temat Tunel IPsec - brak możliwości zestawienia tunelu w Mikrotiku w Internet domowy

Tunel IPsec - brak możliwości zestawienia tunelu w Mikrotiku

KariGuri — Wed, 20 Mar 2024 07:44:02 GMT

Dzień dobry.

Mój klient posiada Orange Światłowód. Z konwertera sieć leci do Mikrotika RB5009, który robi za urządzenie brzegowe.
Z urządzeniem brzegowym próbuję nawiązać połączenie IPsec/połączenie zdalne z sieci WAN. Niestety ani jedno, ani drugie - nie udaje się.
W ponad 50 innych lokalizacjach nie mam takiego problemu, korzystam ze sprawdzonych, działających konfiguracji sieciowych (m.in. dopuszczenie połączenia WAN tylko z konkretnego adresu, reguły FW/NAT, itp.). Tutaj natomiast ewidentnie ruch blokowany jest przez coś "przed" Mikrotikiem.
Technicy orange ponoć weryfikowali sprawę, jednak nie przyniosło to żadnego skutku - po 2minutowej diagnozie dostaję informację, że "przecież wszystko jest odblokowane". Na nic moje tłumaczenia, że problemu nie ma, gdy do Mikrotika wepniemy inną sieć, np. z routera LTE.
Przy usługach Orange nie działa też parę innych usług, m.in. SMTP

Czy ktoś spotkał się z podobnym problemem? Dodam, że Mikrotik nie debuguje żadnych problemów. Tunel po prostu się nie zestawia.

Tunel IPsec - brak możliwości zestawienia tunelu w Mikrotiku

agat13 — Wed, 20 Mar 2024 08:15:32 GMT

@KariGuri Co to dokładnie za usługa? Jeśli to Neo Biznes (obecnie się to nazywa Internet Firmowy), to w jakiej opcji?

Tunel IPsec - brak możliwości zestawienia tunelu w Mikrotiku

Samotnick — Wed, 20 Mar 2024 09:27:36 GMT

@KariGuri Jeżeli chodzi o SMTP to https://www.orange.pl/kid,4000377334,id,4002357192,title,Bezpieczny-Dostep,article.html?searchedElementType=articleTab%3A0001c5a83236-e9d1-37a6-9208-3f16e8f72626&bookmarkList&referenceDocumentType=esupport_article&referenceElementId=BET1c5a83236-e9d1-37a6-9208-3f16e8f72626&pageLink=%2Fkid%2C4000377334%2Cid%2C4002357192%2Ctitle%2CBezpieczny-Dostep%2Carticle.html

Tunel IPsec - brak możliwości zestawienia tunelu w Mikrotiku

KariGuri — Mon, 25 Mar 2024 07:16:58 GMT

Dziękuję za odpowiedź,

usługa to Biznes Pakiet, typ usługi to Stacja Business Pack Fiber.

Tunel IPsec - brak możliwości zestawienia tunelu w Mikrotiku

agat13 — Mon, 25 Mar 2024 07:41:38 GMT

@KariGuri czy na modemie Żyxel?

Jeśli to FTTH, to zawsze pierwszy jest ONT, później Zyxel, i za nim podpinasz co chcesz, pod warunkiem, że nie masz 1 adresu IP i routera na Zyxelu

Tunel IPsec - brak możliwości zestawienia tunelu w Mikrotiku

KariGuri — Tue, 26 Mar 2024 08:59:56 GMT

Dziękuję za odpowiedź.

Przed Mikrotikiem jest jeszcze Livebox Business 150. Trwa identyfikacja, czy można się do niego zalogować.

Tunel IPsec - brak możliwości zestawienia tunelu w Mikrotiku

Samotnick — Tue, 26 Mar 2024 09:21:05 GMT

Tunel IPsec - brak możliwości zestawienia tunelu w Mikrotiku

KariGuri — Mon, 08 Apr 2024 12:00:44 GMT

Wszystko jest poprawnie podłączone. Mikrotik jest wpięty do Portu 0, mimo to adres publiczny lokalizacji nie jest wykrywany/nie można nawiązać Fazy 1.
Co ciekawe, adres bramy pinguje, jest dostępny.

Według informacji osoby znajdującej się na miejscu, Firewall w adapterze od Orange jest wyłączony.
Co jeszcze pominąłem?

Tunel IPsec - brak możliwości zestawienia tunelu w Mikrotiku

agat13 — Mon, 08 Apr 2024 12:41:30 GMT

@KariGuri Rodzaj usługi na FB150...

Tunel IPsec - brak możliwości zestawienia tunelu w Mikrotiku

Samotnick — Mon, 08 Apr 2024 13:01:13 GMT

@KariGuri Jesteś przekonany, że MT jest skonfigurowany na prawidłowej adresacji a nie na połączeniówce?

Tunel IPsec - brak możliwości zestawienia tunelu w Mikrotiku

KariGuri — Mon, 08 Apr 2024 13:31:46 GMT

Udało się zestawić tunel. Na adres bramy, który jest jednocześnie IP połączeniówki.
Niestety ruchu między sieciami LAN nadal brak - a Mikrotik był konfigurowany adresacją przekazaną przez technika Orange. Coś jest bardzo pomieszane z translacją adresów, brama odpowiada i robi za IP połączeniówki. Już się pogubiłem w tych regułach w Orange, pierwszy raz mam taką sytuację i komplikację.

Tunel IPsec - brak możliwości zestawienia tunelu w Mikrotiku

Samotnick — Mon, 08 Apr 2024 13:37:49 GMT

@KariGuri Powinieneś mieć publiczny adres dla routera LB150 i dodatkową pulę do użytku wyłącznie na porcie 0/0. I tej dodatkowej puli adresów publicznych powinieneś używać dla MT itp.

Tunel IPsec - brak możliwości zestawienia tunelu w Mikrotiku

agat13 — Mon, 08 Apr 2024 14:33:59 GMT

@KariGuri Dlatego proponuję zweryfikować jaką naprawdę masz usługę. Może być ich kilka rodzajów.

Na LB150 stawiany jest Internet Premium (dawniej Biznes Pakiet) w kilku wariantach. Usługa ma status prawdziwej usługi dla biznesu mając 1,4 lub 8 adresów IP, co daje możliwość skonfigurowania własnych urządzeń za LB150. Najmniej wygodną jest opcja z 1 adresem IP, który przypisany jest do modemu, który z kolei realizuje NAT.

FB zaś są stawiane są na Internecie Firmowym (dawniej Neostrada biznes), który ma takie same funkcjonalności jak , ale jest bardziej...hmmm...skomplikowany w obsłudze. Nie mam pojęcia czy LB150 są dostępne dla IF, ale przypuszczam, że nie, przez co masz lepszą usługę, tylko nie wiesz w jakim wariancie 🙂

Dla 4 i 8 adresów ważny jest IP bramy (adres modemu) i adres urządzenia (to co wpisujesz na WAN routera własnego), oraz maska (252 dla 4 IP i 248 dla 8 IP), oraz DNSy Orange. To musi działać 🙂 no, chyba, że masz tylko 1 adres IP...wtedy jest trudniej 🙂

Tunel IPsec - brak możliwości zestawienia tunelu w Mikrotiku

KariGuri — Fri, 12 Apr 2024 06:24:37 GMT

Dziękuję za pomoc.

Zweryfikowałem, na miejscu jest usługa z 4 adresami IP.
Adres IP modemu jest jednocześnie adresem bramy Mikrotika. Połączenie od drugiej, swojej strony, mogę zestawić z IP modemu - adres MT nie odpowiada/nie jest widoczny. Maska to /252
Natomiast od strony MT, tunel musi być zestawiony z własnym IP, gdy w połączeniu ustawiam IP modemu (czyli ten, na który idzie ipsec z mojej strony), to połączenie nie działa.

I tunel się zestawia, mimo wpisania innych adresów IP. Niestety komunikacja nadal jest przerywana. Pakiety wychodzą z obydwu stron, ale żadna niczego nie odbiera.

Tunel IPsec - brak możliwości zestawienia tunelu w Mikrotiku

Samotnick — Fri, 12 Apr 2024 07:02:20 GMT

@KariGuri Czyli masz do dyspozycji jeden adres IP, który ustawiasz na WAN w MT, ponieważ drugi adres to wewnętrzne IP routera (czyli brama w MT). Adres przypisany do WAN w MT musi być osiągalny z zewnątrz. Jeżeli tak nie jest to sprawdź jak wyglada konfiguracja firewalla i tablicy routingu w LB. Adres połączeniowy (ten na WAN w LB) jak i adres używany jako wewnętrzny/bramy nie może służyć do zestawiania tunelu.

Tunel IPsec - brak możliwości zestawienia tunelu w Mikrotiku

agat13 — Fri, 12 Apr 2024 07:05:46 GMT

@KariGuri Zadzwoń na infolinię Biznes 510600600 i poproś o weryfikację usługi. Wyjaśnij o co Ci chodzi, aby sprawdzili widoczność Twojego MT i reguły na firewallu. Mają do tego narzędzia...

Tunel IPsec - brak możliwości zestawienia tunelu w Mikrotiku

KariGuri — Fri, 12 Apr 2024 07:07:05 GMT

Tablica routingów, NAT oraz Firewall są praktycznie przezroczysta. Mam reguły tylko między sieciami za tunelem.
Adres WAN Mikrotika nie jest osiągalny z zewnątrz. Nie mogę się po nim zapiąć tunelem, Winboxem do MT (oczywiście z dozwolonych adresów) ani oczywiście wykonać ping/tracert.

Skontaktuję się, po raz kolejny, z Orange.
Dzięki za wsparcie.

Tunel IPsec - brak możliwości zestawienia tunelu w Mikrotiku

KariGuri — Fri, 12 Apr 2024 07:07:44 GMT

Tak zrobię, chociaż z Orange kontaktowałem się już trzy razy. Każdorazowo, po chwili, konsultant mówił, że po ich stronie wszystko jest w porządku.

Dziękuję za wsparcie.

Tunel IPsec - brak możliwości zestawienia tunelu w Mikrotiku

Samotnick — Fri, 12 Apr 2024 07:14:09 GMT

@KariGuri Musi być osiągalny. Może nie jest ustawiony routing do tej sieci po stronie Orange. Jak wygląda traceroute z zewnątrz? Dochodzi do LB?

Tunel IPsec - brak możliwości zestawienia tunelu w Mikrotiku

agat13 — Fri, 12 Apr 2024 07:22:56 GMT

@KariGuri Jeśli wpisałeś 3 IP z puli jako IP WAN MT,

2 jako bramę,

DNS 194.204.152.34 i 194.204.159.1

maskę 255.255.255.252, to adres MT musi być osiągalny z zewnątrz i niech to właśnie sprawdzą