Mikrotik.moscow [тема: Проблемы с IPSEC туннелем – SAs нужно иногда сбрасывать.]

Проблемы с IPSEC туннелем – SAs нужно иногда сбрасывать.

Mon, 21 Jan 2013 05:54:00 -0500

Проблемы с IPSEC туннелем – SAs нужно иногда сбрасывать. RouterOS в форуме RouterOS.
Спасибо за скрипт, предотвращающий бездействия. А главное, кто-нибудь знает, зачем он вообще нужен? И как мне зафиксировать баг с обрывами соединения между устройствами Mikrotik при использовании IPsec? С уважением, Chris.
21.01.2013 05:54:00, g18c.

Проблемы с IPSEC туннелем – SAs нужно иногда сбрасывать.

Fri, 18 Jan 2013 22:14:00 -0500

Проблемы с IPSEC туннелем – SAs нужно иногда сбрасывать. RouterOS в форуме RouterOS.
Можешь объяснить, что за <3 в конце команды `if` для пинга, пожалуйста? Спасибо.
18.01.2013 22:14:00, tmm72.

Проблемы с IPSEC туннелем – SAs нужно иногда сбрасывать.

Wed, 16 Jan 2013 18:01:00 -0500

Проблемы с IPSEC туннелем – SAs нужно иногда сбрасывать. RouterOS в форуме RouterOS.
Привет, у меня тоже были похожие проблемы с IPsec. На обоих роутерах использую этот скрипт: ping interface=internal internal.ip.of.other.site count=1. Запускаю его через планировщик каждые 5 минут или так. Если делать так, то про idle больше нет… Работает отлично с 5.12-6.rc6 в разных комбинациях версий. Для проблемы с Cisco ASA использую похожий скрипт вроде slech.
16.01.2013 18:01:00, Felix.

Проблемы с IPSEC туннелем – SAs нужно иногда сбрасывать.

Wed, 16 Jan 2013 14:26:00 -0500

Проблемы с IPSEC туннелем – SAs нужно иногда сбрасывать. RouterOS в форуме RouterOS.
Рад, что Cisco пролила свет на это, но есть какие-нибудь идеи насчёт моей OP и Mikrotik to Mikrotik?
16.01.2013 14:26:00, g18c.

Проблемы с IPSEC туннелем – SAs нужно иногда сбрасывать.

Wed, 16 Jan 2013 12:58:00 -0500

Проблемы с IPSEC туннелем – SAs нужно иногда сбрасывать. RouterOS в форуме RouterOS.
RouterOS создает новые SAs до истечения срока действия SA и уведомляет об этом удаленную сторону. ASA просто не отвечает и не создает новые SAs. Поэтому без доступа к ASA или детальных отладочных логов с него сложно сказать, почему это происходит.
16.01.2013 12:58:00, mrz.

Проблемы с IPSEC туннелем – SAs нужно иногда сбрасывать.

Wed, 16 Jan 2013 12:32:00 -0500

Проблемы с IPSEC туннелем – SAs нужно иногда сбрасывать. RouterOS в форуме RouterOS.
У меня проблема с RB1100AH(5.22, unique) и Cisco ASA 5510, но я не могу предоставить доступ. В качестве обходного решения использую скрипт каждую минуту:

:local IPWatchServer 10.0.1.2
:local OutInterface ether1-lan
:if ([/ping interface=$OutInterface $IPWatchServer count=4]<3) do={
/ip ipsec installed-sa flush sa-type=all
:log info "IPSEC tunnel with DMZ is down: Flushing Installed SA !!!"
} else={
# :log info "IPSEC tunnel with DMZ is OK !"
}
16.01.2013 12:32:00, stmx38.

Проблемы с IPSEC туннелем – SAs нужно иногда сбрасывать.

Wed, 16 Jan 2013 11:01:00 -0500

Проблемы с IPSEC туннелем – SAs нужно иногда сбрасывать. RouterOS в форуме RouterOS.
Я, если честно, этого никогда не пробовал, но сейчас запускаю это на одном из своих решений на базе MT/Cisco. Вечером отключу flushing SA и посмотрю, заработает ли до завтрашнего утра. Спасибо!
16.01.2013 11:01:00, makkan.

Проблемы с IPSEC туннелем – SAs нужно иногда сбрасывать.

Wed, 16 Jan 2013 10:54:00 -0500

Проблемы с IPSEC туннелем – SAs нужно иногда сбрасывать. RouterOS в форуме RouterOS.
Привет, @mrz, у меня установлено level=require. Это для подключения к родному Mikrotik RB1100AH к Mikrotik RB751. Стоит ли мне также установить это в unique для туннелей Mikrotik-to-Mikrotik?
16.01.2013 10:54:00, g18c.

Проблемы с IPSEC туннелем – SAs нужно иногда сбрасывать.

Wed, 16 Jan 2013 10:35:00 -0500

Проблемы с IPSEC туннелем – SAs нужно иногда сбрасывать. RouterOS в форуме RouterOS.
У вас уровень=уникальный в политике IPsec? Это необходимо для нормальной работы туннеля с Cisco.
16.01.2013 10:35:00, mrz.

Проблемы с IPSEC туннелем – SAs нужно иногда сбрасывать.

Wed, 16 Jan 2013 10:33:00 -0500

Проблемы с IPSEC туннелем – SAs нужно иногда сбрасывать. RouterOS в форуме RouterOS.
Проблема в том, что её нельзя воспроизвести вручную. Это происходит случайным образом, и, как мне кажется, это может быть похоже на то, о чем говорит glucz – там могут быть фантомные SA. Я также знаю, что Cisco хотят создавать новую SA каждый раз, когда старая истекает, а Mikrotik, согласно RFC, хотят повторно использовать старые.
16.01.2013 10:33:00, makkan.

Проблемы с IPSEC туннелем – SAs нужно иногда сбрасывать.

Wed, 16 Jan 2013 10:27:00 -0500

Проблемы с IPSEC туннелем – SAs нужно иногда сбрасывать. RouterOS в форуме RouterOS.
Если кто-то сможет предоставить доступ к Mikrotik и Cisco и объяснить, как повторить проблему, то это может помочь её исправить.
16.01.2013 10:27:00, mrz.

Проблемы с IPSEC туннелем – SAs нужно иногда сбрасывать.

Wed, 16 Jan 2013 10:26:00 -0500

Проблемы с IPSEC туннелем – SAs нужно иногда сбрасывать. RouterOS в форуме RouterOS.
Привет, извини за мой нецензурную лексику, до 5.12 тоже не работало. Я начал использовать VPN с версии 5.12, и с тех пор он работает не идеально. Предлагаю обратиться в службу поддержки support@mikrotik.com. Хотелось бы верить, что VPN должен работать нормально между двумя Mikrotik, ведь они используют один и тот же RFC. Cisco не полностью придерживается RFC – поэтому могут быть какие-то проблемы с совместимостью между ними и Mikrotik. Но можно было бы подумать, что Mikrotik могла бы добавить какую-нибудь настройку типа "Cisco" или что-то подобное, чтобы это исправить, учитывая, что Cisco занимает очень сильные позиции на рынке.
16.01.2013 10:26:00, makkan.

Проблемы с IPSEC туннелем – SAs нужно иногда сбрасывать.

Wed, 16 Jan 2013 10:25:00 -0500

Проблемы с IPSEC туннелем – SAs нужно иногда сбрасывать. RouterOS в форуме RouterOS.
Я тоже сообщал об аналогичной ошибке в MT пару месяцев назад. Это было между Windows/MT и MT/MT. Суть отчета заключалась в том, что при сбое соединения по любой причине (проблема с сетью, проблема с паролем и т.п.) MT не полностью очищает SA. Они пропадают из списка, но MT все равно пытается использовать их позже, из-за чего соединение не устанавливается, потому что обе стороны пытаются использовать разные ключи. Можно исправить, очистив SA, это также удалит "призрачные". В общем, я не помню детали, но MT проверили и подтвердили, что это ошибка. Это было за несколько недель до выхода Ros 5.22, так что, думаю, ее еще не исправили. Удачи.
16.01.2013 10:25:00, glucz.

Проблемы с IPSEC туннелем – SAs нужно иногда сбрасывать.

Wed, 16 Jan 2013 10:20:00 -0500

Проблемы с IPSEC туннелем – SAs нужно иногда сбрасывать. RouterOS в форуме RouterOS.
Спасибо за ответ. Нехорошо то, что у вас та же проблема, что и у меня, но я понимаю, что вы переходите с Mikrotik на Cisco. Судя по вашему сообщению, все было в порядке до 5.12 с той же самой конфигурацией? Я втрое перепроверил конфигурацию, она настроена согласно руководствам на вики и с других сайтов. Мои Routerboard’ы уже 8 месяцев, как мне лучше всего получить официальную информацию от Mikrotik по этому вопросу?
16.01.2013 10:20:00, g18c.

Проблемы с IPSEC туннелем – SAs нужно иногда сбрасывать.

Tue, 15 Jan 2013 20:12:00 -0500

Проблемы с IPSEC туннелем – SAs нужно иногда сбрасывать. RouterOS в форуме RouterOS.
Привет! Могу подтвердить, что эта проблема возникает и при работе с mikrotik/Cisco. Я настроил очистку каждые 60 минут, и пока что, кажется, всё работает нормально, не идеально, но сойдёт. Так и было с версии 5.12, а поддержка Mikrotik игнорирует существование ошибки, утверждая, что у них всё работает отлично и проблема, вероятно, в моей конфигурации.
15.01.2013 20:12:00, makkan.

Проблемы с IPSEC туннелем – SAs нужно иногда сбрасывать.

Tue, 15 Jan 2013 17:10:00 -0500

Проблемы с IPSEC туннелем – SAs нужно иногда сбрасывать. RouterOS в форуме RouterOS.
Эй, может, кто-нибудь подскажет? Можно ли заплатить Mikrotik за поддержку по этому поводу, из-за периодических проблем с подключением?
15.01.2013 17:10:00, g18c.

Проблемы с IPSEC туннелем – SAs нужно иногда сбрасывать.

Sun, 30 Dec 2012 17:28:00 -0500

Проблемы с IPSEC туннелем – SAs нужно иногда сбрасывать. RouterOS в форуме RouterOS.
После того, как IPSEC-туннель устанавливается между двумя точками (оба Mikrotik), он отлично работает во время тестирования. Но через день или около того перестает работать, пока мы не очистим установленные SAs с обеих сторон. После очистки SAs и повторного пинга VPN поднимается без проблем. Использую SNTP на обеих точках, поэтому с временем все в порядке. Следующие настройки идентичны для обеих точек: IPsec-политика: Протокол: esp Туннель: yes Peer: Proposal check: obey Отправлять начальный контакт: Yes Hash: md5 Алгоритм шифрования: 3des DH группа: modp1024 Время жизни: 1d 00:00:00 DPD интервал: 120s DPD Максимальное количество сбоев Предложение: Алгоритм авторизации: sha1 Алгоритм шифрования: 3des Время жизни: 00:30:00 PFS группа: modp1024 Есть какие-нибудь идеи, почему он отключается? Что можно сделать, чтобы это прекратить? Спасибо.
30.12.2012 17:28:00, g18c.