Почему отваливаются gre-туннели в mikrotik?

Question

[user2k]

Через некоторое время после настройки отваливаются gre-туннели между mikrotik RB2011.
На обоих точках белые адреса. сеть для туннелей 10.10.10.80/30
через некоторое время из центрального офиса не пингуется 10.10.10.82 (time out),
а из доп офиса пинг 10.10.10.81 не проходит с сообщением packet rejected.
Белые адреса с обоих сторон пингуются.

Comments

[Клёвый Админ]

Нужно больше деталей. Логи в дебаг режиме, показания туннелей и их конфиги.

Answer 1

[Кирилл Васильев]

а в фильтре разрешён input GRE ?

Comments

[user2k]

да, есть такое правило.

[Кирилл Васильев]

user2k: ну тогда показывайте полностью фаервол

[Кирилл Васильев]

user2k: доофис не за натом случаем ?

[user2k]

Кирилл Васильев: Как позже выяснил, проблемы возникают когда добавляю Ipsec.
Ошибка phase 1 negotiation failed due to time up
причем другие офисы подключаются нормально. а этому что-то не нравится.

настройки ipsec policy:
rc-address=белый ип офис src-port=any dst-address=белый ип допофис dst-port=any protocol=gre action=encrypt level=require ipsec-protocols=ah-esp tunnel=no sa-src-address=белый ип офис sa-dst-address=белый ип допофис proposal=default
priority=0
настройки ipsec peer:
address=белый ип допофис local-address=:: passive=no port=500 auth-method=pre-shared-key secret="secret" generate-policy=no policy-template-group=group2 exchange-mode=main send-initial-contact=no nat-traversal=no proposal-check=obey
hash-algorithm=sha1 enc-algorithm=aes-256 dh-group=modp1024 lifetime=1d lifebytes=0 dpd-interval=2m dpd-maximum-failures=5

фаервол:

# dec/ 1/2016 17:36: 1 by RouterOS 6.37.1

#
Flags: X - disabled, I - invalid, D - dynamic
0 chain=forward action=accept connection-state=established log=no
log-prefix=""

1 chain=forward action=accept connection-state=related log=no log-prefix=""

2 chain=forward action=drop connection-state=invalid log=no log-prefix=""

3 chain=input action=accept protocol=gre src-address-list=office log=no
log-prefix=""

4 chain=input action=accept protocol=udp src-address-list=office
dst-port=500,4500,1701 log=no log-prefix=""

5 chain=input action=accept protocol=ipsec-esp src-address-list=office
log=no log-prefix=""

6 chain=input action=accept protocol=ipsec-ah src-address-list=office
log=no log-prefix=""

29 chain=input action=accept protocol=icmp log=no log-prefix=""

30 chain=input action=accept connection-state=established log=no
log-prefix=""

31 chain=input action=accept connection-state=related log=no log-prefix=""

32 chain=input action=drop in-interface=ether1 log-prefix=""

[user2k]

Кирилл Васильев: на интерфейсе микротика белый адрес.
кстати, если за натом, я так понимаю, нужно включать параметр NAT-T в peer. На какой стороне, там где нат или с обоих сторон?

[Кирилл Васильев]

user2k: с обоих сторон