default route distance при подключении L2TP или PPTP клиента. [SOLVED]

Выкладываем здесь готовые конфигурации под определенные типовые задачи
Alexander.Tselykh
Сообщения: 7
Зарегистрирован: 18 дек 2018, 13:31

Vlad-2 писал(а): 18 дек 2018, 15:20 Управляйте роутером через WinBox = там всё сразу и было доступно.
И у L2TP и у PPTP и у других протоколов подключения
можно поставить галочку "Add default route", и внизу,
в активном поле можно явно указать значения дистанции.

Многие провайдеры так делали и местами делают (как у Вас сейчас с маршрутами):
а) сначала подключаешься к их сети, получаешь какой-то адрес
б) поднимаешь подключение уже к Интернету через/поверх этого
адреса посредством PPTP/L2TP/PPPoE.
Соответственно маршруты нужны и уровень их порядка тоже важен
и можно/нужно явно настраивать.
Немножко не совсем то.... Вопрос состоял несколько в другом....

Поставить галочку "Add default route" у L2TP и у PPTP возможно и через вебку, метрику также.
В более древних прошивках (точно не помню, 6.37 или может еще старше) метрику для впн соединения можно было поставить 0. В результате мы получали дефолт на ван провайдера с метрикой 1, 3 маршрута (описаны в посте выше) с метрикой 0 и, в случае поднятого впн-соединения еще один дефолт с метрикой 0.
Теоретически это не правильно, поскольку имеем маршруты на гейтвей прова, маршрут на хост впн сервера, птп для впна с метрикой 0 и это все накрывется дефолтом с той же метрикой. Но оно работало и раьботает на данный момент примерно в 100-не удаленных офисов.

Возможно это сподвигло разработчиков в более свежих прошивках ограничить в вебке (и думаю в винбоксе тоже, хотя не проверял, если честно) простановку метрики в впн соединениях не меньше 1.

В результате имеем явный баг.

При простановке метрики 1 на впн соединение, получаем при подъеме впн-соединения, кроме тех 3-х маршрутов с 0-й метрикой, два дефолта с ОДИНАКОВОЙ метрикой 1. Что в принципе невозможно, но есть и даже в CLI присутствует в таблице маршрутизации.

На практике, как ни странно, с такой маршрутизацией даже работает, и даже не теряются пакеты, весь траффик идет на провайдера. Т.е. походу второго дефолта роутер просто не видит.

Соответственно какую метрику не проставь на пптп/л2тп соединение, она будет либо такая же как и на ван порту провайдера или тяжелее. Т.е. никаким образом запихнуть весь трафик в впн соединение с помощью традиционных срелств, не получится (ну про маркировку идею только сейчас подкинули, не игрался).

Как писал выше, пролечить ситуацию удалось изменением метрики на провайдере и то в неожиданном месте - в настройках дхцп-клиента на ван интерфейс.

Хотя правильное поведение любого маршрутизатора при установленной на интерфейсе опцией добавления дефолтного маршрута при подъеме, заключается в том, что либо изменяется текущий дефолтный маршрут на новый гейтвей, либо добавляется новый дефолт с меьшей метрикой (изменяется метрика существующего, например понижается).

Ну как то так. На данный момент ситуацию разрулили:) Ждем обновлений:):):)


Аватара пользователя
Vlad-2
Модератор
Сообщения: 2531
Зарегистрирован: 08 апр 2016, 19:19
Откуда: Петропавловск-Камчатский (п-ов Камчатка)
Контактная информация:

Alexander.Tselykh писал(а): 18 дек 2018, 16:42 Хотя правильное поведение любого маршрутизатора при установленной на интерфейсе опцией добавления дефолтного маршрута при подъеме, заключается в том, что либо изменяется текущий дефолтный маршрут на новый гейтвей, либо добавляется новый дефолт с меьшей метрикой (изменяется метрика существующего, например понижается).
Спорно.
Я бы не хотел, чтобы какой-то интерфейс при поднятии менял мои уже настроенные дистанции маршрутов.
Alexander.Tselykh писал(а): 18 дек 2018, 16:42 Ну как то так. На данный момент ситуацию разрулили:) Ждем обновлений:):):)
Думаю вряд ли будут обновления, в рамках этой ситуации.

И да, поискал по изменениям, в прошивке с 6.41.1 это сделали:
*) ppp - changed default value of "route-distance" to 1;

Да и по логике, что ррртр, что л2тр = протоколы работают поверх уже
чего-то, и наверно с этой позиции и из-за ряда других моментов и сделали разработчики,
что ниже 1 нельзя выставить им.



На работе(ах): 2xCCR1016-12G, RB3011UiAS и hAP lite (RB941)
Дома: CCR1016-12G, RBcAP2n (standalone), RB wAP LTE kit
Для тестов(под рукой): RB3011UiAS, hAP mini (RB931) и что-то ещё по мелочи
MTCNA
MTCRE
vqd
Модератор
Сообщения: 3605
Зарегистрирован: 26 сен 2013, 14:20
Откуда: НСК
Контактная информация:

что бы в данном случае не мучастся с дистанциями, достаточно в ДХЦП клиенте выставить special classless Тогда микрот добавит только переданные маршруты бед дефолта


Есть интересная задача и бюджет? http://mikrotik.site
Alexander.Tselykh
Сообщения: 7
Зарегистрирован: 18 дек 2018, 13:31

Vlad-2 писал(а): 18 дек 2018, 16:57 Спорно.
Я бы не хотел, чтобы какой-то интерфейс при поднятии менял мои уже настроенные дистанции маршрутов.
Позволю не согласиться, по такому принципу работают все маршрутизаторы... Как бы сама опция подразумевает изменение дефолта в случае подъема интерфейса.... Естественно, если она включена (я имею ввиду не роутеры Mikrotik, а например CISCO, практически любые линуксовые операционки).., Например на маршрутизаторах CISCO в старые добрые времена с помощью изменения гейтвея настраивал резервирование каналов по интересным пакетам... Ну это уже лирика:)

А насчет обновлений, это был сарказм :) и так вполне устраивает, абы не хуже :)


lemark710
Сообщения: 4
Зарегистрирован: 04 июл 2022, 13:38

Добрый день с микротиком только начал разбираться, нужен ответ на вопрос.
Есть локалка 192,168,10,0/24
Микротик 192,168,10,2
все интерфейсы поголовно в бридже
Поднят l2tp ipsec
в PPP profil локальный адрес 192,168,55,1
в PPP secret пользователю локальный 192,168,55,1 удаленный 192,168,55,2 пользователей будет не много поэтому пул не делался и все прописывалось в ручную
Все работает. С клиентского компа все подключается и все работает. НО.....
Есть два сервера 192,168,10,100
192,168,10,101
Нужно чтоб некоторые пользователи могли ходить по порту 111 на 192,168,10,100, а некоторые по порту 222 на 192,168,10,101
Никакие маршруты не прописывал. При подключении к l2tp все работает как в бридже. Сам создает маршрут дист. ардес 192,168,55,2 шлюз l2tp 192.168.55.1.
Микротик RB3011UIAS прошивка 7,3,1


xvo
Сообщения: 4204
Зарегистрирован: 25 фев 2018, 22:41
Откуда: Москва

Так а вопрос где?


Telegram: @thexvo
lemark710
Сообщения: 4
Зарегистрирован: 04 июл 2022, 13:38

xvo писал(а): 04 июл 2022, 14:39 Так а вопрос где?
Нужно чтоб некоторые пользователи l2tp могли ходить по порту 111 на 192,168,10,100, а некоторые по порту 222 на 192,168,10,101, а все остальные порты были закрыты и доступа к другим ip внутри локалки небыло.
Я не понимаю, почему все подключения l2tp видят полностью всю локалку 10,0/24 при том что не прописано никаких маршрутов, кроме того, что он создает автоматически при подключении клиента l2tp (Сам создает маршрут дист. ардес 192,168,55,2 шлюз l2tp 192.168.55.1.)


xvo
Сообщения: 4204
Зарегистрирован: 25 фев 2018, 22:41
Откуда: Москва

Ну так в чем проблема - закройте всем остальным доступ (точнее закройте все всем, потом откройте кому надо). На это есть firewall, а маршруты - это не инструмент которым регулируется доступ, тем более маршруты на стороне клиента.

Подозреваю, что дефолтный маршрут на клиентах у вас смотрит в туннель, поэтому все все и видят.


Telegram: @thexvo
AV1234
Сообщения: 1
Зарегистрирован: 18 дек 2023, 12:54

Задам похожий вопрос. Использую за городом hEX RB750Gr3, в него вставлен LTE модем EP06-E, естественно серый IP от опсоса. В городе стоит Hap Ac2 с белым динамическим IP, к которому загород по L2TP коннектится через NOIP. Нужно весь трафик загорода завернуть в этот туннель до города, то есть впн дефолт роут. Раньше модем работал в другом режиме и микротик сам поднимал динамический маршрут до городского через интерфейс lte1, предварительно резолвля адрес. Теперь пришлось для стабильности переключить модем в режим MBIM и теперь маршрут до города автоматом не появляется, соответственно поднимается впн, весь трафик и служебный тоже идет через туннель и все падает и так по кругу. Есть неизящный вариант всю подсеть городского провайдера добавить в маршрут с интерфейсом lte1, но хочется, чтобы загород сам резолвил доменное имя и полученный айпи добавлял в маршрут. Пробовал с адресс листом, манглом и роутом по роутинг марк, но не взлетело.


Ответить