@DOS2SOD

Как решить проблему VPN Site to Site между Mikrotik и Zywall?

Столкнулся с проблемой
не ходит трафик на поднятом IPsec'e
состояние у Mikrotik'a "Established"
Zyxel usg 500 flex также поднимает впн соединение
а вот трафик не ходит
на одном из ресурсов по mikrotik, а именно русскоязычная "вики", написано следующее - "Состояние established через консоль будет отображаться только после того, как между двумя сетями произойдет попытка соединения. Например будет запущен ping. До тех пор пока соединение не будет установлено будет отображаться статус no-phase2. При этом через графический интерфейс всегда будет отображаться актуальная информация."
пинг из-под сети Mikrotik пишет timeout

Настройка Mikrotik


[netadmin@MikroTik] > ip ipsec policy print detail
Flags: T - template; B - backup; X - disabled, D - dynamic, I - invalid, A - active;
* - default
0 T * group=default src-address=::/0 dst-address=::/0 protocol=all proposal=default
template=yes priority=0x10000

1 A peer=Main_Office_bogidil tunnel=yes src-address=10.1.0.0/20 src-port=any
dst-address=10.0.0.0/20 dst-port=any protocol=all action=encrypt level=require
ipsec-protocols=esp sa-src-address=BO sa-dst-address=HQ
proposal=proposal1 priority=0x20000 ph2-count=1 ph2-state=established

[netadmin@MikroTik] > ip ipsec proposal/print
Flags: X - disabled; * - default
0 * name="default" auth-algorithms=sha1 enc-algorithms=aes-256-cbc,aes-192-cbc,aes-128-cbc
lifetime=30m pfs-group=modp1024

1 name="proposal1" auth-algorithms=sha1 enc-algorithms=aes-128-cbc lifetime=30m
pfs-group=modp1024
[netadmin@MikroTik] >

[netadmin@MikroTik] > ip firewall/nat print
Flags: X - disabled, I - invalid; D - dynamic
0 ;;; Hairpin NAT to LAN1
chain=srcnat action=src-nat to-addresses=10.1.0.1 src-address=10.1.0.0/20
out-interface=bridge-dhcp log=no log-prefix=""

1 ;;; NAT via EAST
chain=srcnat action=src-nat to-addresses=BO src-address=10.1.0.0/20
out-interface=ether1 log=no log-prefix="" ipsec-policy=out,none

2 I ;;; TTC22000083_2 not ready
chain=srcnat action=src-nat to-addresses=HQ out-interface=TTC22000083_2
log=no log-prefix="" ipsec-policy=out,none

3 chain=srcnat action=accept src-address=10.1.0.0/20 dst-address=10.0.0.0/20
out-interface=ether1 log=yes log-prefix=""

4 ;;; Hairpin NAT to LAN1
chain=srcnat action=src-nat to-addresses=10.1.0.1 src-address=10.1.0.0/20
out-interface=bridge-dhcp

[netadmin@MikroTik] > ip firewall/filter/print
Flags: X - disabled, I - invalid; D - dynamic
0 ;;; Related Established Untracked Allow
chain=input action=accept connection-state=established,related,untracked log=no
log-prefix=""

1 ;;; Related Established Untracked Allow
chain=input action=accept connection-state=established,related,untracked log=no
log-prefix=""

2 ;;; ICMP from ALL
chain=input action=accept protocol=icmp log=no log-prefix=""

3 ;;; ICMP from ALL
chain=input action=accept protocol=icmp log=no log-prefix=""

4 ;;; All other WAN drop
chain=input action=drop in-interface-list=WAN log=no log-prefix=""

5 ;;; Established, Related, Untracked allow
chain=forward action=accept connection-state=established,related,untracked log=no
log-prefix=""

6 chain=input action=accept src-address=10.1.0.0/20 dst-address=10.0.0.0/20 log=yes
log-prefix=""

7 chain=input action=accept src-address=10.0.0.0/20 dst-address=10.1.0.0/20
in-interface=ether1 log=yes log-prefix=""

8 chain=forward action=accept src-address=10.1.0.0/20 dst-address=10.0.0.0/20
out-interface=ether1 log=yes log-prefix=""

9 chain=forward action=accept src-address=10.0.0.0/20 dst-address=10.1.0.0/20
in-interface=ether1 out-interface=bridge-dhcp log=yes log-prefix=""

10 ;;; Invalid group
chain=forward action=drop connection-state=invalid log=yes log-prefix=""

11 ;;; Drop all from WAN not DSNATed
chain=forward action=drop connection-state=new connection-nat-state=!dstnat
in-interface-list=WAN

12 ;;; Reject_Soc_net
chain=forward action=reject reject-with=icmp-network-unreachable
layer7-protocol=soc-net log=no log-prefix=""


Настройка Zyxel


656062c3968b1092039664.png
656062cce4b7c498884279.png
656064446de09155378559.png
6560637bd42df028836485.png

  • Вопрос задан
  • 104 просмотра
Пригласить эксперта
Ответы на вопрос 1
b1ora
@b1ora
Настройка Микротик РФ
На микроте создать пустой Lo интерфейс и сделать маршрут через него на другую сеть
Ответ написан
Комментировать
Ваш ответ на вопрос

Войдите, чтобы написать ответ

Войти через центр авторизации
Похожие вопросы