Sziasztok,
valaki talalkozott mar olyan problemaval, hogy adott egy FIX IP -s Telekom -os kabelnet kapcsolat es az L2TP over IPSEC VPN kapcsolatok egyszeruen nem epulnek fel. Ami meg plusz megfuszerezi a dolgot, hogy amennyiben az L2TP felett PAP hitelesitest hasznal a kiszolgalo, ugy igen, ha CHAP vagy MS-CHAP v2 -t akkor nem.
A tuzfalamon (Fortigate) látom a sniffben, hogy acceptel elhagyja a csomagokat az INTERNET fele, a masik oldali sniff -ben is latom a csomagokat, viszont idonkent bedobja, hogy invalid PSK, ami lehetetlen mert atmegyek mobilnetre es ugyanaz a kapcsolati profil hiba nelkul felepul.
WTF?
koszi
FBK
- 876 megtekintés
Hozzászólások
nekem működik telekomon
ubuntu 18.04 most épp
a network manager felületen
identity tabon
gateway cím, felhasználó és jelszó
IPsec settings:
pipa az enable IPsec tunner to L2TP hostnál, preshared key megadva,
Advanced: Phase1 Algorithm: 3des-sha1-modp1024 Phase2 algorithm: 3des-sha1
PPP settings:
MSCHAPv2 pipa
Security & compression minden kipipálva és 128-bit (most secure)
mtu 1400 és mru 1400
Annó emlékszem nekem sem ment ipsec alól... valami netoldalon, talán egy amcsi egyetemén találtam ezt a kombinációt. Nélküle olyan módot akarna használni, ami vagy nincs ezen az oldalon vagy inkompatibilis, ezért kell megadni mindent részletesen.
Esetleg azért nem megy neked még, ha nem ez a gond, mert valaki más is l2tp-t használ ugyanazon a netkapcsolaton és amennyire utánanéztem, ebből egyszerre csak egy lehet aktív. Annó egy kollégával közösen dolgozva ugyanazzal az ügyféllel, kénytelenek voltunk egy openwrt routert beüzemelni erre a célra és az osztotta tovább a belső céges netet számunkra.
- A hozzászóláshoz be kell jelentkezni
ez sajnos nem magyarazza, hogy ugyanazzal az eszkozzel ha atmegyek mobilnetre, ott miert mukodik :-D
de koszi!
--
FBK
- A hozzászóláshoz be kell jelentkezni
Ha egyedül te használod a mobilnetet, akkor persze, hogy működik. Ha másik eszköz is használja l2tp-re a telekomos netet, akkor persze, hogy nem működik.
Üzleti fix ip-s céges nettel is jól megy nekem, ha más nem akart l2tp-zni rajta. De az otthoni lakossági, nem natolt csomaggal is megy a telekomon át.
Ha nem osztozol mással a neten, nem az egész cég használja, akkor próbáld ki közvetlenül a gépedet a hgw-be dugva is, hogy kiderüljön, nem a te eszközeiddel van e baj.
Mostanában errefelé sokszor van csomagkiesés az üzleti telekomos netünkkel. Nem derült ki, hogy ez szokása-e vagy helyi jellegzetesség, esetleg a közelmúltbéli fejlesztések mellékhatása.
- A hozzászóláshoz be kell jelentkezni
itt azota van ez, amiota legutoljara network karbantartas volt, feltehetoen valami rettento jol sikerult :-D
az a baj, hogy az ugyfelszolgalat is sotetben tapogatozik :D
--
FBK
- A hozzászóláshoz be kell jelentkezni
Én megnézném, hogy a két esetben - kábel és mobilnet - mekkora MTU van beállítva. Lehet, hogy vezetékes net esetén azon kellene finomhangolni.
- A hozzászóláshoz be kell jelentkezni
MTU -val játszottam, de sajnos hatástalan.
--
FBK
- A hozzászóláshoz be kell jelentkezni
Melyik eszközön állítottad és milyen értékig mentél le vele?
- A hozzászóláshoz be kell jelentkezni
> amennyiben az L2TP felett PAP hitelesitest hasznal a kiszolgalo, ugy igen, ha CHAP vagy MS-CHAP v2 -t akkor nem.
No várj. A teljes L2TP payload-nak IPSec felett kell mennie, tehát, ha az IPSec felállt, akkor a köztes fél nem tudhatja, hogy te a PPP-n belül mivel authentikálsz, csak annyit lát, hogy ESP csomagok jönnek-mennek.
- A hozzászóláshoz be kell jelentkezni
igen, de megis van valami kavarcs a sztoriban, mert a tapasztalat mégis ezt mutatja jelen pillanatban.
kifogytam az otletekbol.
--
FBK
- A hozzászóláshoz be kell jelentkezni
sub
- A hozzászóláshoz be kell jelentkezni
Szia!
FIX IP -s Telekom -os kabelnet kapcsolat
Tehát nem bérelt vonal, hanem van egy "lakossági" előfizetés, aminek a végén egy kábelmodem van (bridge vagy NAT mód?), ami után van a tűzfal.
T-nél nincs olyan hogy kábelnet + fix-ip, nevezzük "feature"-nek hogy adnak fix ip-t :)
Tehát be kell állítani a NAT-T, udp portokat forwardolni a tűzfaladra, ez megvan?
atmegyek mobilnetre es ugyanaz a kapcsolati profil hiba nelkul felepul.
Ezt a fentiek alapján kizártnak tartom hogy működne:
-Mobilneten "Carrier Grade NAT" van, és nincs portforward opció NAT-T-hez sem.
(Azért működhet talán, mert a mobilnet és a kábelmodem más T-routeren megy át, mobilnet T-routere "belső" lábán keresztűl megy el a kábelmodemig így nem NAT-ol, ellenben a másikoldalon megy a NAT).
Mi a megoldás?
SSL VPN
- A hozzászóláshoz be kell jelentkezni
Nem én vagyok a kérdező, de néhány észrevétel:
A fix ip miatt én üzleti előfizetés lehetőségét is nyitvahagytam a korábbi kommentemben. Egyébként a saját lakossági koaxosom ip-je is kvázi fix, csak nem azért, mert erre szerződtem, hanem csak nem cserélgetik.
Off: Nem fejtette ki jobban. Koaxon is szolgáltatlan ilyet, fix ip címet is lehet hozzá rendelni. Más kérdés, hogy például a cégnél, ahol dolgozom, próbáljuk üvegre áttéríteni, de hiába van már meglévő üveg, az valami nagyvállalati egységhez tartozik, így a lakossági és kisvállalati ügyfelekkel foglalkozó részlegek szerint nem létezik. Hihetetlen, hogy több üveg is van több cégtől az épületben és teljes balfaszság jellemző mindre. Másik irodában is ügyfélként találta ki a kolléga, hogy ne az egyik, hanem a másik -keresztutca- nevét mondja. Ha egyik utca, akkor nincs, ha másik akkor van... ugyanaz az épület. Azt hiszem a magyar cégek nem akarnak igazából ügyfeleket. /off.
A mobiletnél attól függ milyen megoldást használ. Nekem is van két simkártyás adatcsomag, mindkettőn publikus ip címmel és mégcsak nem is flotta. Igaz, már újat ebből sem lehet kötni, mert már nem akarnak versenyezni.
Sokszor írjáké l2tp és pptp kapcsán, hogy elavult, problémás... de van, amikor nincs választás, mert az ügyfél diktál, nem fogja lecserélni a "bevált" megoldását azért, mert egy időszakos alvállalkozó nem képes kapcsolódni hozzájuk.
- A hozzászóláshoz be kell jelentkezni
Kísértetiesen hasonló problémám volt egyik kollégám kapcsán, akinek szintén Telekom-os DOCSIS elérése volt otthon. Nekünk a probléma oka csomagvesztés a cégünk IP címe irányába (más IP-ket próbálgatva jónak tűnt a kapcsolat), mintha a cég internetszolgáltatója és a Telekom között valami nem klappolt volna?! Ugyanez volt neki is, hogy mobilnetről ugyanaz a gép vidám csatlakozott a DOCSIS modemen keresztül nem. Persze ezzel egy időben a céghez más szolgáltatóról, mobilnetről simán lehetett csatlakozni a hiba csakis az ő esetében állt fent egyedül!
(Ugyanez a gép, mondjuk egy évvel előtte, ugyanezen a Telekom DOCSIS modem keresztül működött - a cég oldalán sem volt a VPN állítgatva - tehát valószínűleg ott is valami "hálózati karbantartás lehetett")
Én akkor küldtem logot az ügyfélszolgálatnak a ping statisztikáról. Váltig állította a Telekom, hogy náluk minden rendben van és biztos nálunk azzal a géppel van a probléma.
A lényeg az egészben az, hogy rá fél-/egy évvel egyszer csak jó lett minden újra működött az addig nem használható VPN kapcsolat! Tehát eléggé gyanús, hogy valami mégiscsak náluk volt elrontva, csak ezt nem igazán akarták elismerni.
Nem tartom nagyon korrektnek az ilyen hozzáállást egy szolgáltató részéről... :(
Persze nem derült ki, hogy valójában mitől nem ment és azóta nem néztük, hogy a csomagok mennyire vesznek el a kolléga modemje és a cégünk IP-je között...?! De gyanítom, hogy most nincs ezzel gond.
- A hozzászóláshoz be kell jelentkezni