http://mikrotik.moscow Новое в теме IPSec Keepalive форума RouterOS на сайте Mikrotik.moscow [mikrotik.moscow] ru http://backend.userland.com/rss2 Mon, 17 Aug 2026 04:15:44 -0400 IPSec Keepalive RouterOS в форуме RouterOS.
Удалось решить эту проблему с помощью скрипта мониторинга, который сбрасывает SA при обнаружении отказа. Еще заметил, что получаю дубликаты installed-sa для одного и того же пира на обоих концах, туннель не отключается. Что вызывает эти дубликаты? Это нормальное поведение? Спасибо.
19.12.2013 15:25:00, dancms.]]> http://mikrotik.moscow/forum/forum57/57066-ipsec-keepalive/message214776 http://mikrotik.moscow/forum/forum57/57066-ipsec-keepalive/message214776 Thu, 19 Dec 2013 15:25:00 -0500 RouterOS IPSec Keepalive RouterOS в форуме RouterOS.
Я протестировал keepalive ping, и он работает. Однако, если перезагрузить Mikrotik с одной стороны туннеля (сайт А) для имитации сбоя, то происходит вот что: пока сайт А не работает, сайт Б удаляет активную SA в соответствии с обнаружением пиринга по протоколу deed. Когда сайт А снова появляется, и после того, как keepalive ping запускается на сайте Б, туннель восстанавливается на сайте Б, но сайт А так и не поднимается. Если туннель установлен, а сайт Б перезагружен, сайт А удаляет SA в соответствии с обнаружением пиринга по протоколу deed, после чего сайт Б снова появляется и keepalive ping запускается, туннель восстанавливается на обеих сторонах. Я перепробовал все комбинации ‘send-initial-contact’ (выключен на одной стороне и не на другой, и наоборот, и включен / выключен на обеих сторонах одновременно), но поведение не меняется.

SITE A address=y.y.y.y/32 passive=no port=500 auth-method=pre-shared-key secret=“secret” generate-policy=no exchange-mode=main send-initial-contact=no nat-traversal=no proposal-check=obey hash-algorithm=md5 enc-algorithm=3des dh-group=modp1024 lifetime=8h lifebytes=0 dpd-interval=30s dpd-maximum-failures=1 src-address=src_ip src-port=any dst-address=dst_ip dst-port=any protocol=all action=encrypt level=require ipsec-protocols=esp tunnel=yes sa-src-address=x.x.x.x sa-dst-address=y.y.y.y proposal=default priority=0

SITE B address=x.x.x.x/32 passive=no port=500 auth-method=pre-shared-key secret=“secret” generate-policy=no exchange-mode=main send-initial-contact=no nat-traversal=no proposal-check=obey hash-algorithm=md5 enc-algorithm=3des dh-group=modp1024 lifetime=8h lifebytes=0 dpd-interval=30s dpd-maximum-failures=1 src-address=src_ip src-port=any dst-address=dst_ip dst-port=any protocol=all action=encrypt level=require ipsec-protocols=esp tunnel=yes sa-src-address=y.y.y.y sa-dst-address=x.x.x.x proposal=default priority=0

NAT на обеих сторонах не используется. Есть какие-нибудь идеи, почему это происходит?
18.12.2013 22:05:00, dancms.]]> http://mikrotik.moscow/forum/forum57/57066-ipsec-keepalive/message214775 http://mikrotik.moscow/forum/forum57/57066-ipsec-keepalive/message214775 Wed, 18 Dec 2013 22:05:00 -0500 RouterOS IPSec Keepalive RouterOS в форуме RouterOS.
Можно настроить пинг... Или использовать ipip или что-то вроде этого. Отправлено с моего SCH-I545 через Tapatalk.
16.12.2013 23:14:00, efaden.]]> http://mikrotik.moscow/forum/forum57/57066-ipsec-keepalive/message214774 http://mikrotik.moscow/forum/forum57/57066-ipsec-keepalive/message214774 Mon, 16 Dec 2013 23:14:00 -0500 RouterOS IPSec Keepalive RouterOS в форуме RouterOS.
Есть ли функция keepalive для IPSec политик? У меня настроен туннель, и после истечения времени жизни, если нет трафика, туннель отваливается, пока не будет попытки подключения к IP на другой стороне. Мне нужно, чтобы туннель оставался активным даже при отсутствии трафика. Буду благодарен за любые подсказки. #IPSec #VPN #tunnel #keepalive
16.12.2013 21:43:00, dancms.]]> http://mikrotik.moscow/forum/forum57/57066-ipsec-keepalive/message214773 http://mikrotik.moscow/forum/forum57/57066-ipsec-keepalive/message214773 Mon, 16 Dec 2013 21:43:00 -0500 RouterOS