Как подключить ipsec между mikrotik and cisco?

Question

[Smoke User]

Здравствуйте сетевики.
у меня проблема по подключению между этими роутерами.
Ниже следующие настройки, так я с другими микротами дружу.
а вот cisco нет связи.
Подскажите пожалуйста, в какую сторону копать, кто виноват?

IP Address	ихвнешний айпи	мойвнешний айпи
VPN Device Description	Cisco ASA 5520	Mikrotik
Encryption Domain	10.111.12.7	192.168.5.3
Tunnel Properties		
Phase 1	Pre-Shared Key (by sms)	Pre-Shared Key (by sms)	•	54321
	IKE	IKE	IKE
	Group 2	Group 2	Group 2
	3DES	3DES	3DES
	SHA-1	SHA-1	SHA-1
	Main Mode	Main Mode	Main Mode
	86400 sec	86400 sec	86400 sec
Phase 2	ESP	ESP	ESP
	3DES	3DES	3DES
	SHA-1	SHA-1	SHA-1
	NO PFS	NO PFS	NO PFS
	3600 sec	3600 sec	3600 sec
	Not used	Not used	Not used
	No	No	No
	No	No	No

Comments

[ky0]

Смотрите дебаг с циски, там тонна информации.

[Smoke User]

ky0,
у меня микрот, вот так показывает, у них циско и пишут мне , что у них все норм.
у меня ошибки с микротом , они пишут

[ky0]

Smoke Cartesius, странная аргументация :)

Ну попросите с той стороны листинг дебага. У вас-то какие ошибки на микротике, во второй фазе? Точно PFS не используется?

[Smoke User]

ky0,

у меня в логах не показывает ничего (ipsec debug логи включен).

[ky0]

Smoke Cartesius, так вы трафик какой-нибудь пустите через этот туннель, чтобы он попытался подняться. Или даже в этом случае в логах ничего?

[Smoke User]

ky0, у него пинг отключен.
по телнету порт 1073 открытый сказал. стучу и не пускает.
в логах тишина ((

[ky0]

Smoke Cartesius, ну, значит надо разбираться, почему в логах ничего нет.

Если попыток поднятия туннеля действительно нет, то цисководы с той стороны совершенно справедливо сказали, что у них ок, поскольку в логах тоже пустота.

[Smoke User]

ky0, сейчас туннели подняты, связь установлен. Но трафик не идет. Я грешу на них, а они на мой фаерволл ))

[Smoke User]

ky0,
Логи соединения.

[ky0]

Smoke Cartesius, трафик не идёт в каком смысле? Пакеты уходят в туннель, но отбрасываются? ACL и трансляцию, если она используется, проверили?

[Smoke User]

ky0, как проверить, не подскажите, пожалуйста?

[ky0]

Smoke Cartesius, в цисках для этого существует packet-tracer, подозреваю, что в микротике есть нечто похожее.