Вопрос вроде бы не сложный, но видно не хватает опыта.
После настройки парамметров VPN тунеля на двух точках пытаюсь его активизировать простым ping-ом. Но если это делаю с DFL-900, то все получается (канал поднят), а если с DFL-600, то ничего не получается. Политику не настрайвал на DFL-600 (завадские установки), и пробывал ее отключать, но результат тот же. Почему?

Проверьте ещё раз алгоритмы шифрования и хеширования. А что файрволл в логах пишет?

Если речь идет об алгоритме шифрования и хешировария VPN, то не совсем понимая зачем это делать, если с этими парамметрами VPN поднимается (но при активизации с другой стороны)?
А про log firewall немного позже напишу.

Что косается log-а по firewall, то в закладке Blocking Log пишет что блокирует тлько UDP пакеты на 138 137 порты и все. Другие закладки лога на мой взглад к firewall-у не относятся.

И еще попутно вопрос:
А чего он после какого-то времени неактивности связь теряет?
Пока мне приходится активизировать его с другой стороны, а это что-то как-то не удобно.

Интересно посмотреть что в логах у обоих устройств в тот момент, когда туннель пытается подняться со стороны 600ого.

_________________
С уважением -- Александр Шебаронин.

В log-ах 900 в закладке firewall ничего не твориться, что касается интересуемых меня адресов. Но это и нестранно, т.к. с 600 ничего не идет (слушал wan интерфейс 600-го с провадером (ничего)). А в log-х 600 в закладке "Blocking Log" тоже ничего для меня интересного, толко 138 и 137 udp blokc. Вот такие дела.

отсюда единственный вывод -- 600ый не знает что нужно устанавливать тоннель. Проверьте. Или конфигурацию опубликуйте.

_________________
С уважением -- Александр Шебаронин.

хе-хе..., что-то я на совсем понимаю как это проверить (во всех ваших help-x VPN устанавливается при помощи ping-а).
И если что-то опубликовывать, то что конкретно интересует(не все же пункты описывать)?
А настройки VPN я описывал в вопросе "dfl-600 + dfl-900 = VPN в чем проблемма?" от Пт Июл 22, 2005 4:03 pm. Могу еще политику описать, но она такая как предустановленная производителем.

У меня такая же беда, только с DI-804HV. С одной сотороны поднимается с другой нет. Держал эту тему в форуме месяц - безрезультатно. Личная переписка с персоной из тех. поддержки заглохла на той стороне. Вобщем....я пас.

2av_spb: приведите конфигурацию тоннеля со стороны DFL-600. Если у него в логах ничего нет при попытке пинга удаленной стороны -- значит что то не так в конфигурации туннеля.
2Wall: с вашими конфигами у меня туннель поднимается в обе стороны, о чем я вам и отписывал по почте. Вероятно что то не так у вашего провайдера, потому как я тестировал, естественно, в локальной сети.

_________________
С уважением -- Александр Шебаронин.

1) При попытке ping-а с удаленой стороны (dfl-900) в логе dfl-600 есть записи в закладке "log / VPNIPsec" (в результате связь устанавливается) запись короткая и понятная (переговоры на двух этапах и поднятие тунеля) выкладывать не буду.
2) При попытку ping-а с dfl-600 (и неудаче) в log-е "log / VPNIPsec" dfl-600-го что-то пишет, но сейчас у меня нет под рукой данных (так как объект уже работает), но статус идет "negotiation", хотя пакеты с wan не идут никакие (проверял с провадером, слушали tcpdump-ом).
А порамметры VPN-тунеля на 600 такие:
Tunnel ID = xxx
Termination IP = remout ip
Shared Key = password
Tunnel Type = public

Phase 1 Proposal
Mode = main
DH Group = group1
IKE Life = 28800
IKE Hash = MD5
IKE Encryption = 3DES

Phase 2 Proposal
PFS Mode = group1
IPSec Operation = ESP
IPSec Life = 28800
ESP Transform = 3DES/MD5

Target Host Range
Type = subnet
Starting Target = 192.168.0.1
Subnet Mask = 255.255.255.0

Схожая проблема. Запускаю пинг с одной стороны - тоннель не поднимается, с другой поднимается и отваливается через некоторое время если не идут данные. Причем на той стороне которая способна поднять тоннель статус показывает что тоннель поднят!!! И только после того, как его дропаю он заново поднимается и все повторяется. Мне кажется что впнка на одной стороне не может прочухать что тоннель упал и по этому не дает к себе подключиться? Как быть если смена прошивки не поможет?
ЗЫ. DI-804HV - 3 шт., у той которая не хочет дропать тоннель прошивка 1.38 у 2 других смогу сказать только в понедельник.
Схожие сообщения в логах