Не работает драйвер ipsec

Обновлено: 06.01.2025

Бесплатный чек-лист
по настройке RouterOS
на 28 пунктов

Обнаружена блокировка рекламы: Наш сайт существует благодаря показу онлайн-рекламы нашим посетителям. Пожалуйста, подумайте о поддержке нас, отключив блокировщик рекламы на нашем веб-сайте.

Не работает подключение L2TP + IPsec с MacOS

Добрый день, настроил L2TP + IPsec + Radius, подключения с Windows клиентов работает, а вот при подключении с MacOS в логах ошибки. Все решения которые находил в интернете подходят для старых версий RouterOS. Используется версия MikroTik RouterOS 6.48.1
Ошибки которые в журнале Mikrotik: Насколько я понимаю MacOS не нравятся алгоритмы шифрования, и то что ipsec использует ike1, но как это поменять если ipsec peer создается динамически и не дает поменять exchange-mode и позволяет использовать только профили используемые по default.
Пробовал с wiki рекомендации для iOS, не помогло: Ну так а свои настройки для proposal и profile покажите.
Что macOS, что iOS без проблем работают с дефолтными.

Дома: [CCR1009-7G-1C-1S+] [CRS112-8P-4S-IN] [wAP ac] [RB260GS]
Не дома: [RB4011iGS+] [CRS326-24G-2S+RM] [wAP 60ad] [cAP ac].
. [hEX] [hAP ac²] [hAP ac lite] [hAP mini] [RB260GS]

Ну так а свои настройки для proposal и profile покажите.
Что macOS, что iOS без проблем работают с дефолтными.

Дома: [CCR1009-7G-1C-1S+] [CRS112-8P-4S-IN] [wAP ac] [RB260GS]
Не дома: [RB4011iGS+] [CRS326-24G-2S+RM] [wAP 60ad] [cAP ac].
. [hEX] [hAP ac²] [hAP ac lite] [hAP mini] [RB260GS]

no template matches
failed to get proposal for responder.
failed to pre-process ph2 packet.

Дома: [CCR1009-7G-1C-1S+] [CRS112-8P-4S-IN] [wAP ac] [RB260GS]
Не дома: [RB4011iGS+] [CRS326-24G-2S+RM] [wAP 60ad] [cAP ac].
. [hEX] [hAP ac²] [hAP ac lite] [hAP mini] [RB260GS]

Проверил, не работает, я уже пробовал эти алгоритмы в proposal, и какой в proposal pfs-group? Я и none пробовал и mod1024. Я и в proposal и profile все алгоритмы шифрования отмечал, только в profile еще не пробовал hash-algorithm'ы все.
Есть рабочий конфиг для RouterOS 6.48 в котором MacOS Big Sur подключается? Может скинете я посмотрю чего мне не хватает.

Чуть попозже попробую именно big sur и именно с 6.48.x.
Но вообще вы сами не пробовали на 6.47 long-term пересесть - там ситуация такая же?

Дома: [CCR1009-7G-1C-1S+] [CRS112-8P-4S-IN] [wAP ac] [RB260GS]
Не дома: [RB4011iGS+] [CRS326-24G-2S+RM] [wAP 60ad] [cAP ac].
. [hEX] [hAP ac²] [hAP ac lite] [hAP mini] [RB260GS]

Значит пока попробовал подключиться с Big Sur к уже работающим серверам (пробовал 6.46.7 long-term и 6.47.8 stable).
Все ок с (почти) стандартными настройками, только аутентификацию он в отличие от более старых осей использует sha256.

Сейчас попробую куда-нибудь накатить 6.48.2 для теста.

Upd.: к 6.48.2 подключился так же без проблем, причем с вообще дефолтными настройками (так что, например, sha1 не помеха).

Так что вопрос - как вы настраиваете клиента?

Дома: [CCR1009-7G-1C-1S+] [CRS112-8P-4S-IN] [wAP ac] [RB260GS]
Не дома: [RB4011iGS+] [CRS326-24G-2S+RM] [wAP 60ad] [cAP ac].
. [hEX] [hAP ac²] [hAP ac lite] [hAP mini] [RB260GS]

В этой статье описывается устранение неполадок с подключением виртуальной частной сети (VPN) L2TP/IPSec.

Применяется к: Windows 10 — все выпуски
Исходный номер КБ: 325034

Сводка

При устранении неполадок подключения L2TP/IPSec полезно понять, как происходит подключение L2TP/IPSec. При запуске подключения на сервер отправляется начальный пакет L2TP с запросом подключения. Этот пакет заставляет уровень IPSec на компьютере договариваться с VPN-сервером о том, чтобы настроить защищенный сеанс IPSec (ассоциация безопасности). В зависимости от многих факторов, включая скорость ссылок, переговоры по IPSec могут занять от нескольких секунд до двух минут. Когда создана ассоциация безопасности IPSec (SA), начинается сеанс L2TP. Когда она начинается, вы получаете запрос на имя и пароль (если подключение не настроено для автоматического подключения в Windows Millennium Edition.) Если VPN-сервер принимает ваше имя и пароль, настройка сеанса завершается.

Вторая распространенная проблема, которая препятствует успешному сеансу IPSec, — это использование сетевого перевода адресов (NAT). Во многих небольших сетях маршрутизатор с функциональными возможностями NAT используется для обмена одним интернет-адресом между всеми компьютерами в сети. Оригинальная версия IPSec сбрасывает подключение, которое проходит через NAT, так как обнаруживает адресное сопоставление NAT как подделывания пакетов. Домашние сети часто используют NAT. Это блокирует использование L2TP/IPSec, если клиент и шлюз VPN не поддерживают возникающий стандарт IPSec NAT-Traversal (NAT-T). Дополнительные сведения см. в разделе "Nat Traversal".

Если подключение сбой после получения запроса на имя и пароль, сеанс IPSec был создан, и, вероятно, что-то не так с вашим именем и паролем. Другие параметры сервера также могут препятствовать успешному подключению L2TP. В этом случае отправьте журнал PPP администратору.

NAT Traversal

При поддержке IPSec NAT-T в VPN-клиенте Microsoft L2TP/IPSec сеансы IPSec могут проходить через NAT, когда VPN-сервер также поддерживает IPSec NAT-T. IPSec NAT-T поддерживается Windows Server 2003. IPSec NAT-T также поддерживается Windows 2000 Server с обновлением L2TP/IPSec NAT-T для Windows XP и Windows 2000.

Для сторонних VPN-серверов и шлюзов обратитесь к администратору или поставщику шлюзов VPN, чтобы убедиться, что IPSec NAT-T поддерживается.

Драйвер аудита IPsec позволяет проверять события, созданные драйвером IPSec, например следующие:

Запуск и завершение работы служб IPsec.

Пакеты сети отпали из-за сбоя проверки целостности.

Сетевые пакеты отпали из-за сбоя проверки воспроизведения.

Сетевые пакеты отпали из-за того, что они были в plaintext.

Сетевые пакеты, полученные с неправильным индексом параметров безопасности (SPI). Это может указывать на то, что либо сетовая карта работает неправильно, либо драйвер должен быть обновлен.

Невозможность обработки фильтров IPsec.

Высокая скорость отбрасывания пакетов драйвером фильтра IPsec может указывать на попытки получить доступ к сети с помощью несанкционированных систем.

Отказ от обработки фильтров IPsec создает потенциальную угрозу безопасности, так как некоторые сетевые интерфейсы могут не получить защиту, предоставляемую фильтром IPsec. Эта подкатегория не является областью действия этого документа.

Объем событий: Medium

По умолчанию: Не настроен

Тип компьютера	Общий успех	Общий сбой	Более сильный успех	Более сильный сбой	Комментарии
Контроллер домена	-	-	-	-	В этом документе нет рекомендаций для этой подкатегории, если вы не знаете точно, что необходимо отслеживать на уровне драйвера IPsec.
Сервер участника	-	-	-	-	В этом документе нет рекомендаций для этой подкатегории, если вы не знаете точно, что необходимо отслеживать на уровне драйвера IPsec.
Workstation	-	-	-	-	В этом документе нет рекомендаций для этой подкатегории, если вы не знаете точно, что необходимо отслеживать на уровне драйвера IPsec.

Список событий:

4960(S): IPsec сбросил входящий пакет, который не справился с проверкой целостности. Если эта проблема сохраняется, это может указывать на проблему сети или изменение пакетов при переходе на этот компьютер. Убедитесь, что пакеты, отправленные с удаленного компьютера, такие же, как и пакеты, полученные на этом компьютере. Эта ошибка также может указывать на проблемы с интероперабельностью с другими реализациями IPsec.

4961(S): IPsec сбросил входящий пакет, который не удалось проверить повтор. Если эта проблема сохраняется, это может указывать на повторную атаку на этот компьютер.

4963(S): IPsec сбросил входящий четкий текстовый пакет, который должен был быть защищен. Как правило, это связано с тем, что удаленный компьютер меняет политику IPsec без информирования об этом компьютере. Это также может быть попытка подмены атаки.

4965(S): IPsec получил пакет с удаленного компьютера с неправильным индексом параметров безопасности (SPI). Обычно это вызвано неисправным оборудованием, которое развращает пакеты. Если эти ошибки сохраняются, убедитесь, что пакеты, отправленные с удаленного компьютера, такие же, как и полученные на этом компьютере. Эта ошибка также может указывать на проблемы с интероперабельностью с другими реализациями IPsec. В этом случае, если подключение не затруднено, эти события можно игнорировать.

5479(S): службы IPsec успешно закрыты. Отключение служб IPsec может поставить компьютер под угрозу сетевой атаки или подвергнуть компьютер потенциальным рискам безопасности.

5480(F): службам IPsec не удалось получить полный список сетевых интерфейсов на компьютере. Это создает потенциальную угрозу безопасности, так как некоторые сетевые интерфейсы могут не получить защиту, предоставляемую примененными фильтрами IPsec. Чтобы диагностировать проблему, используйте оснастку ip Security Monitor.

5483(F): службы IPsec не смогли инициализировать сервер RPC. Службы IPsec не могли быть запущены.

5484(F): службы IPsec испытали критический сбой и были закрыты. Отключение служб IPsec может поставить компьютер под угрозу сетевой атаки или подвергнуть компьютер потенциальным рискам безопасности.

5485(F): службы IPsec не смогли обработать некоторые фильтры IPsec на событии plug-and-play для сетевых интерфейсов. Это создает потенциальную угрозу безопасности, так как некоторые сетевые интерфейсы могут не получить защиту, предоставляемую примененными фильтрами IPsec. Чтобы диагностировать проблему, используйте оснастку ip Security Monitor.

Файл был разработан для использования с программным обеспечением . Здесь вы найдете подробную информацию о файле и инструкции, как действовать в случае ошибок, связанных с ipsec.sys на вашем устройстве. Вы также можете скачать файл ipsec.sys, совместимый с устройствами Windows XP, которые (скорее всего) позволят решить проблему.

Совместим с: Windows XP

Исправьте ошибки ipsec.sys

Информация о файле

Основная информация
Имя файла	ipsec.sys
Расширение файла	SYS
Описание	IPSec Driver

Программного обеспечения
программа	Microsoft® Windows® Operating System
автор	Microsoft Corporation

подробности
MIME тип	application/octet-stream
Тип файла	Driver
система	Windows NT 32-bit
Авторские права	© Microsoft Corporation. All rights reserved.
Набор символов	Unicode
Языковая треска	English (U.S.)

Наиболее распространенные проблемы с файлом ipsec.sys

ipsec.sys поврежден
ipsec.sys не может быть расположен
Ошибка выполнения - ipsec.sys
Ошибка файла ipsec.sys
Файл ipsec.sys не может быть загружен. Модуль не найден
невозможно зарегистрировать файл ipsec.sys
Файл ipsec.sys не может быть загружен
Файл ipsec.sys не существует

ipsec.sys

Не удалось запустить приложение, так как отсутствует файл ipsec.sys. Переустановите приложение, чтобы решить проблему.

Проблемы, связанные с ipsec.sys, могут решаться различными способами. Некоторые методы предназначены только для опытных пользователей. Если вы не уверены в своих силах, мы советуем обратиться к специалисту. К исправлению ошибок в файле ipsec.sys следует подходить с особой осторожностью, поскольку любые ошибки могут привести к нестабильной или некорректно работающей системе. Если у вас есть необходимые навыки, пожалуйста, продолжайте.

Помните, прежде чем предпринимать какие-либо действия, связанные с системными файлами, сделайте резервную копию ваших данных!

Шаг 1.. Сканирование компьютера на наличие вредоносных программ.

Файлы Windows обычно подвергаются атаке со стороны вредоносного программного обеспечения, которое не позволяет им работать должным образом. Первым шагом в решении проблем с файлом ipsec.sys или любыми другими системными файлами Windows должно быть сканирование системы на наличие вредоносных программ с использованием антивирусного инструмента.

Если по какой-либо причине в вашей системе еще не установлено антивирусное программное обеспечение, вы должны сделать это немедленно. Незащищенная система не только является источником ошибок в файлах, но, что более важно, делает вашу систему уязвимой для многих опасностей. Если вы не знаете, какой антивирусный инструмент выбрать, обратитесь к этой статье Википедии - сравнение антивирусного программного обеспечения.

Читайте также: