Купил cudy самый мощный с OpenWRT 24, решил клиента l2tp/IKEV1 поднять... Да какой же это ад!

7 часов

Всего 7 часов. Ты будто не на форуме про линукс

l2tp+ipsec всегда так настраивался. Не знаю, правда, куда тут семь часов ушло, но, возможно, мне проще, потому что я эту связку ещё с нулевых настривал неоднократно.

Ты, наверно, ещё и LFS используешь... network-manager давно делает это всё за тебя, если что, ты просто вводишь ему параметры. В FreeBSD возможно даже без оного всё работает.

В итоге дело не в MTU, оно так и не заработало нормально, пакеты теряет где-то. теперь пробую pptp - сцуко, в свежем pppd какая-то жопа ещё...

Коллега видимо первый раз ipsec настраивал. Когда я это первый раз делал четверть века назад (в обычном Дебиане) у меня тоже целый рабочий день ушел на разбирательство.

настривал неоднократно.

«Мыши плакали и кололись»

Я настраивал и сервер, и клиентов. Причём в качестве клиентов иногда выступали пользовательские машины, в том числе с оффтопиком(там я просто отдавал настройки и сертификат, пользователи настраивали сами), а иногда другие сервера. NM тут, как можно понять, ни разу не панацея.

Почему? Нормальная связка, работала, кушать не просила.

в том числе с оффтопиком

С сентября 2025 там ещё и несколько ключей реестра надо править, чтобы оно подключалось. Но OpenWRT бьёт все рекорды.

Одно то, что это «связка» (да ещё и третий элемент в виде приклееного изолентой pppd встречается), уже ненормально. Оно конечно работает, но это груда костылей, где сходу непонятно даже где чья ответственность, и к которой совсем не хочется притрагиваться.

Нормально это так: вот listen ip:port (один, и который не требует никаких спец. обработок для натов, главное чтобы прокинут был до клиента как-нить), вот список юзеров с их реквизитами (пароли/ключи), вот виртуальные (или реальные) интерфейсы куда их подключаем при подключении. Опционально - какие-нить настройки раздачи ip-адресов и небольшой файлвол вида «этому можно общаться с таким-то списком ip:port». И один бинарник, которому даёшь файл конфига и он сразу работает (и логи пишет понятные и нормально структурированные, а не горы невразумительного мусора которые от ipsec-ов валятся).

Это всё прекрасно. Вот только когда стоит задача, чтобы работало из коробки и на любой ОС без сторонних экзотических клиентов, приходим к l2tp+ipsec(во всяком случае раньше так было, сейчас я в другой области работаю, мог отстать от сетевых технологий).

С сентября 2025 там ещё и несколько ключей реестра надо править, чтобы оно подключалось. Но OpenWRT бьёт все рекорды.

Что за новости? У меня вин - пожизненная рабочая осъ, а ikev2 самый распространенный коннект. Ничего никогда нигде не правил, коннекты коннектятся, новые создаются и туда же.

таки всё близкое к описанному pppd делает. И ещё, OpenVPN мало того, что жрёт CPU как не в себя, так ещё и для ТСПУ как красная тряпка даже внутри чебурнета. А остальные современные VPN ещё и валидного домена (для сертификата) хотят. Тьфу.

без сторонних экзотических клиентов, приходим к l2tp+ipsec(во всяком случае раньше так было

openvpn вцелом, ikev2 для мобилок, awg для нынешних реалий на 1/6.

ikev1, l2tp и pptp. По-гугли, был неприятно удивлён - типа не секурно, просто втихую перестали подключаться.

Да фигли это гуглить там лет 20+ критические уязвимости в этих версиях, я пптп менял по этой причине примерно в 2004:)

Но это точно не про л2тп, он же сам по себе транспорт же

OpenVPN мало того, что жрёт CPU как не в себя, так ещё и для ТСПУ как красная тряпка даже внутри чебурнета

На мобильном i3 6 поколения (nuc6i3) этот протокол вполне тянет по 100 мегабайт в секунду (да, под гигабит), внутри страны работает хорошо, у меня сотня входящих подключений на нем живет.

А вообще vpn проще и удобнее под pfsense строить

Так pptp же кусок несекурного говна. Пока на ржавый не перепишут лучше держаться подальше. Да и после тоже

На мобильном i3 6 поколения (nuc6i3) этот протокол вполне тянет по 100 мегабайт

У меня в теме назван роутер, назначение которого - питаться от маленького powerbank нескольлко часов. Какой i3????!!!

У меня этот нук потребляет в среднем чуть меньше 4 ватт. А вот скотлько всего на нем крутится - ух.

Зы, сходил посмотрел - i3 дремучего 6 поколнения с 32гб рам и 1тб ссд жрет меньше любого куди, и по размеру намного меньше среднего.

на любой ОС без сторонних экзотических клиентов, приходим к l2tp+ipsec

В новых андроидах убрали в связи с безопасностью

После 11-го android стал чем-то неюзабельным.

В итоге так и не настроил, т.е. формально настроил, а оно тормозит.

Нормально это так

Поэтому я удивляюсь малой популярностью SSTP.

У кинетика эта фигня тоже к SSL сертификату домена и первому по метрике интерфейсу гвоздями прибита. Думаю, не просто так.

Я не понимаю о чем ты пишешь, то ли об опенврт в роли клиента, то ли о чем-то еще.

У меня кинетик - сервер, openwrt - клиент. И всё идёт к тому, что openwrt на двухъядерном ARM - глючный хлам. Правда, у кинетика свои приколы, хато что работает, то работает очень хорошо.

OpenVPN мало того, что жрёт CPU как не в себя

нет

для ТСПУ как красная тряпка даже внутри чебурнета

нет

остальные современные VPN ещё и валидного домена (для сертификата) хотят

нет

удивляюсь малой популярностью SSTP

Нормальная скорость только на оффтопике, порт менять низя, хендшейк легко палится. В общем это OpenVPN для виндузятников.

остальные современные VPN ещё и валидного домена (для сертификата) хотятнет

https://support.keenetic.com/hero/kn-1011/en/25350-ikev2-ipsec-vpn-server.html - вот это г...о генерит свой сертификат и вешается на интерфейс с верхней метрикой. При попытке подсоединиться к другому интерфейсу сертификат не срабатывает. Свои сертификаты туда нельзя. Задолбали с мегасекьюрностью, мне просто тоннель нужен.

В новых андроидах убрали в связи с безопасностью

Чистый ipsec оставили. Прекрасно работает там где работают обычные протоколы (интранет, чебурнет). Самая мякотка во всеядности и скорости подключения.

когда кто-то пишет «да зачем keenetic? а зачем ещё и левое железо прошивкой кинетика прошивать??» - вот затем

ЧЗХ!? Сколько тебе лет?

49

Чистый ipsec оставили.

Только второй. Первый убрали.

порт менять низя, хендшейк легко палится

Не вижу проблемы; первое утверждение к тому же сомнительно.

Нормальная скорость только на оффтопике

для виндузятников

Ну кто что осилил реализовать, да.

кинетик - сервер

Ну всяко должен уметь ikev2+ipsec.

Он ikev2 делает генерацией сертификата домена и цепляет к первому интерфейсу. А у меня там PPPOE провайдера и две амнезии, из которых одна - с высшей метрикой. И мне ikev2+ipsec в Сербии нафиг не сдался - да там вообще почти все VPN протоколы не дают выбрать интерфейс, я использую те, которые на всех биндятся. А l2tp в OpenWRT кривой и унылый, pptp заброшен и глючный. Сейчас мучаю ikev1+ipsec.

Мы в этом треде все еще хвалим кинетик, или уже ругаем?

Не, мы ругаем OpenWRT и их кривую поддержку устаревших протоколов - они проводят огромную работу, выкидывая из программ всё ненужное, но не зря же keenetic свою реализауию l2tp запилили и не только. Если сейчас IKEV1 подниму, вопрос исчерпан.

Не, мы ругаем OpenWRT и их кривую поддержку устаревших протоколов

А сколько ты американских рублив им занес?

успехов!

может напилить свой дистрибутив OpenWRT с кнопками «Далее», «Далее», «Готово» и заработать все деньги?

Я лучше перенесу kl2tpd на openwrt и напишу морды к luci. Реально, после openwrt 14 весь userland скатился в какую-то роллинг бету

ipsec штука вообще неторопливая. Она не для скорости, а для защищенности.

Lordwind, shell-script, watchcat382

Коллеги, я давно отстал от ip стека в linux, подскажите, почему после настройки ipsec для того, чтобы всё заработало, надо ВОТ ЭТО (192.168.1.1 - это сервер VPN с ништяками, 192.168.10.1 - это дорожный роутер-клиент, в usb телефон или модем):

ip addr add 172.20.0.1/32 dev usb0 2>/dev/null
ip route replace 192.168.1.0/24 via 192.168.14.19 dev usb0 src 172.20.0.1
ip route add 192.168.1.0/24 dev usb0 src 172.20.0.1

uci add_list firewall.@zone[1].masq_dest='!192.168.1.0/24'
uci commit firewall
/etc/init.d/firewall restart


nft insert rule inet fw4 srcnat_wan ip saddr 172.20.0.1 ip daddr 192.168.1.0/24 return
nft add rule inet fw4 srcnat_wan ip saddr 192.168.10.0/24 ip daddr 192.168.1.0/24 snat to 172.20.0.1

Ну и последнее - как это ПРАВИЛЬНО в панель роутера запаковать, пока выглядит как суперкостыль.

Нет, там буквально эффект как от ТСПУ с 16 кб. На Cisco IKEV1/IPSEC нормально заработало, портянку запихал в init скрипт, запускаю вручную после подъёма сети (телефон-модем-гостевая сеть в коворкинге и т.п.)

надо ВОТ ЭТО

Дело в том, что туннель - это такое же сетевое соединение как и те, которые должны потом идти внутри туннеля. Именно поэтому и приходится тем или иным способом объяснять сетевому стеку куда какие пакетики роутить. Иначе туннель «заворачивается сам в себя». В вашем примере через source routing сделали, но раньше и без него обходились.

как это ПРАВИЛЬНО в панель роутера запаковать

По моим ощущениям - графический конфигуратор в OpenWRT - это для совсем-совсем простых случаев применения. Если нужно что-то более сложное - то надо просто писать скрипты с нужными командами. Благо что OpenWRT это вполне обычный линукс.

Именно поэтому и приходится тем или иным способом объяснять сетевому стеку куда какие пакетики роутить.

...но у меня не поднимается никакого tun0 или tap0. С которыми я привык иметь дело. Вот это я и спрашиваю, а не очевидные вещи.

там буквально эффект как от ТСПУ с 16 кб.

Обычно такое случается в случае необычного значениям МТU в сочетании с непрохождением icmp пакетов которые и должны заставлять отправителя подстроиться к значению mtu. Посмотрите, не заблокировано ли у вас где-нибудь по пути icmp «в целях безопасности». Напомню, что внезапно icmp это не только ping и ответ на него. Кстати пинговать можно пакетами разного размера и спотреть какие еще проходят, а какие уже нет. Так выяснить реальный mtu.

По моим ощущениям - графический конфигуратор в OpenWRT - это для совсем-совсем простых случаев применения. Если нужно что-то более сложное - то надо просто писать скрипты с нужными командами.

Вот, на досуге буду пилить панель для этого и портировать kl2tpd.

Обычно такое случается в случае необычного значениям МТU в сочетании с непрохождением icmp пакетов которые и должны заставлять отправителя подстроиться к значению mtu.

Ха-ха. Думаешь, я это не исследовал? Надо глубже копать в работу l2tp, ipsec над ним в порядке, как видно из результатов.