Взаимодействие IPSec VPN

Посмотри в разделе remote-peers, и если статус «established», значит фаза 1 прошла успешно. Проверь installed-sas — если там два SA с валидными номерами SPI, фаза 2 тоже прошла. Если что-то не так, включи ipsec debug логи, чтобы понять, какие параметры не совпадают. Если обе фазы (1 и 2) успешно установлены, но трафика на SA нет, значит проблема не в ipsec — пакеты не соответствуют заданным политикам, либо неправильный исходный или назначенный адрес, либо пакеты прошли через NAT.

Первая фаза проходит успешно, но на второй фазе возникает ошибка: «fatal INVALID-MESSAGE-ID notify message, phase1 should be deleted», а в установленных SA на этапах аутентификации и шифрования все поля отображаются как «none». Кто-нибудь ещё сталкивался с такой ситуацией?

У меня такая ситуация с версией 6.30 — надеюсь, вы сможете помочь (проблема с односторонним подключением через IPSec туннель).

Ссылаясь на вышеописанное:  
Пункт 1: успешно  
Пункт 2: успешно (см. ниже)  

Получается, что Фаза 1 и Фаза 2 прошли успешно, и IPSec туннель установлен между двумя сетями по обе стороны туннеля (в данном случае 192.168.109.0/24 и 192.168.12.0/24). Пинги ICMP успешны в одном направлении — с удалённой сети на локальную — (я вижу в torch, что ICMP-пакеты доходят до пингованного IP). Однако, когда я пингую удалённый хост из локальной сети (с адресами источника и назначения, соответствующими политике для IP-пиров, то есть src=192.168.12.253 пингует 192.168.109.1 или 192.168.109.5), создаётся SPI с значением 0.

Как будто ICMP-трафик пинга (с правильными исходным и целевым IP) не проходит в SA, которая была установлена для туннелирования трафика в удалённую сеть.

/ip ipsec installed-sa print  
Flags: A - AH, E - ESP  
0 E spi=0xAB68DB8 src-address=RemotePublicIP:1024 dst-address=local:4500 state=mature auth-algorithm=sha1 enc-algorithm=3des auth-key=“52f6f6859dff1b7b94c2f2b75d18deacf1d7ebe1” enc-key=“7b5f6409026a9f124e61c62260d22a9a7f51094287c3146d” add-lifetime=48m/1h replay=128  
1 E spi=0xBB85FE16 src-address=local:4500 dst-address=RemotePublicIP:1024 state=mature auth-algorithm=sha1 enc-algorithm=3des auth-key=“482fd2f66129ebde0aab1479e08eec09a5cebb59” enc-key=“d51cc03138521a59bfd0c2a41abb6c8f25dbe18a1821ee66” add-lifetime=48m/1h replay=128  
2 E spi=0 src-address=localPublicIP:8 dst-address=RemotePublicIP state=larval add-lifetime=0s/30s replay=128  

SPI=0 формируется временно для пинга с локальной стороны на удалённую, вместо того чтобы идти через spi=0xBB85FE16.  

Активных правил фильтрации firewall нет, есть только одно правило обхода NAT (action=accept) на позиции 0:  
0 chain=srcnat action=accept src-address=192.168.12.0/24 dst-address=192.168.109.0/24 log=no log-prefix=“”  
1 ;;; default configuration  
chain=srcnat action=masquerade to-addresses=0.0.0.0 out-interface=ether1-gateway log=no log-prefix=“”  

Подскажите, пожалуйста, что ещё проверить.