Массивная проблема с IPSec. В общем, у меня тут полнейший бедлам с IPSec. Сегодня утром на работе начался какой-то хаос. Пользователи жалуются, что не могут подключиться к VPN. Похоже, проблема затрагивает всех филиалов. Что уже пробовали: * Перез

У меня тут просто кошмар с IPSec. IPSec туннели поднимаются, политика генерируется, SA устанавливается и для входящего, и для исходящего трафика, но из моей локальной сети на Mikrotik я вообще не могу пинговать или общаться с удаленными сетями. Странно, что из удаленных сетей, наоборот, можно пинговать в LAN моего Mikrotik. Еще, если смотреть статистику IPSec политики, когда удаленная сеть пингует, вижу зашифрованный пакет ответа, а когда я пытаюсь пинговать из своей сети на удаленную, шифрования вообще нет! Есть ли какие-нибудь лучше инструменты, чтобы разобраться, что происходит, черт возьми? Это сводит меня с ума, помогите, пожалуйста. Связаться со мной можно здесь или по адресу jtaylor AT wonderlan.net

:: Интерфейсы :: [admin@MikroTik] interface> print detail
Flags: X - отключен, D - динамический, R - работает
0  R имя="C1_P1_T1_Uplink" mtu=1500 тип=ether rx-rate=0 tx-rate=0
1  R имя="C1_P2_Client_WAN" mtu=1500 тип=ether rx-rate=0 tx-rate=0
2  R имя="C1_P3_WLC_DMZ" mtu=1500 тип=ether rx-rate=0 tx-rate=0
3  R имя="C1_P4_LAN" mtu=1500 тип=ether rx-rate=0 tx-rate=0
4  R имя="T1 Bridge" mtu=1500 тип=bridge rx-rate=0 tx-rate=0

[admin@MikroTik] interface> eth
[admin@MikroTik] interface ethernet> print detail
Flags: X - отключен, R - работает
0  R имя="C1_P1_T1_Uplink" mtu=1500 mac-address=00:0C:42:02:2C:E2 arp=enabled disable-running-check=yes auto-negotiation=yes full-duplex=yes cable-settings=default speed=100Mbps
1  R имя="C1_P2_Client_WAN" mtu=1500 mac-address=00:0C:42:02:2C:E3 arp=enabled disable-running-check=yes auto-negotiation=yes full-duplex=yes cable-settings=default speed=100Mbps
2  R имя="C1_P3_WLC_DMZ" mtu=1500 mac-address=00:0C:42:02:2C:E4 arp=enabled disable-running-check=yes auto-negotiation=yes full-duplex=yes cable-settings=default speed=100Mbps
3  R имя="C1_P4_LAN" mtu=1500 mac-address=00:0C:42:02:2C:E5 arp=enabled disable-running-check=yes auto-negotiation=yes full-duplex=yes cable-settings=default speed=100Mbps

:: IPSec :: [admin@MikroTik] ip ipsec policy> print
Flags: X - отключен, D - динамический, I - недействительно
0 D src-address=192.168.168.0/24:any dst-address=10.208.1.0/24:any protocol=all action=encrypt level=require ipsec-protocols=esp tunnel=yes sa-src-address=12.145.155.2 sa-dst-address=69.17.100.66 proposal=default dont-fragment=clear

[admin@MikroTik] ip ipsec installed-sa> print
Flags: A - AH, E - ESP, P - pfs, M - manual
0 E   spi=0x8A605102 direction=in src-address=69.17.100.66 dst-address=12.145.155.2 auth-algorithm=md5 enc-algorithm=3des replay=4 state=mature auth-key="472bfcf8c52525fbc5c2bc8d0f4924c8" enc-key="c18aec37ddb7b4ce96d7e6fb33271032f6dc28519d3b4532" add-lifetime=6h24m/8h use-lifetime=0s/0s lifebytes=0/0 current-addtime=oct/14/2005 00:30:14 current-usetime=oct/14/2005 00:30:25 current-bytes=72
1 E   spi=0xB6AB6B3B direction=out src-address=12.145.155.2 dst-address=69.17.100.66 auth-algorithm=md5 enc-algorithm=3des replay=4 state=mature auth-key="6403fdad483708ff8e8985d214bc49f7" enc-key="d8ffd5d5c5b217598ba3c0323b97b8ae1647ac446061c793" add-lifetime=6h24m/8h use-lifetime=0s/0s lifebytes=0/0 current-addtime=oct/14/2005 00:30:14 current-usetime=oct/14/2005 00:30:25 current-bytes=72

:: NAT Rules :: [admin@MikroTik] ip firewall nat> print
Flags: X - отключен, I - недействительно, D - динамический
0   chain=srcnat src-address=192.168.168.0/24 packet-mark=!VPN action=masquerade

:::: Marking Rules :::
Flags: X - отключен, I - недействительно, D - динамический
0   chain=forward dst-address=10.13.11.0/24 action=mark-packet new-packet-mark=VPN passthrough=yes
1   chain=prerouting dst-address=10.208.1.0/24 action=mark-packet new-packet-mark=VPN passthrough=yes
2   chain=prerouting dst-address=192.168.0.0/24 action=mark-packet new-packet-mark=VPN passthrough=yes
3   chain=prerouting dst-address=10.13.8.0/24 action=mark-packet new-packet-mark=VPN passthrough=yes

… и так далее, много правил, связанных с NetBios, HTTP, HTTPS и т.д.