Mikrotik IPSec — как вернуть к жизни упавший туннель?

Question

[remendado]

Пытаюсь связать два Микротика по IPSec. Туннель поднимается, по нему ходит трафик. Но в какой-то момент (через 15 минут - полчаса или час) трафик ходить перестает, начинаются глюки с обменом ключами, визуально они принимают такой вид.



Подскажите, гуру, куда копать?

Comments

[korsar182]

/ip ipsec export compact

[remendado]

korsar182,

/ip ipsec profile
add dh-group=modp1024 enc-algorithm=3des hash-algorithm=md5 name=profile1 nat-traversal=no
/ip ipsec peer
add address=xxx.xxx.158.248/32 name=ipsec-db profile=profile1
/ip ipsec proposal
add auth-algorithms=md5 enc-algorithms=3des name=proposal1
/ip ipsec identity
add peer=ipsec-db secret=password_here
/ip ipsec policy
add dst-address=192.168.10.0/24 peer=ipsec-db proposal=proposal1 sa-dst-address=xxx.xxx.158.248 sa-src-address=xxx.xxx.121.42 src-address=\
192.168.20.0/24 tunnel=yes

------------------------------------------------------------------------
/ip ipsec profile
add dh-group=modp1024 enc-algorithm=3des hash-algorithm=md5 name=profile1 nat-traversal=no
/ip ipsec peer
add address=xxx.xxx.121.42/32 name=ipsec-zp passive=yes profile=profile1 send-initial-contact=no
/ip ipsec proposal
add auth-algorithms=md5 enc-algorithms=3des name=proposal1
/ip ipsec identity
add peer=ipsec-zp secret=password_here
/ip ipsec policy
add dst-address=192.168.20.0/24 peer=ipsec-zp proposal=proposal1 sa-dst-address=xxx.xxx.121.42 sa-src-address=xxx.xxx.158.248 src-address=192.168.10.0/24 \
tunnel=yes

Конфигурация чисто тестовая, у каждого Микротика белый IP.

[remendado]

Прямо сейчас, после перезагрузки обоих микротиков трафик через туннель идет. Повесил мониторинг на отвал.

[kprohorow]

remendado, еще неплохо было бы добавить в Logging правило с топиками l2tp, ipsec, debug.

[remendado]

До сих пор работает, и это меня по идее должно радовать, но нет. Я не понимаю, почему весь день не работало вчера при тех же самых настройках. Вечером я сделал бэкапы конфигураций обоих Микротиков, утром сделал на каждом рестор с этих же бэкапов, и пока ничего не отвалилось. Но ставить такое в прод боюсь, пока не пойму что и как.

Тот же OpenVPN у меня бесперебойно работает годами, Микротик поднимается, туннель взлетает. А с IPsec непонятна причина отвалов туннеля.

[remendado]

Туннель проработал до того момента, пока я не остановил (штатно) один из Микротиков и не запустил его через полчаса, менял аккумулятор на упсе. Трафика через туннель нет. В логах все штатно. Синхронный disable-enable полиси по совету одного из сочувствующих не помогает. Не в топку ли такие технологии?

У кого-то из сообщества есть рецепт борьбы с такими ситуациями?

[mrMemfis]

Сталкивался с таким в связке Mikrotik-Cisco. Причина - отсутствие траффика в тоннеле. Поднять обратно тоннель удавалось только отключив его на 10-15 минут. В конце концов настроил мониторинг хоста за вторым концом тоннеля, чтобы бегал траффик постоянно. Так и победил.