+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

IPSec повреждается после переподключения PPPOE

IPSec повреждается после переподключения PPPOE, RouterOS

beejayzed

Guest

26.05.2017 20:05:00

Всем привет! У нас настроен site-to-site VPN по IPsec между Mikrotik (hEX lite) филиала и Mikrotik (RB750GL) основного офиса. Вчера я заменил роутер филиала на новый hEX lite, так как VPN-соединение странно вело себя при нагрузке.

Проблема после замены: после перебоев с интернетом VPN-ссылка уходит вниз и больше не восстанавливается. Mikrotik работает с PPPoE-клиентом, подключенным к модему в мостовом режиме. Единственный способ вернуть VPN — перезагрузить роутер, тем самым сбросив PPP-соединение.

Ниже лог с момента установленного IPsec-соединения до переподключения PPPoE-клиента:

may/27 07:26:53 ipsec,info respond new phase 1 (Identity Protection): 203.173.163.191[500]<=>203.118.137.74[500]
may/27 07:26:54 ipsec,info ISAKMP-SA established 203.173.163.191[500]-203.118.137.74[500] spi:d3ec45fb04e861d5:a9ac45cecdaa51bf
may/27 07:35:01 pppoe,ppp,info pppoe-out1: terminating… - administrator request
may/27 07:35:01 pppoe,ppp,info pppoe-out1: disconnected
may/27 07:35:01 pppoe,ppp,info pppoe-out1: initializing…
may/27 07:35:01 pppoe,ppp,info pppoe-out1: connecting…
may/27 07:35:01 system,info device changed by admin
may/27 07:35:04 pppoe,ppp,info pppoe-out1: authenticated
may/27 07:35:04 pppoe,ppp,info pppoe-out1: connected
may/27 07:37:35 ipsec,info purging ISAKMP-SA 203.173.163.191[500]<=>203.118.137.74[500] spi=eaab6c07091fe751:9a9bb03101b99138.
may/27 07:37:36 ipsec,info ISAKMP-SA deleted 203.173.163.191[500]-203.118.137.74[500] spi:eaab6c07091fe751:9a9bb03101b99138 rekey:1
may/27 07:37:38 ipsec,info purging ISAKMP-SA 203.173.163.191[500]<=>203.118.137.74[500] spi=d3ec45fb04e861d5:a9ac45cecdaa51bf.
may/27 07:37:39 ipsec,info ISAKMP-SA deleted 203.173.163.191[500]-203.118.137.74[500] spi:d3ec45fb04e861d5:a9ac45cecdaa51bf rekey:1
may/27 07:37:45 ipsec,info initiate new phase 1 (Identity Protection): 203.173.163.191[500]<=>203.118.137.74[500]
may/27 07:38:45 ipsec,error phase1 negotiation failed due to time up 203.173.163.191[500]<=>203.118.137.74[500] 3dba98f0205561b5:0000000000000000

Есть ли идеи, как это исправить? Заранее спасибо!

DirtyHarry Guest	#2 0 08.03.2018 07:19:00 Не мог бы ты выложить свой скрипт? У меня такая же проблема примерно на 10 сайтах, и было бы здорово это решить.

mattstephenson

Guest

02.06.2019 12:35:00

У меня точно такая же проблема: когда PPPoE быстро переподключается (из-за какого-то сбоя у провайдера — обычно во время технических работ), приходится перезагружать роутер, чтобы восстановить IPSec-туннели. Так происходит уже много лет, при работе на всех версиях прошивки от 6.35 до нынешней 6.44.3.

sindy Guest	#4 0 02.06.2019 14:12:00 Адрес, который ISP назначает интерфейсу PPPoE, остается тем же самым до и после обрыва соединения PPPoE или меняется?

mattstephenson Guest	#5 0 02.06.2019 22:27:00 Да, все они — публичные статические IP-адреса между туннелями.

luigimallia

Guest

04.10.2017 07:36:00

Всем доброго утра. У нас тоже похожая проблема с PPPOE WAN и L2TP/IPSEC VPN. По сути, у нас есть Hexlite (RB750r2) с настроенным L2TP/IPSEC, который подключён к интернету через PPPOE-соединение с мостовым модемом. После перезагрузки либо модема, либо роутера mikrotik PPPOE-соединение больше не удаётся восстановить. Единственный способ вернуть работоспособность PPPOE — отключить L2TP-сервер в разделе PPP на mikrotik (то есть отключить VPN). Любая помощь по этому вопросу будет очень признательна. Спасибо и с уважением, Luigi

zKos Guest	#7 0 22.01.2018 15:19:00 У меня похожая проблема, как у luigimallia. Мой интернет-провайдер устанавливает таймаут сессии PPPoE каждые 12 часов, и после переподключения PPPoE IPsec-согласование с удалённой точкой никогда не переходит в состояние established. Я тестировал на стороне клиента с RB951 и RB2011, на стороне HQ с RB951 и Check Point, но результаты были схожие — всегда получаю ответ: ipsec,error phase1 negotiation failed due to time up. Когда тесты проводились с RB на обеих сторонах, я просматривал трафик на WAN-интерфейсах между статическими IP, и весь остальной трафик проходил нормально (ping, telnet, ssh), кроме ISAKMP [порт 500]. Логи IPsec инициатора показывали, что идут попытки обмена пакетами с удалённой точкой, но с другой стороны входящих пакетов с его IP на порт 500 не было. Ручной перезапуск PPPoE сессии (pppoe-client disable/enable) проблему не решал, а вот перезагрузка физического порта (у меня Ethernet1-Gateway) решала вопрос и IPsec туннель переходил в состояние established. Временное решение у меня получилось через небольшой скрипт и инструмент netwatch, который мониторит IP через туннель. Как только монитор переходит в состояние DOWN, скрипт сначала отключает PPPoE клиент, затем выключает Ethernet-порт, через секунду снова включает порт и активирует PPPoE клиент. Вскоре после выполнения скрипта IPsec туннель снова становится активен. Это объясняет, почему у luigimallia VPN-ссылка восстанавливается при перезагрузке роутера. Такое решение занимает немного больше времени. С уважением.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры