вроде все сначала идет, даже спрашивает авторизацию,

На клиенте проверьте наличие ключа в реестре:

На клиенте проверьте наличие ключа в реестре:

На клиенте проверьте наличие ключа в реестре:

Какая-то странная ситуация,

даже при пересоздании подключения, спрашивает пароль,

Не помогает.. Даже авторизацию(пароль) не запрашивает..

Уточните пожалуйста в логах Mikrotik случайно нет следующих записей на момент проблемы:

Avis de non-responsabilité:
Mon opinion ne peut pas coïncider avec la position officielle de Microsoft.

Есть такая «буква»(запись в Микротике)

Avis de non-responsabilité:
Mon opinion ne peut pas coïncider avec la position officielle de Microsoft.

Источник

Ls: Сообщения: 3; Зарегистрирован: 01 фев 2021, 09:56

Недавно нескольким сотрудникам дали доступ по VPN к РДП. Когда к VPN подключается одни человек, все работает как часы. Если подключается второй, то у первого обрывается связь, а у второго появляется, и тот последний может себе работать, пока кто-либо еще не попытается подключиться к этому же VPN-серверу. При этом у отключившегося появляется ошибка со следующим сообщением:

VPN сервер обслуживает оутсорс фирма, она настраивала клиентские места. Я к ним обращался несколько раз, но они ничего не смогли сделать, сказав что проблема у меня, поскольку другая контора может работать на этом сервере таким же образом без всяких проблем.

Тип VPN — L2TP IPsec, роутер Mikrotik RB750Gr3, прошивка версии 6.46.8.
Настройки фаервола:

NAT:

xvo: Сообщения: 3826; Зарегистрирован: 25 фев 2018, 22:41; Откуда: Москва

01 фев 2021, 10:59

А где находится этот VPN сервер и как он связан с вашим микротиком?

Telegram: @thexvo

Дома: [CCR1009-7G-1C-1S+] [CRS112-8P-4S-IN] [wAP ac] [RB260GS]
Не дома: [RB4011iGS+] [CRS326-24G-2S+RM] [wAP 60ad] [cAP ac]…
…[hEX] [hAP ac²] [hAP ac lite] [hAP mini] [RB260GS]

Ls: Сообщения: 3; Зарегистрирован: 01 фев 2021, 09:56

02 фев 2021, 08:57

xvo, сервер находится в другой области.
Как связан с нашим роутерем? Юзеры через него к vpn серверу подключаются, больше никак.

xvo: Сообщения: 3826; Зарегистрирован: 25 фев 2018, 22:41; Откуда: Москва

02 фев 2021, 09:12

То есть у вас несколько пользователей из-за вашего NAT’а пытаются одновременно подключиться к одному и тому же L2TP-серверу?

Это обычное ограничение для L2TP+IPSec.
На разных платформах обходится (или не обходится) по разному, но в любом случае — на стороне сервера, и ваш микротик тут ни при чем.

Единственное, что вы можете сделать — это как раз поднять соединение на самом микротике, чтобы все внутренние клиенты использовали его.

Telegram: @thexvo

Дома: [CCR1009-7G-1C-1S+] [CRS112-8P-4S-IN] [wAP ac] [RB260GS]
Не дома: [RB4011iGS+] [CRS326-24G-2S+RM] [wAP 60ad] [cAP ac]…
…[hEX] [hAP ac²] [hAP ac lite] [hAP mini] [RB260GS]

Ls: Сообщения: 3; Зарегистрирован: 01 фев 2021, 09:56

09 фев 2021, 11:07

xvo, сделал как вы посоветовали, пока пользователи не жалуются. А на счет обходятся-не обходятся: все рекомендации для win7, на котором я сначала пытался настроить vpn, результатов не дали. Мне кажется, я не правильно гуглил. Чтобы вы вбивали в поисковике в такой ситуации?

gmx: Модератор; Сообщения: 3113; Зарегистрирован: 01 окт 2012, 14:48

09 фев 2021, 11:55

https://help.keenetic.com/hc/ru/article … 0%B8%D0%B9

Проблема встречалась и с микротиком в качестве клиента. Что-то там фиксили совсем недавно.

Но вот недавно столкнулся, что не работает два подключения PPTP с одного микротика… к одному серверу ROS7. Но pptp в 2021 году вообще бы использовать не надо… PPtP очень специфический протокол, он поднимает параллельно gre соединение и там тоже с NAT проблемы.

Выбирайте более прогрессивные протоколы. Вообще для клиентских подключений, в смысле компы сотрудников, смартфоны, наверное, самый универсальный SSTP. Да он может не быстр, ресурсоемкий, но нет никаких проблем с блокировками — всегда все работает, в винде «из каробки», в андроиде уже три отличных клиента и для ios написали недавно. И потом, необходимость раздачи виндовым клиентам сертификата, можно даже считать дополнительной защитой, а не трудностью. Ну а если купить сертификат официально, то и вообще все очень легко получается.
Как-то так…

Источник