Настройка MIkrotik

Dpoke

Опубликовано 13 июля, 2012 · Жалоба

Всем привет, используете ли вы микротики в своей работе?

Мы вот пытаемся и наступаем на грабли, хочу посоветоваться с вами по поводу ниже описанных нюансов работы.

Также походу работы у нас возникают пожелания, которые я тут ниже перечислил.

Может кто-то встречался и решал их уже или возможно у кого-то появятся мысли, как можно сделать так, чтобы обойти те или иные грабли или реализовать то или иное пожелание?

Заранее спасибо за ответы.

I IPsec.

1. Нестабильная работа IPsec Микротик-Микротик.

Настроенный между двумя Микротиками IPsec туннель переинициализируется после сброса командой flush за плавающее время, от нескольких секунд до 10 минут.

Хочется, чтобы повторяемость и предсказуемость была выше. Замечено также, что далеко не со всеми настройками IPsec работает.

Если бы Микротик опубликовал рекомендуемые настройки для IPsec, это было бы замечательно.

Мы пробовали так:

Phase1 exchange-mode=main send-initial-contact=yes proposal-check=obey hash-algorithm=md5 enc-algorithm=aes-128 dh-group=modp1024 lifetime=1h lifebytes=0

Phase2 enc-algorithms=aes-128, auth-algorithms=sha-1, lifetime=30m, pfs-group=modp1024

DPD 10 sec 3 fail.

2. Нестабильная работа IPsec Микротик-Cisco.

Если туннель строится между Микротиком и Cisco, надёжность ещё меньше.

Было бы желательно получить рекомендацию от Микротика, как настраивать туннель с Cisco, с указанием рабочих конфигов обеих сторон.

3. Управление IPsec.

В текущей реализации, нет возможности сброса отдельных IPsec туннелей, только всех разом.

Очень желательно получить возможность сброса отдельных туннелей.

4. Мониторинг IPsec по SNMP.

Нет возможности по SNMP узнавать состояние туннеля и трафик в нём.

5. Отладка, см. вопрос II

II Отладка.

Нам не хватает средств отладки. Например, режима debug, в котором бы Микротик выдавал в логах расширенную диагностику.

Конкретно не хватает диагностики работы IPsec в целом, UserManager, Radius Server и Client.

III Создание пользователей.

Желательно иметь возможность создавать пользователей, не зная их пароли, но зная хэши.

Например, в Linux и Cisco такая возможность есть.

В текущей реализации необходимо указывать пароль в открытую, и команда добавления пользователя с паролем доступна в истории ввода команд, что совсем нехорошо.