+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Проблемы с IPSEC туннелем – SAs нужно иногда сбрасывать.

Проблемы с IPSEC туннелем – SAs нужно иногда сбрасывать., RouterOS

g18c

Guest

30.12.2012 17:28:00

После того, как IPSEC-туннель устанавливается между двумя точками (оба Mikrotik), он отлично работает во время тестирования. Но через день или около того перестает работать, пока мы не очистим установленные SAs с обеих сторон. После очистки SAs и повторного пинга VPN поднимается без проблем. Использую SNTP на обеих точках, поэтому с временем все в порядке. Следующие настройки идентичны для обеих точек: IPsec-политика: Протокол: esp Туннель: yes Peer: Proposal check: obey Отправлять начальный контакт: Yes Hash: md5 Алгоритм шифрования: 3des DH группа: modp1024 Время жизни: 1d 00:00:00 DPD интервал: 120s DPD Максимальное количество сбоев Предложение: Алгоритм авторизации: sha1 Алгоритм шифрования: 3des Время жизни: 00:30:00 PFS группа: modp1024 Есть какие-нибудь идеи, почему он отключается? Что можно сделать, чтобы это прекратить? Спасибо.

g18c Guest	#2 0 15.01.2013 17:10:00 Эй, может, кто-нибудь подскажет? Можно ли заплатить Mikrotik за поддержку по этому поводу, из-за периодических проблем с подключением?

makkan

Guest

15.01.2013 20:12:00

Привет! Могу подтвердить, что эта проблема возникает и при работе с mikrotik/Cisco. Я настроил очистку каждые 60 минут, и пока что, кажется, всё работает нормально, не идеально, но сойдёт. Так и было с версии 5.12, а поддержка Mikrotik игнорирует существование ошибки, утверждая, что у них всё работает отлично и проблема, вероятно, в моей конфигурации.

g18c

Guest

16.01.2013 10:20:00

Спасибо за ответ. Нехорошо то, что у вас та же проблема, что и у меня, но я понимаю, что вы переходите с Mikrotik на Cisco. Судя по вашему сообщению, все было в порядке до 5.12 с той же самой конфигурацией? Я втрое перепроверил конфигурацию, она настроена согласно руководствам на вики и с других сайтов. Мои Routerboard’ы уже 8 месяцев, как мне лучше всего получить официальную информацию от Mikrotik по этому вопросу?

glucz

Guest

16.01.2013 10:25:00

Я тоже сообщал об аналогичной ошибке в MT пару месяцев назад. Это было между Windows/MT и MT/MT. Суть отчета заключалась в том, что при сбое соединения по любой причине (проблема с сетью, проблема с паролем и т.п.) MT не полностью очищает SA. Они пропадают из списка, но MT все равно пытается использовать их позже, из-за чего соединение не устанавливается, потому что обе стороны пытаются использовать разные ключи. Можно исправить, очистив SA, это также удалит "призрачные". В общем, я не помню детали, но MT проверили и подтвердили, что это ошибка. Это было за несколько недель до выхода Ros 5.22, так что, думаю, ее еще не исправили. Удачи.

makkan

Guest

16.01.2013 10:26:00

Привет, извини за мой нецензурную лексику, до 5.12 тоже не работало. Я начал использовать VPN с версии 5.12, и с тех пор он работает не идеально. Предлагаю обратиться в службу поддержки support@mikrotik.com. Хотелось бы верить, что VPN должен работать нормально между двумя Mikrotik, ведь они используют один и тот же RFC. Cisco не полностью придерживается RFC – поэтому могут быть какие-то проблемы с совместимостью между ними и Mikrotik. Но можно было бы подумать, что Mikrotik могла бы добавить какую-нибудь настройку типа "Cisco" или что-то подобное, чтобы это исправить, учитывая, что Cisco занимает очень сильные позиции на рынке.

mrz Guest	#7 0 16.01.2013 10:27:00 Если кто-то сможет предоставить доступ к Mikrotik и Cisco и объяснить, как повторить проблему, то это может помочь её исправить.

makkan

Guest

16.01.2013 10:33:00

Проблема в том, что её нельзя воспроизвести вручную. Это происходит случайным образом, и, как мне кажется, это может быть похоже на то, о чем говорит glucz – там могут быть фантомные SA. Я также знаю, что Cisco хотят создавать новую SA каждый раз, когда старая истекает, а Mikrotik, согласно RFC, хотят повторно использовать старые.

mrz Guest	#9 0 16.01.2013 10:35:00 У вас уровень=уникальный в политике IPsec? Это необходимо для нормальной работы туннеля с Cisco.

g18c Guest	#10 0 16.01.2013 10:54:00 Привет, @mrz, у меня установлено level=require. Это для подключения к родному Mikrotik RB1100AH к Mikrotik RB751. Стоит ли мне также установить это в unique для туннелей Mikrotik-to-Mikrotik?

makkan Guest	#11 0 16.01.2013 11:01:00 Я, если честно, этого никогда не пробовал, но сейчас запускаю это на одном из своих решений на базе MT/Cisco. Вечером отключу flushing SA и посмотрю, заработает ли до завтрашнего утра. Спасибо!

stmx38

Guest

#12

16.01.2013 12:32:00

У меня проблема с RB1100AH(5.22, unique) и Cisco ASA 5510, но я не могу предоставить доступ. В качестве обходного решения использую скрипт каждую минуту:

:local IPWatchServer 10.0.1.2
:local OutInterface ether1-lan
:if ([/ping interface=$OutInterface $IPWatchServer count=4]<3) do={
/ip ipsec installed-sa flush sa-type=all
:log info "IPSEC tunnel with DMZ is down: Flushing Installed SA !!!"
} else={
# :log info "IPSEC tunnel with DMZ is OK !"
}

mrz

Guest

#13

16.01.2013 12:58:00

RouterOS создает новые SAs до истечения срока действия SA и уведомляет об этом удаленную сторону. ASA просто не отвечает и не создает новые SAs. Поэтому без доступа к ASA или детальных отладочных логов с него сложно сказать, почему это происходит.

g18c Guest	#14 0 16.01.2013 14:26:00 Рад, что Cisco пролила свет на это, но есть какие-нибудь идеи насчёт моей OP и Mikrotik to Mikrotik?

Felix

Guest

#15

16.01.2013 18:01:00

Привет, у меня тоже были похожие проблемы с IPsec. На обоих роутерах использую этот скрипт: ping interface=internal internal.ip.of.other.site count=1. Запускаю его через планировщик каждые 5 минут или так. Если делать так, то про idle больше нет… Работает отлично с 5.12-6.rc6 в разных комбинациях версий. Для проблемы с Cisco ASA использую похожий скрипт вроде slech.

tmm72 Guest	#16 0 18.01.2013 22:14:00 Можешь объяснить, что за <3 в конце команды `if` для пинга, пожалуйста? Спасибо.

g18c Guest	#17 0 21.01.2013 05:54:00 Спасибо за скрипт, предотвращающий бездействия. А главное, кто-нибудь знает, зачем он вообще нужен? И как мне зафиксировать баг с обрывами соединения между устройствами Mikrotik при использовании IPsec? С уважением, Chris.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры