Построение корпоративных VPN-сетей. L2TP с IPSec на Mikrotik

Существует множество вариантов организации защищенных туннелей между офисами.
Один из вариантов L2tp + ipsec.

Несмотря на то что обычно данная связка используется как способ подключения мобильных сотрудников к офисным ресурсам у нее есть свои плюсы в схеме сеть-сеть. На семинаре поговорим о плюсах.

Поговорим о том как сделать ipsec на сертификатах для работы с l2tp.

Тайм-код:
00:00 Содержание выступления
01:24 Голосование. Какой l3 VPN вы используете в ROS?
05:22 Классическая схема. Есть открытая сеть, через которую мы делаем туннель
07:47 L2tp
08:32 Ipsec transport mode
09:23 L2tp + ipsecmode
10:46 L2tp базовая настройка сервера
11:59 L2tp базовая настройка клиента
30:39 Ручная настройка ipsec в транспортном режиме для L2tp
36:42 Создание Сертификата CA
43:11 Настройка peer и identities на L2tp сервере
56:54 Настройка policies на L2tp клиенте
1:05:59 Настройка маршрутизации
1:33:09 MLPPP
1:38:14 Выводы
1:43:32 Ответы на вопросы

[ihtkkbv]

Старость это когда ты на одном дыхании смотришь видос по настройкам длинной в 1 час 56 минут)

[Stafford]

Спасибо как всегда круто. много чего нового интересно, теперь переварить и применить осталось! спасибо еще раз!

[Welk]

У меня уже 2 года работает l2tp + IPsec со всеми филиалами, около 20 штук. Это первое, что я сделал на новом месте, до этого филиалы ходили по рдп даже без ограничений по адресам

[litromobil]

Я пока не готов просмотреть 2 часа про L2tp+ipsec. Пока вообще не понимаю, что мне надо. Было два 951ых, соединённых openvpn. Скорость была 20
Мбит, что маловато для моих нужд. Узнал, что у микротиков бывает аппаратное ускорение шифрования, но только на ipsec. Заменил оба конца на ах2. Теперь как ни пробую - всегда скорость 100. Хоть на openvpn, хоть на ipsec, для разнообразия ещё wg попробовал. А просто на одном конце пров 100мбит, на другом 500. В итоге я и не знаю, что сколько даёт, скорость упирается в прова. Пока оставлю как есть значит на опенвпн, как сотку расширю, буду дальше думать, калькулировать, переезжать на л2тп или как

[Koloyaroff]

Тема с сертефикатами и wireguard не раскрыта. Спасибо за труд

[puwexjr]

55:10 Обратите внимание, что в шаблоне политики отсутствуют порты, хотя перед этим они заполнялись. Это потому что для политики порты не имеют смысла, о чём в вики прямо написано. Забавно, что если их заполнить и нажать ОК они отобразятся в винбоксе но их не будет видно через консоль, а из винбокса они пропадут при переподключении :)

[andrewuwizard]

Шикарное видео - спасибо!
remote l2tp ipsec клиент не видит сетевые ресурсы 2й сети.
в кратце - есть основная сеть l2tp site to site - 2 микрота сервер и клиент соответсвенно. Правда без ip sec . интерфейсы подняты, между собой эти 2 сети общаются. при подключении удаленного пк к впн серверу (GW1 роутер) через l2tp ipsec подклчение устанавливается и ресурсы в стеи роутера GW1 видны для удлаенного клиента. А ресурсы в сети роутера GW2 соответсвенно клиента VPN l2tp не видны. Туннель между GW1 и GW1 подня постоянно, пакеты ходят.
Предполагаю нужно копать в сторону маршрутизации на роутере. Пок ане понятно на кокаом из 2х основных роутеров?
Сориентируйте пож - что настроить чтобы удаленные клиенты видели сеть ресурсы в обеих сегментах обьедененной VPN сети.
Спасибо!

[ejxfbro]

16:32 откуда взялась сеть для l2tp? Она нужна, ее нужно создать самому? Стало еще больше вопросов...

[puwexjr]

Я правильно понял, что мобильных клиентов ("road warrior" в терминологии Микротика) нельзя подключать каждого с собственным сертификатом? Ведь для таких клиентов у нас единственный пир с ip 0.0.0.0/0, соответственно и Identitie тоже один. В чём тогда плюсы по сравнению с PSK? Что мы раздаём всем единый PSK, что единый сертификат.

[Flash_Sun]

У меня rb4011, почему он при нагрузке не использует все ядра а только одно ядро, которое шкалит до 100%?

[jimmysand]

Роман, сталкивались ли Вы с граблями при настройках НордВПН или ЭкспрессВПН на устройствах Микротик?

[khramtsov]

Роман спасибо за видео! А поясните что не так- при подключении мобильных или win устройств. внешний ip устройства меняется на ip сервера, а при подключении мikrotik в качестве клиента- остается ip его провайдера?

[Alexey_samodelkin]

Добрый день, а можно такое же видео только для RouterOS 7. У меня после обновления прошивки перестали работать маршруты. После отката на 6.48 всё работает отлично

[izzkddu]

Такой вопрос. Есть локалка на капсмане, есть устройства которые круглосуточно подключены по wifi. Суть в том что первое время (около 6-7 часов) после включения точек пинги до устройств которые к ним подключены более менее адекватные, от 2 до 20мс, но вот спустя время они вырастают от 70 до 140мс, а иногда и вовсе становятся запредельными. В чём может быть проблема?

[random]

Роман может стримчик с каналом Моя профессия - администратор... Где правда!!!

[Alex-untl]

здравствуйте, можете пожалуйста сделать видео на новый юзер менеджер (7.1 rc1) для работы с ipsec vpn и wpa2 Enterprise? заранее спасибо

[TheJtrg]

Можно обновить обзор и выбор железок? Уже год прошёл с прошлого раза.

[zakonnik]

Здравствуйте. Есть пул для dhcp, можно ли выбрать общий пул для dhcp и l2tp?

[qzkqnci]

а подключение по L2TP 2 и более пользователей за одним белым IP возможно?

[sedmoy_]

У меня такая проблема, создаю vpn l2tp ipsec автоматически, пытаюсь подключиться с пк, выдаёт ошибку на уровне безопасности во время согласований с удалённым пк