Проблемы при подключении 2 и более пользователей к VPN

[Ls]

Недавно нескольким сотрудникам дали доступ по VPN к РДП. Когда к VPN подключается одни человек, все работает как часы. Если подключается второй, то у первого обрывается связь, а у второго появляется, и тот последний может себе работать, пока кто-либо еще не попытается подключиться к этому же VPN-серверу. При этом у отключившегося появляется ошибка со следующим сообщением:

 

Ошибка 809: Не удалось установить связь по сети между компьютером и VPN-сервером, так как удаленный сервер не отвечает. Возможная причина: одно из сетевых устройств (таких как брандмауэры, NAT, маршрутизаторы и т.п.) между компьютером и удаленным сервером не настроено для разрешения VPN-подключений. Чтобы определить, какое устройство вызывает эту проблему, обратитесь к администратору или поставщику услуг.

VPN сервер обслуживает оутсорс фирма, она настраивала клиентские места. Я к ним обращался несколько раз, но они ничего не смогли сделать, сказав что проблема у меня, поскольку другая контора может работать на этом сервере таким же образом без всяких проблем.

Тип VPN - L2TP IPsec, роутер Mikrotik RB750Gr3, прошивка версии 6.46.8.
Настройки фаервола:

 

0 D ;;; special dummy rule to show fasttrack counters
chain=forward action=passthrough

1 ;;; FastTrack
chain=forward action=fasttrack-connection connection-state=established,related log=no log-prefix=""

2 ;;; Drop invalid
chain=forward action=drop connection-state=invalid dst-address-list=Local IP log=yes log-prefix="invalid"

3 ;;; PPTP
chain=input action=accept protocol=tcp dst-port=1723 log=no log-prefix=""

4 ;;; GPE
chain=input action=accept protocol=gre log=yes log-prefix="GPE"

5 ;;; IPSec ports
chain=input action=accept protocol=udp port=500,4500 log=yes log-prefix="IPSec-esp"

6 ;;; IPSec-esp
chain=input action=accept protocol=ipsec-esp log=no log-prefix=""

7 ;;; Droping incoming noNAT packages
chain=forward action=drop connection-state=new connection-nat-state=!dstnat in-interface=ether1 log=yes log-prefix="!NAT"

8 ;;; Drop packages having not LAN IP
chain=forward action=drop src-address-list=!Local IP in-interface=bridge1 log=yes log-prefix="!LAN"

NAT:

 

0 chain=srcnat action=masquerade out-interface-list=WAN log=no log-prefix=""

[xvo]

А где находится этот VPN сервер и как он связан с вашим микротиком?

[Ls]

xvo, сервер находится в другой области.
Как связан с нашим роутерем? Юзеры через него к vpn серверу подключаются, больше никак.

[xvo]

То есть у вас несколько пользователей из-за вашего NAT'а пытаются одновременно подключиться к одному и тому же L2TP-серверу?

Это обычное ограничение для L2TP+IPSec.
На разных платформах обходится (или не обходится) по разному, но в любом случае - на стороне сервера, и ваш микротик тут ни при чем.

Единственное, что вы можете сделать - это как раз поднять соединение на самом микротике, чтобы все внутренние клиенты использовали его.

[Ls]

xvo, сделал как вы посоветовали, пока пользователи не жалуются. А на счет обходятся-не обходятся: все рекомендации для win7, на котором я сначала пытался настроить vpn, результатов не дали. Мне кажется, я не правильно гуглил. Чтобы вы вбивали в поисковике в такой ситуации?

[gmx]

https://help.keenetic.com/hc/ru/article ... 0%B8%D0%B9

Проблема встречалась и с микротиком в качестве клиента. Что-то там фиксили совсем недавно.

Но вот недавно столкнулся, что не работает два подключения PPTP с одного микротика... к одному серверу ROS7. Но pptp в 2021 году вообще бы использовать не надо... PPtP очень специфический протокол, он поднимает параллельно gre соединение и там тоже с NAT проблемы.

Выбирайте более прогрессивные протоколы. Вообще для клиентских подключений, в смысле компы сотрудников, смартфоны, наверное, самый универсальный SSTP. Да он может не быстр, ресурсоемкий, но нет никаких проблем с блокировками - всегда все работает, в винде "из каробки", в андроиде уже три отличных клиента и для ios написали недавно. И потом, необходимость раздачи виндовым клиентам сертификата, можно даже считать дополнительной защитой, а не трудностью. Ну а если купить сертификат официально, то и вообще все очень легко получается.
Как-то так...