Правильные правила NAT и брандмауэра для L2TP-сервера за маршрутизатором Mikrotik

Я настроил Windows Server 2016 для L2TP VPN-подключений через предварительный общий ключ. Адрес локальной сети сервера - 192.10.0.100. Я могу получить доступ к VPN со стороны локальной сети.

Из-за пределов локальной сети я получаю сообщение об ошибке, в котором говорится, что удаленный сервер не отвечает, и упоминается возможность проблемы с NAT или брандмауэром.

Вот правила, которые я ввел для VPN:

NAT

   add action=dst-nat chain=dstnat comment="NAT Rule for L2TP General Port 500" \
        dst-address="Mikrotik public IP Address" dst-port=500 protocol=udp to-addresses=\
        192.10.0.100 to-ports=500
    add action=dst-nat chain=dstnat comment="NAT Rule for L2TP General Port 1701" \
       dst-address="Mikrotik public IP Address" dst-port=1701 protocol=udp to-addresses=\
       192.10.0.100 to-ports=1701
    add action=dst-nat chain=dstnat comment="NAT Rule for L2TP General Port 4500" \
       dst-address="Mikrotik public IP Address" dst-port=4500 protocol=udp to-addresses=\
       192.10.0.100 to-ports=4500

Брандмауэр:

add action=accept chain=input comment="allow L2TP port 500" dst-port=4500 \
    protocol=udp
add action=accept chain=input comment="allow L2TP port 1701" dst-port=1701 protocol=udp
add action=accept chain=input comment="allow L2TP port 4500" dst-port=4500 \
    protocol=udp
add action=accept chain=forward comment=\
    "Allow forwarding for L2TP VPN (udp)" dst-address=192.10.0.100 \
    protocol=udp

Похоже, что клиент может связаться с сервером, но не получает ответа. Есть ли еще один NAT для обратного трафика, который мне не хватает? Заранее спасибо.


firewall nat windows-server-2016 mikrotik
person PhillipOReilly    schedule 09.11.2020    source источник
comment
Вы используете IKEv2? Если это так, на MK FW добавьте правило принятия для протоколов 50 (ipsec-esp) 51 (ipsec-ah). Также проверьте брандмауэр Windows Server, если FW разрешает соединения на указанных портах.   -  person Facty    schedule 10.11.2020

Ответы (1)


arrow_upward
0
arrow_downward

Если вы получили сообщение об ошибке, указывающее на проблему с брандмауэром, проверьте записи реестра на стороне клиента и сервера.

В инструкциях здесь по настройке L2TP VPN на сервере Windows указано, что вам необходимо добавить значение DWord в реестр как на сервере, так и на клиенте, чтобы изменения NPS работали.

Go to

HKEY_LOCAL_MACHINE -> SYSTEM -> CurrentControlSet -> Services -> PolicyAgent

Добавлять

AssumeUDPEncapsulationContextOnSendRule

Измените значение данных на 2.

Оказывается, это НЕ нужно для тестирования VPN на стороне LAN, но нужно на стороне WAN. Следовательно, я не думал проверять свою орфографию, пока не смог подключиться к VPN со своего MacBook Pro.

person PhillipOReilly    schedule 11.11.2020