GRE через L2TP

[Alex.Petrov]

Добрый день, коллеги!
Столкнулся с проблемой поднятия туннеля GRE через туннель L2TP на микротике SXT.
По сути есть две площадки, основная с сервером и клиент которые расположены в отдельном технологическом VRF. Между ними трафик ходит через общедоступную LTE сеть. Для маршрутизации OSPF и офисной сети поднят L2TP туннель. Для соединения VRF клиента и VRF сервера хотел пробросить GRE туннель внутри L2TP туннеля на лупбеках. Но что-то туннель GRE не поднимается, лупбеки source и destination по OSPF доступны. Подскажите куда копать?
И вообще можно пробросить GRE внутри L2TP на микротике?

[Alex.Petrov]

[xvo]

Ну вообще должно бы работать, почему нет.

MTU правильно задан, с учетом того, что оно внутри L2TP?
В firewall'ах на обеих машинах ничего не препятствует?

[Alex.Petrov]

На Циске

Tunnel2 is up, line protocol is up
Hardware is Tunnel
Internet address is 172.31.0.1/30
MTU 9976 bytes, BW 100 Kbit/sec, DLY 50000 usec,
reliability 255/255, txload 1/255, rxload 1/255
Encapsulation TUNNEL, loopback not set
Keepalive not set
Tunnel linestate evaluation up
Tunnel source 10.34.209.62, destination 10.34.214.188
Tunnel protocol/transport GRE/IP
Key disabled, sequencing disabled
Checksumming of packets disabled
Tunnel TTL 255, Fast tunneling enabled
Tunnel transport MTU 1426 bytes
Tunnel transmit bandwidth 8000 (kbps)
Tunnel receive bandwidth 8000 (kbps)
Last input 00:00:04, output 02:00:49, output hang never
Last clearing of "show interface" counters 02:03:32
Input queue: 0/375/0/0 (size/max/drops/flushes); Total output drops: 0

На микротике

[admin@MikroTik] > interface gre print
Flags: X - disabled, R - running
0 R name="gre-tunnel2" mtu=auto actual-mtu=1426 local-address=10.34.214.188
remote-address=10.34.209.62 keepalive=10s,10 dscp=inherit
clamp-tcp-mss=yes dont-fragment=no allow-fast-path=yes

Вроде одинаковы по 1426 бит

[xvo]

А L2TP с ipsec?
А то тогда там MTU 1372 должно быть.

И главное, как вы проверяете, поднимается или нет?

[Alex.Petrov]

А L2TP с ipsec?
А то тогда там MTU 1372 должно быть.

И главное, как вы проверяете, поднимается или нет?

Нет без ipsec,
пытаюсь пропинговать концы туннеля из VRF
а на циске на туннельном интерфейсе GRE включаю keepalive, показывает что туннель в down

[xvo]

В общем я бы наверное для начала упростил конфигурацию - пока исключил из схемы VRF - просто повесил на оба конца туннеля по адресу и попытался добиться, чтобы трафик ходил между ними.

И вот вопрос все-таки по firewall'ам: на микротике в цепочке input разрешен GRE с loopback адреса циски?
Ещё недавно был прикол на каких-то версиях ROS, что gre трактовался, как invalid - можно временно попробовать отключить правило, сбрасывающее invalid.

Ну и что там на том конце, тоже посмотрите, чтобы ничего не препятствовало.

[Alex.Petrov]

В общем я бы наверное для начала упростил конфигурацию - пока исключил из схемы VRF - просто повесил на оба конца туннеля по адресу и попытался добиться, чтобы трафик ходил между ними.

И вот вопрос все-таки по firewall'ам: на микротике в цепочке input разрешен GRE с loopback адреса циски?
Ещё недавно был прикол на каких-то версиях ROS, что gre трактовался, как invalid - можно временно попробовать отключить правило, сбрасывающее invalid.

Ну и что там на том конце, тоже посмотрите, чтобы ничего не препятствовало.

Да, я так и сделал, попробовал без всяких VRF. Если вкладывать GRE туннель в GRE то все работает. А вот если транспортный L2TP то GRE туннель в нем не поднимается.

[xvo]

Что-то больше нет идей.