Есть 3 D-Link DFL-800
Есть 2 филиала: 1,2,3.

Первый - это центральный офис.
2 и 3 это удаленные филиалы.

на 1 и 2 - прошивка 2.20.02
на 3 - прошивка 2.26.

На 2 и 3 часто "отваливается интернет".
Поэтому стоит задача, как можно быстрее восстанавливать канал.
Для этого 1 и 2 были настроены друг на друга. То есть 1 устанавливает канал на 2, а 2 на 1. Статистически это сокращает время восстановления связи между офисами в 2 раза относительно таймаута проверики живости канала.

Однако такое решение на прошивке 2.26 уже не проходит.
И 3 начинает рубить пакеты правилом по умолчанию. То есть отфильтровывать. Хотя есть 4 правила на каждом маршрутизаторе описывающие прямой и реверсный маршрут для каждого из VPN адаптеров (один серверный, принимающий VPN, второй клиенсткий стучащийся к соседу, на каждый по два правила).
Образующиеся при этом 2 маршрута разнесены метрикой в 5 едениц. (90 и 95)

Как показали эксперименты, фильтры на 3, то есть на прошивке 2.26 работают с инспекцей состояния, то есть как stateful, на 2.20 не проверял (там работает). Так что прямой и обратный фильтры работают не совсем так, как ожидается из формального описания:

lan/lannet -> vpn/RemoteNet
vpn/RemoteNet -> lan/lannet

А как они работают точно, понять не удается.
Потому что пакет почему "дропается", не попадая в уготованный для него фильтр.
Видимо по каким-то причинам его стараются пропустить по другому каналу, где для него в stateful нет соотвествующей записи.
Я так для себя это объясняю.


В связи с этим 3 вопроса:
1) Можно ли безболезненно откатится на более раннюю прошивку ?
2) Можно ли заставить прошивку работать в биканальном режиме, когда каждый девайс авторизуется друг у друга, и чтобы это работало ?
3) Какой таймаут проверки на живость канала, после чего канал признается дохлым и логика начинает пытаться открыть канал заново ?

Безболезненно можно сделать reset to factory defaults и потом восстановить конфиг от 2.20.03 (конечно, если вы его сохранили).

Но вообще для связи сетей я бы рекомендовал использовать IPsec - гораздо более надежно, да и восстанавливается достаточно стабильно.

Если хотите раскручивать вашу схему, то показывайте что у вас как настроено подробно... Пропускания пакетов "мимо" правил обычно из-за проблем с маршрутами.

_________________
Хотите хороший девайс? D-Link DFL!

Хотите считать с него трафик?
http://www.raresoftware.ru/products/lan/dfltc

Прошивка 2.26 эксплуатируется уже давненько. Серьезных багов нет. Я бы поставил ее везде.

И завязал бы все офисы по IPSec попарно.

_________________
6 x DFL-210, 2 x DFL-800. Для DFL-210/260/800/860 лучшая прошивка 2.27.08.03 (for WW). СКАЧАТЬ.
Совет: Не используйте в IP- и Routing-правилах сочетание any/all-nets нигде, кроме временных правил. Иначе возможны бреши в безопасности и несрабатывание последующих правил.

Так и есть: l2tp.

Что у вас так и есть? L2TP это не IPsec, для межофисной связи лучше именно IPsec.

_________________
Хотите хороший девайс? D-Link DFL!

Хотите считать с него трафик?
http://www.raresoftware.ru/products/lan/dfltc