Доброго времени суток.
Сам работаю в Петербурге послали в коммандировку в Москву подключать оборудование для организации работы удаленного офиса. В основном офисе в Питере у нас стоит DFL-860e через нее раздается интернет + настроен файловер с приоритетом на WAN2, т.е. подключено 2 разных провайдера. В удаленном офисе стоит - DFL-800 нужно настроить VPN lan-2-lan.
Ну думаю в принципе сложного же ничего не должно быть. Дано



Сначала настраивал как показано в мануале http://www.dlink.ru/ru/faq/92/850.html естественно взял только ту часть которая касается DFL-210/260/800/860/1600/2500 т.е. первую, настроил аналогично на обоих устройствах. С устройства пинги ходили в удаленную сеть т.е. с DFL-860-rem_net и с DFL-800-main_net . Но из сети в сеть пакеты не бегали. Заметил что на DFL-860 в "Status"-"IpSec"-"List all active IKE SAs" присутствует только одна запись вида

На удаленном DFL-800 в том же "Status"-"IpSec"-"List all active IKE SAs" уже 3 страницы с записями вида

Снес все. настроил заново только на удаленном DFL-800 использовал этот мануал http://www.dlink.ru/ru/faq/85/575.html т.е. настроил 2 IPSec main - backup на wan1 и wan2 главной DFL-860 соответственно. На самой DFL-860 настроил все по старому.
Сейчас ситуация хуже пинги не ходят вообще, ниоткуда. На DFL-800 в "Status"-"IpSec"-"List all active IKE SAs" опять уже 3 страницы, что делать не знаю...
Господа прошу помощи срочно т.к. мне сегодня до 16:30 нужно кроме этого еще вторичный домен поднять, завести все клиентские места и еще тут по мелочи. Погибаю, помогайте.

_________________
С уважением, Иван.
____________________________________

Так же замечена следующая ошибка в логах -

В интернете по запросу reason="IKE_INVALID_COOKIE" только несколько просьб о помощи и никакого решения.

_________________
С уважением, Иван.
____________________________________

На центральном DFL-860 вот еще замечено -


На удаленном DFL-800 -

_________________
С уважением, Иван.
____________________________________

Это к IPsec не относится


У вас везде статические адреса? Нет динамических туннелей (в DNS или all-nets в качестве remote IP)?

_________________
Хотите хороший девайс? D-Link DFL!

Хотите считать с него трафик?
http://www.raresoftware.ru/products/lan/dfltc

Огромное спасибо Vitaliy Korkunov http://forum.dlink.ru/memberlist.php?mode=viewprofile&u=81752 за помощь в настройке.
Виталий я не знаю, что такое волшебное вы сделали но сейчас все работает. В общем огромное Вам спасибо.
В общем я конечно понимаю, что скажу глупость но оно работает, только я логикой понять не могу почему оно не работало до этого. Для будущих поколений опишу мой конфиг.
Центр схождения сети работает через 2-х провайдеров. WAN1 и WAN2 к нему подключается удаленная точка IPSec VPN.
Центр (DFL-860E)
192.168.0.0/24
78.A.A.A. = WAN1
195.A.A.A = WAN2


Создаем Addres folder - RemoteHosts_vpn


Создаем Authentication Objects - fw_psk_ipsec
Создаем - Interfaces - Ipsec - fw_ipsec_tunnel

Authentication - Pre-shared Key - fw_psk_ipsec

XAuth - Off

Routing - все галки сняты - IP Addresses = Automatically pick the address of a local interface that corresponds to the local net

IKE Settings -


Keep-alive=Auto

Advanced



ping_allow \ Allow \ fw_ipsec_tunnel \ 192.168.10.0/24 \ lan \ lan_ip \ all_icmp
lan_to_IPSec \ Allow \ fw_ipsec_tunnel \ fw_msk_net \ lan \ lannet \ all_services
IPSec_to_lan \ Allow \ lan \ lannet \ fw_ipsec_tunnel \ fw_msk_net \ all_services


Удаленная точка (DFL-800)
192.168.10.0/24
91.B.B.B = WAN1

Создаем Addres folder - RemoteHosts_vpn


Создаем Authentication Objects - fw_psk_ipsec

Создаем - Interfaces - Ipsec - fw_ipsec_tunnel (на скриншоте название немного другое, на суть не влияет)

Authentication - Pre-shared Key - fw_psk_ipsec

XAuth - Off

Routing - все галки сняты - IP Addresses = Automatically pick the address of a local interface that corresponds to the local net

IKE Settings -


Keep-alive=Auto

Advanced



Создаем каталог правил - IPSec_to_lan в нем правила -
ping_allow \ Allow \ fw_ipsec_tunnel \ 192.168.0.0/24 \ lan \ lan_ip \ all_icmp
lan_to_spb-IPSec \ Allow \ fw_ipsec_tunnel \ fw_spb_net \ lan \ lannet \ all_services
spb-IPSec_to_lan \ Allow \ lan \ lannet \ fw_ipsec_tunnel \ fw_spb_net \ all_services

_________________
С уважением, Иван.
____________________________________

А вот хрен, сегодня опять не работает. Пинги не ходят. Господа что делать? Посмотрите, что у меня может бытть не правильно? Куда смотреть? Где искать ошибку? Каким образом её вычленять? ГУРУ Нужна помощь!!!

_________________
С уважением, Иван.
____________________________________

Необходимо оставить либо DPD, либо Keep Alive

Разрешающее пинги до DFL правило ping_allow у вас неправильное
Должно быть
Allow ipsec/remote_net core/lan_ip ping-inbound

На ваших скринах непонятно, есть ли альтернативные таблицы маршрутизации на DFL с двумя каналами и что в таблице main. Покажите

_________________
Хотите хороший девайс? D-Link DFL!

Хотите считать с него трафик?
http://www.raresoftware.ru/products/lan/dfltc