вы либо добавьте на клиенте маршрут, который будет трафик ко внешнему адресу микрота загонять в впн, либо стучитесь на внутренний адрес микрота

Прописал сорцнат на аут туннель - всё заработало. Тупанул😅

не понял, но рад, что заработало )

соурснат в сторону впн клиента позволяет не заморачиваться с маршрутом. Пакет вернется от клиента, разнатится и улетит в инет.

я завтра пойму, сегодня уже что-то иссякло

кто не понял тот поймёт

В общем, может будет кому интересно. Проблему с неподключающейся виндой и 809 ошибкой решили с помощью провайдера.

Проблема заключалась в том, что все устройства (iPhone, mac, android, linux, etc) подключались и замечательно работали с L2TP IPSec. Все, все, кроме винды. Винда (пробовали на 7 и на 10). Выдавала 809 ошибку. При этом, в ходе тестирования дома был поднят ВПН сервер с аналогичными настройками и к нему винда подключалась на ура.

Методом тыка (гуглением) нашлась статья https://social.technet.microsoft.com/Forums/ru-RU/12ccd1ab-f8c0-4e56-b1bd-cf35ec6945d6/105510881080-ip-10xxx-gt-105410961080107310821072-809?forum=ws2008r2ru

В которой поднимался интересный вопрос про VPN сервер и серую адресацию. В ходе эксперимента установили что дома белый IP-адресс а в проблемном месте тоже белый IP адрес но есть провайдеровский нат (10.0.0.2 <=> white IP). Попробовали подключиться по VPN через резервный канал - все прошло успешно что 10 что 7 винда подключились без запинки. Сделав заявку к провайдеру, отказались от NAT.

К информации, в ходе экспериментов меняли значение ключей реестра. Грубо говоря по вот этой статье https://set-os.ru/vpn-error-809-windows/

И после установки значения 2 ключу AssumeUDPEncapsulationContextOnSendRule на винде 10 подключение стало работать. Что дает установка этого значения, как я понял весь трафик ipsec загоняет в 4500 порт.

Спасибо хочу сказать @luntik_the_best и @Zakharov_Aleksey за помощь в решении задачи.

✊

)))

Отлично.
А провайдер вообще говорил, что у вас нат 1:1? Или это стало неожиданностью?

Здравствуйте

подскажите для nat можно сделать сертификацию?

Что удивительного?
Хочет человек сертифицированный нат.
Пусть проходит сертификацию. ФСТЭК в помощь

действительно, что это я

Можно. Для этого Вам нужно обратиться в Федеральную Службу по Техническому и Экспортнлму Контролю. Заполнить заявление и техописание по шаблону, оплатить пошлину. Затем ожидать решения
Потребуется также указать модель оборудования выполняющего нат и приложиьь сертификат ССС (минкомсвязи) — есть на их сайте.

Поржали все хором))) возможно ли осуществлять коннект с любого ip на указанный ip при помощи сертификата. то есть идентификация клиента не по статике (динамика), но проверка клиента по сертификату)))

Возможно. IPSec позволяет идентификацию клиента и коннект по сертификатам.

sspt / openvpn тоже