Imisario
@Imisario
Out of Time

IKEv2 и два WAN интерфейса?

Здравствуйте, подскажите пожалуйста по поводу корректной маршрутизации IPSec на Mikrotik или в целом.

Имеем:
- Офис (Mikrotik, 192.168.55.0/24)
- Два WAN интерфейса в Офисе (ISP1 - 78.11.33.69, ISP2 - 53.16.99.7)
- Удаленная машина ( Win Server)

На микротике в офисе подняты два канала с default route до них с разными метриками.
Никаких сложных failover конфигурации с netwatch скриптами или внешним мониторингом пока не накручены,
просто тупо два маршрута по умолчанию с разными метриками.

Настроен mangle соединений, дабы пакеты уходили на тот-же ISP с которого пришли.

И все отлично работает, в рамках потребностей.

Но вдруг нам захотелось прикрутить удаленные серваки в домен и не просто прикрутить, а по модному IKEv2.
И все вроде бы хорошо, настроили - работает.
Но потом мне захотелось утилизировать резервный канал, а то что он "лежит" себе ничего не делает.
Решил я попробовать сделать так что-бы IKEv2 туннели поднимались через ISP2, и они поднялись. И вроде даже работают какое-то время. Но потом тупо ложаться. Причем со стороны микротика это очевидно peer берет и пропадает. А вот на стороне Win server все выглядит как-будто соединение установленно. Вот только пакеты не проходят больше. Пере подключаешься опять работает от силы минут пять и снова привет.

Притом через ISP2(резервный канал) спокойно работает смотрелка для камер и RDP и по большому счету все что смогли попробывать, а вот IPSec нет.

Вопрос куда копать? Если я все правильно понимаю в сторону роутинга, в том смысле что смотрелка для камер и RDP работают в рамках одной сессии соединений и они корректно обрабатываются в mangle и соответственно также корректно маршрутизируются.
  • Вопрос задан
  • 241 просмотр
Пригласить эксперта
Ответы на вопрос 1
@MechanID
Админ хостинг провайдера
Поделюсь личным опытом:
Был случай два микротика в разных офисах у каждого белый ип, между ними l2tp туннель (тип туннеля не важен)
Туннель тоже вот так отпадал.
сеть 1го микротика 192.168.0.0/24
сеть 2го микротика 192.168.99.0/24
адреса внутри туннеля миркотик1 10.10.10.1 <---> 10.10.10.2 микротик2
и прописаны роуты все работало но иногда падало.
Как оказалось с wan интерфейса микротик2 (на котором был белый ип) арпингом было видно ип 10.10.10.1 (он кемто использовался в сети провайдера) если этот адрес попадал в арп таблицу микротик2 с интерфейсом wan то все ломалось тк как пакеты шли не в туннель а в wan интерфейс. Проблему решил сменой ип адресов внутри туннеля.
Ответ написан
Ваш ответ на вопрос

Войдите, чтобы написать ответ

Похожие вопросы